Dữ liệu không còn đơn thuần là thông tin được lưu trữ, xử lý mà đã trở thành một loại tư liệu sản xuất đặc biệt, tài sản chiến lược quyết định năng lực cạnh tranh, sự ổn định và phát triển của mỗi quốc gia. Vì vậy, bảo vệ chủ quyền quốc gia trên không gian số không chỉ là bảo vệ hạ tầng mạng mà còn phải bảo đảm quyền quản lý, kiểm soát và bảo vệ dữ liệu. Đồng thời, tình trạng lộ lọt, đánh cắp, mua bán dữ liệu cá nhân trên các diễn đàn ngầm; hành vi lừa đảo trực tuyến, tấn công mã hóa dữ liệu đòi tiền chuộc và khai thác trái phép dữ liệu để trục lợi đang đặt ra nhiều thách thức. Trong khi đó, các quy định pháp luật hiện hành chủ yếu điều chỉnh từng lĩnh vực riêng lẻ như bảo vệ dữ liệu cá nhân, an ninh mạng, dữ liệu, giao dịch điện tử... chưa hình thành một khuôn khổ thống nhất để bảo vệ an ninh dữ liệu xuyên suốt toàn bộ vòng đời dữ liệu.
Do đó, việc xây dựng Luật An ninh dữ liệu là cần thiết nhằm tạo cơ sở pháp lý đồng bộ, xác định rõ trách nhiệm của các chủ thể, chủ động phòng ngừa và xử lý nguy cơ mất an ninh dữ liệu, đồng thời bảo đảm hài hòa giữa yêu cầu bảo vệ an ninh quốc gia với quyền, lợi ích hợp pháp của tổ chức, cá nhân và yêu cầu phát triển kinh tế số.
Dự thảo Luật An ninh dữ liệu được xây dựng với bố cục gồm 06 chương, 29 điều, tập trung vào một số nội dung đáng chú ý sau:
Thứ nhất, phân định rõ phạm vi điều chỉnh, hạn chế chồng chéo pháp luật và thủ tục hành chính. Dự thảo xác định việc bảo đảm chủ quyền dữ liệu quốc gia không đồng nghĩa với việc Nhà nước có quyền sở hữu đối với dữ liệu không thuộc sở hữu nhà nước, cũng không làm thay đổi quyền của chủ thể dữ liệu. Quyền sở hữu, khai thác hợp pháp dữ liệu của tổ chức, cá nhân, doanh nghiệp tiếp tục được tôn trọng và bảo vệ. Đồng thời, dự thảo phân định rõ mối quan hệ với các luật hiện hành: Quyền của chủ thể dữ liệu cá nhân tiếp tục thực hiện theo pháp luật về bảo vệ dữ liệu cá nhân; bảo vệ hệ thống thông tin thực hiện theo pháp luật về an ninh mạng; các hoạt động quản trị, khai thác, chia sẻ dữ liệu thực hiện theo pháp luật về dữ liệu và các lĩnh vực chuyên ngành tương ứng.
Thứ hai, thiết lập cơ chế quản lý an ninh dữ liệu theo 05 cấp độ rủi ro. Dự thảo quy định 05 cấp độ rủi ro, từ cấp độ 1 (thấp nhất) đến cấp độ 5 (cao nhất), căn cứ vào khả năng xảy ra sự cố và mức độ thiệt hại có thể gây ra. Trên cơ sở đó, nghĩa vụ bảo vệ được xác định tương ứng với mức độ rủi ro, tránh áp dụng một yêu cầu chung cho mọi loại dữ liệu.
Thứ ba, làm rõ trách nhiệm của cơ quan, tổ chức, doanh nghiệp và cá nhân. Cơ quan, tổ chức, doanh nghiệp với tư cách chủ quản dữ liệu có trách nhiệm tự xác định cấp độ rủi ro của dữ liệu mình quản lý, chủ động áp dụng biện pháp bảo vệ tương xứng và chịu trách nhiệm trước pháp luật. Nhà nước chủ yếu thực hiện hậu kiểm, chỉ tiền kiểm đối với dữ liệu, hệ thống có rủi ro cao. Đối với cá nhân, quyền và lợi ích hợp pháp của chủ thể dữ liệu tiếp tục được bảo vệ theo pháp luật về bảo vệ dữ liệu cá nhân. Dự thảo cũng khuyến khích cá nhân, chuyên gia chủ động phát hiện, kiểm thử, thông báo lỗ hổng an ninh dữ liệu trên tinh thần thiện chí, đồng thời có cơ chế bảo vệ danh tính và quyền, lợi ích hợp pháp của người tham gia.
