Luật An ninh dữ liệu cần bảo vệ người dân mà không cản trở dịch vụ thiết yếu

An ninh dữ liệu ngày càng gắn trực tiếp với đời sống của mỗi người, từ hồ sơ bệnh án, thông tin định danh đến tài khoản ngân hàng và các giao dịch trực tuyến. Khi dữ liệu bị xâm phạm, thiệt hại không chỉ dừng ở nguy cơ mất quyền riêng tư mà còn có thể kéo theo lừa đảo, chiếm đoạt tài sản và nhiều hệ lụy khó khắc phục.

Ngược lại, nếu các biện pháp bảo vệ thiếu linh hoạt, việc khai thác, chia sẻ dữ liệu hợp pháp cũng có thể bị cản trở. Đây là những vấn đề được các đại biểu Quốc hội tập trung góp ý khi thảo luận về dự án Luật An ninh dữ liệu sáng 4/11.

Thảo luận ở hội trường sáng 4/11 về dự án Luật An ninh dữ liệu, các đại biểu Quốc hội nhấn mạnh, việc bảo vệ an ninh dữ liệu là hết sức quan trọng, không chỉ đối với cá nhân, cơ quan, tổ chức mà còn liên quan đến quốc phòng, an ninh, đối ngoại, chủ quyền và toàn vẹn lãnh thổ - Ảnh: https://quochoi.vn

Bảo vệ dữ liệu phải gắn với quyền được chăm sóc sức khỏe

Từ thực tiễn lĩnh vực y tế, đại biểu Phạm Thu Xanh (Đoàn đại biểu Quốc hội thành phố Hải Phòng) nhấn mạnh, bảo vệ dữ liệu y tế phải đồng thời bảo đảm an toàn người bệnh và tính liên tục của hoạt động khám, chữa bệnh.

Hồ sơ bệnh án chứa nhiều thông tin nhạy cảm, cần được bảo mật nghiêm ngặt. Tuy nhiên, quy định về an ninh dữ liệu không nên tạo ra những rào cản khiến người bệnh khó tiếp cận dịch vụ điều trị cần thiết.

Đại biểu dẫn các tình huống như bệnh nhân ung thư cần hội chẩn quốc tế, thai phụ cần kết quả xét nghiệm di truyền để quyết định can thiệp hoặc người bệnh cấp cứu cần truy cập kịp thời tiền sử bệnh án. Những trường hợp này đòi hỏi cơ chế chuyển, chia sẻ dữ liệu phục vụ chẩn đoán, điều trị và thanh toán theo yêu cầu hợp pháp hoặc có sự đồng ý của người bệnh.

Vì vậy, đại biểu đề nghị rà soát khoản 7, khoản 9 Điều 19, làm rõ cơ chế chia sẻ dữ liệu y tế; đồng thời có quy trình phù hợp đối với dữ liệu đã mã hóa, kiểm soát truy cập và lưu vết để tránh phát sinh thủ tục không cần thiết.

Đáng chú ý, tại Điều 23, đại biểu đề nghị bổ sung cơ chế bảo đảm các biện pháp kỹ thuật khẩn cấp không làm gián đoạn hoạt động cấp cứu, điều trị nội trú và những dịch vụ y tế thiết yếu.

Cùng quan tâm đến vấn đề này, đại biểu Nguyễn Vũ Trung (Đoàn đại biểu Quốc hội TP. Hồ Chí Minh) đề nghị quyết định áp dụng biện pháp kỹ thuật khẩn cấp phải xác định rõ căn cứ, phạm vi, thời hạn và phương án khôi phục. Với hệ thống phục vụ bệnh viện và các dịch vụ thiết yếu, cần đánh giá tác động trước khi đình chỉ, ưu tiên cô lập phần bị xâm nhập nếu có thể.

Theo các đại biểu, yêu cầu bảo vệ dữ liệu không thể tách rời mục tiêu bảo vệ con người. Một hệ thống có thể được bảo vệ chặt chẽ về mặt kỹ thuật nhưng nếu việc vận hành bị đình trệ, người dân vẫn phải gánh chịu những rủi ro trực tiếp.

Người dân cần được thông báo khi dữ liệu bị xâm phạm

Một nội dung có tác động trực tiếp đến quyền lợi người dân là trách nhiệm thông báo khi xảy ra sự cố an ninh dữ liệu.

Đại biểu Nguyễn Vũ Trung cho rằng, sự cố dữ liệu có thể liên quan đến tiền trong tài khoản, danh tính và thông tin cá nhân. Do đó, ông đề nghị quy định sự cố từ cấp độ 3 trở lên phải được báo cáo chậm nhất trong 24 giờ kể từ khi phát hiện; trường hợp có nguy cơ đặc biệt nghiêm trọng phải báo ngay.

Quan trọng hơn, người có dữ liệu bị xâm phạm cần được thông báo kịp thời về loại thông tin có thể bị lộ, nguy cơ phát sinh và biện pháp tự bảo vệ. Cơ quan đầu mối cũng cần có cơ chế phối hợp với ngân hàng, doanh nghiệp viễn thông và các nền tảng số để cảnh báo, ngăn chặn nguy cơ tiếp diễn.

Đại biểu Lê Thị Thanh Lam (Đoàn đại biểu Quốc hội thành phố Cần Thơ) cũng đề nghị bổ sung trách nhiệm của chủ quản dữ liệu trong việc thông báo cho người bị ảnh hưởng khi dữ liệu cá nhân bị lộ, lọt, kèm hướng dẫn phòng tránh lừa đảo.

Thực tế đã xuất hiện những trường hợp đối tượng lừa đảo nắm được họ tên, số căn cước, thậm chí giả mạo giọng nói và khuôn mặt người thân để tiếp cận nạn nhân. Khi thông tin cá nhân bị khai thác trái phép, người dân thường khó xác định dữ liệu nào đã bị lộ và cần thực hiện biện pháp phòng ngừa ra sao.

Vì vậy, thông báo sự cố không nên chỉ là thủ tục giữa chủ quản dữ liệu với cơ quan quản lý. Đây còn là cơ chế giúp người bị ảnh hưởng nhận diện nguy cơ, chủ động khóa tài khoản, thay đổi mật khẩu, kiểm soát giao dịch và hạn chế thiệt hại.

Phân loại rủi ro để tránh tăng chi phí tuân thủ

Bên cạnh ứng phó sự cố, cách phân loại dữ liệu và xác định cấp độ rủi ro cũng là vấn đề được nhiều đại biểu quan tâm.

Đại biểu Nguyễn Thị Việt Nga (Đoàn đại biểu Quốc hội thành phố Hải Phòng) đề nghị chỉnh lý Điều 9 theo hướng xác định cấp độ dựa trên tính chất dữ liệu và hậu quả có thể xảy ra khi bị xâm phạm, thay vì phụ thuộc vào hệ thống lưu trữ.

An ninh dữ liệu (Data Security) là tổng thể các biện pháp kỹ thuật, quản lý và pháp lý nhằm bảo vệ dữ liệu khỏi các mối đe dọa như truy cập trái phép, rò rỉ, đánh cắp, sửa đổi hoặc phá hoại trong suốt vòng đời của dữ liệu.

Theo đại biểu, cần có yêu cầu bảo vệ riêng đối với hệ thống xử lý dữ liệu, đồng thời làm rõ phạm vi dữ liệu cấp độ 5 bị hạn chế chuyển ra nước ngoài và các trường hợp được áp dụng cơ chế đặc biệt.

Đại biểu Lê Thị Thanh Lam đề nghị quy định cụ thể tiêu chí phân loại, phương pháp đánh giá, chủ thể chịu trách nhiệm và chu kỳ rà soát cấp độ rủi ro. Các yếu tố như khối lượng dữ liệu, khả năng liên kết, mục đích sử dụng và mức độ ảnh hưởng khi bị xâm phạm cần được tính đến. Cấp độ rủi ro cũng phải được điều chỉnh khi quy mô, mục đích xử lý hoặc công nghệ thay đổi.