Thứ tư, hoàn thiện hệ thống biện pháp bảo vệ an ninh dữ liệu. Dự thảo đề cập các nhóm biện pháp bảo vệ gồm: Biện pháp quản lý; biện pháp kỹ thuật như mã hóa, kiểm soát truy cập, sao lưu, khôi phục và tiêu hủy an toàn; bảo đảm an ninh vật lý; đánh giá, chứng nhận phù hợp; ứng phó sự cố; đào tạo, tuyên truyền; ngăn chặn dữ liệu độc hại và xử lý vi phạm. Các biện pháp được triển khai xuyên suốt từ khâu thiết kế, thu thập, lưu trữ, xử lý, truyền đưa đến khi tiêu hủy dữ liệu.
Thứ năm, tăng cường bảo vệ dữ liệu trong hoạt động xuyên biên giới, công nghệ mới và trí tuệ nhân tạo. Dự thảo đặt ra yêu cầu kiểm soát rủi ro khi chuyển dữ liệu xuyên biên giới; bảo vệ tổ chức, cá nhân trong nước trước những yêu cầu cung cấp dữ liệu trực tiếp từ nước ngoài không thông qua kênh hợp pháp. Đối với hệ thống trí tuệ nhân tạo xử lý dữ liệu có mức độ rủi ro cao, biện pháp bảo vệ an ninh phải được tích hợp ngay từ khâu thiết kế, bảo đảm nguồn gốc hợp pháp và tính nguyên vẹn của dữ liệu.
Trong khi dự thảo Luật đang được trình Quốc hội, người dân và doanh nghiệp cần nâng cao ý thức tự bảo vệ dữ liệu, chủ động phòng ngừa nguy cơ mất an ninh dữ liệu trong các hoạt động hằng ngày.
- Đối với người dân, cần thận trọng khi cung cấp thông tin cá nhân trên môi trường mạng; không tùy tiện chia sẻ hình ảnh giấy tờ tùy thân, tài khoản, mật khẩu, mã xác thực hoặc thông tin riêng tư cho người không rõ danh tính. Cần cảnh giác với các đường link, ứng dụng, lời mời cung cấp thông tin bất thường; không truy cập, tải xuống tệp tin không rõ nguồn gốc. Khi phát hiện dấu hiệu bị đánh cắp, sử dụng trái phép dữ liệu, cần kịp thời thực hiện biện pháp bảo vệ tài khoản và thông báo cho cơ quan, tổ chức có thẩm quyền.
- Đối với doanh nghiệp, cần xác định rõ trách nhiệm quản lý dữ liệu; chủ động đánh giá rủi ro, phân quyền truy cập phù hợp, áp dụng biện pháp mã hóa, sao lưu và bảo vệ hệ thống; kiểm soát chặt chẽ việc chia sẻ dữ liệu với đối tác, nhà cung cấp dịch vụ, nhất là hoạt động truy cập từ xa và chuyển dữ liệu xuyên biên giới. Việc sử dụng dữ liệu để nghiên cứu, phát triển, vận hành hệ thống trí tuệ nhân tạo cần bảo đảm nguồn gốc hợp pháp và tính toàn vẹn của dữ liệu. Không thu thập, khai thác, mua bán, trao đổi hoặc cung cấp dữ liệu trái phép.
Trong kỷ nguyên số, bảo vệ dữ liệu không chỉ là trách nhiệm của cơ quan chức năng hay bộ phận chuyên môn về công nghệ thông tin mà cần sự tham gia chủ động của mỗi người dân, cơ quan, tổ chức và doanh nghiệp. Bảo vệ an ninh dữ liệu là bảo vệ quyền và lợi ích hợp pháp của người dân, doanh nghiệp; đồng thời là bảo vệ chủ quyền quốc gia trên không gian số, tạo nền tảng vững chắc cho chuyển đổi số và phát triển bền vững đất nước./.
Do đó, việc xây dựng Luật An ninh dữ liệu là cần thiết nhằm tạo cơ sở pháp lý đồng bộ, xác định rõ trách nhiệm của các chủ thể, chủ động phòng ngừa và xử lý nguy cơ mất an ninh dữ liệu, đồng thời bảo đảm hài hòa giữa yêu cầu bảo vệ an ninh quốc gia với quyền, lợi ích hợp pháp của tổ chức, cá nhân và yêu cầu phát triển kinh tế số.