Trong khi đó, đại biểu Nguyễn Vũ Trung đề nghị có tiêu chí thống nhất, hồ sơ minh chứng và cơ chế hậu kiểm đối với việc chủ quản dữ liệu tự đánh giá. Điều này nhằm hạn chế nguy cơ tự xếp dữ liệu vào cấp độ thấp hơn để giảm nghĩa vụ bảo vệ.

Đối với hoạt động chuyển dữ liệu xuyên biên giới, đại biểu Nguyễn Vũ Trung đề xuất áp dụng ba cơ chế tương ứng với mức độ rủi ro: dữ liệu rủi ro thấp được tự đánh giá và hậu kiểm; rủi ro trung bình thực hiện thông báo; chỉ dữ liệu rủi ro cao mới phải xin chấp thuận trước. Với luồng dữ liệu chuyển định kỳ, nếu mục đích, bên nhận và biện pháp bảo vệ không thay đổi thì không nên yêu cầu xin chấp thuận lại.

Những kiến nghị này đặt ra yêu cầu thiết kế quy định theo hướng tương xứng với rủi ro thực tế. Nếu áp dụng cùng một mức độ kiểm soát cho mọi loại dữ liệu, doanh nghiệp, bệnh viện và cơ sở nghiên cứu có thể phải gánh thêm chi phí, thủ tục mà chưa chắc nâng cao hiệu quả bảo vệ.

Hạn chế ứng dụng phân tán, tăng khả năng kết nối dữ liệu

Ở góc độ phục vụ người dân, đại biểu Lê Thị Thanh Lam đề cập tình trạng một người phải cài đặt nhiều ứng dụng về định danh điện tử, bảo hiểm xã hội, thuế, giao thông, điện, nước... Việc phát sinh quá nhiều ứng dụng và đầu mối kết nối không chỉ gây bất tiện mà còn làm tăng yêu cầu quản lý, bảo vệ dữ liệu.

Đại biểu đề nghị bổ sung nguyên tắc ưu tiên triển khai hệ thống số của cơ quan nhà nước trên các nền tảng dùng chung đã được đánh giá an ninh; đồng thời công nhận, sử dụng lại kết quả đánh giá an ninh của nền tảng dùng chung đối với các ứng dụng vận hành trên đó, tránh kiểm tra trùng lặp.

Cùng với đó, Chính phủ cần rà soát các ứng dụng phục vụ người dân, thực hiện nguyên tắc không yêu cầu cung cấp lại thông tin đã có và ưu tiên gửi thông báo về hồ sơ hành chính, thời hạn giải quyết, quyền lợi của người dân qua VNeID.

Giải trình tại phiên thảo luận, Đại tướng Lương Tam Quang, Bộ trưởng Bộ Công an cho biết, dự thảo luật thiết kế 5 cấp độ rủi ro, tương thích với pháp luật về an ninh mạng. Theo hướng tiếp cận này, rủi ro càng thấp thì thủ tục càng đơn giản, nhằm tránh phát sinh nghĩa vụ không cần thiết đối với doanh nghiệp.

Về mật mã an ninh, Bộ trưởng cho biết dự thảo xác định không thay thế mật mã cơ yếu, trước mắt chỉ áp dụng trong ngành Công an. Việc mở rộng phạm vi áp dụng phải được đánh giá và do Thủ tướng Chính phủ quyết định.

Cơ quan chủ trì soạn thảo sẽ phối hợp với Thường trực Ủy ban Quốc phòng, An ninh và Đối ngoại tiếp thu ý kiến đại biểu Quốc hội, báo cáo Ủy ban Thường vụ Quốc hội trước khi hoàn thiện dự thảo luật.

Việc xây dựng Luật An ninh dữ liệu vì thế không chỉ là hoàn thiện hàng rào kỹ thuật trước các nguy cơ tấn công, xâm nhập hay khai thác trái phép. Giá trị của khuôn khổ pháp lý này còn nằm ở khả năng bảo vệ quyền riêng tư, giúp người dân chủ động ứng phó khi dữ liệu bị xâm phạm, đồng thời không tạo thêm rào cản cho hoạt động khám chữa bệnh, dịch vụ công và sản xuất, kinh doanh.