Dự thảo Luật An ninh dữ liệu được xây dựng với bố cục gồm 06 chương, 29 điều, tập trung vào một số nội dung đáng chú ý sau:
Thứ nhất, phân định rõ phạm vi điều chỉnh, hạn chế chồng chéo pháp luật và thủ tục hành chính. Dự thảo xác định việc bảo đảm chủ quyền dữ liệu quốc gia không đồng nghĩa với việc Nhà nước có quyền sở hữu đối với dữ liệu không thuộc sở hữu nhà nước, cũng không làm thay đổi quyền của chủ thể dữ liệu. Quyền sở hữu, khai thác hợp pháp dữ liệu của tổ chức, cá nhân, doanh nghiệp tiếp tục được tôn trọng và bảo vệ. Đồng thời, dự thảo phân định rõ mối quan hệ với các luật hiện hành: Quyền của chủ thể dữ liệu cá nhân tiếp tục thực hiện theo pháp luật về bảo vệ dữ liệu cá nhân; bảo vệ hệ thống thông tin thực hiện theo pháp luật về an ninh mạng; các hoạt động quản trị, khai thác, chia sẻ dữ liệu thực hiện theo pháp luật về dữ liệu và các lĩnh vực chuyên ngành tương ứng.
Thứ hai, thiết lập cơ chế quản lý an ninh dữ liệu theo 05 cấp độ rủi ro. Dự thảo quy định 05 cấp độ rủi ro, từ cấp độ 1 (thấp nhất) đến cấp độ 5 (cao nhất), căn cứ vào khả năng xảy ra sự cố và mức độ thiệt hại có thể gây ra. Trên cơ sở đó, nghĩa vụ bảo vệ được xác định tương ứng với mức độ rủi ro, tránh áp dụng một yêu cầu chung cho mọi loại dữ liệu.
Thứ ba, làm rõ trách nhiệm của cơ quan, tổ chức, doanh nghiệp và cá nhân. Cơ quan, tổ chức, doanh nghiệp với tư cách chủ quản dữ liệu có trách nhiệm tự xác định cấp độ rủi ro của dữ liệu mình quản lý, chủ động áp dụng biện pháp bảo vệ tương xứng và chịu trách nhiệm trước pháp luật. Nhà nước chủ yếu thực hiện hậu kiểm, chỉ tiền kiểm đối với dữ liệu, hệ thống có rủi ro cao. Đối với cá nhân, quyền và lợi ích hợp pháp của chủ thể dữ liệu tiếp tục được bảo vệ theo pháp luật về bảo vệ dữ liệu cá nhân. Dự thảo cũng khuyến khích cá nhân, chuyên gia chủ động phát hiện, kiểm thử, thông báo lỗ hổng an ninh dữ liệu trên tinh thần thiện chí, đồng thời có cơ chế bảo vệ danh tính và quyền, lợi ích hợp pháp của người tham gia.
Thứ tư, hoàn thiện hệ thống biện pháp bảo vệ an ninh dữ liệu. Dự thảo đề cập các nhóm biện pháp bảo vệ gồm: Biện pháp quản lý; biện pháp kỹ thuật như mã hóa, kiểm soát truy cập, sao lưu, khôi phục và tiêu hủy an toàn; bảo đảm an ninh vật lý; đánh giá, chứng nhận phù hợp; ứng phó sự cố; đào tạo, tuyên truyền; ngăn chặn dữ liệu độc hại và xử lý vi phạm. Các biện pháp được triển khai xuyên suốt từ khâu thiết kế, thu thập, lưu trữ, xử lý, truyền đưa đến khi tiêu hủy dữ liệu.
Thứ năm, tăng cường bảo vệ dữ liệu trong hoạt động xuyên biên giới, công nghệ mới và trí tuệ nhân tạo. Dự thảo đặt ra yêu cầu kiểm soát rủi ro khi chuyển dữ liệu xuyên biên giới; bảo vệ tổ chức, cá nhân trong nước trước những yêu cầu cung cấp dữ liệu trực tiếp từ nước ngoài không thông qua kênh hợp pháp. Đối với hệ thống trí tuệ nhân tạo xử lý dữ liệu có mức độ rủi ro cao, biện pháp bảo vệ an ninh phải được tích hợp ngay từ khâu thiết kế, bảo đảm nguồn gốc hợp pháp và tính nguyên vẹn của dữ liệu.
Trong khi dự thảo Luật đang được trình Quốc hội, người dân và doanh nghiệp cần nâng cao ý thức tự bảo vệ dữ liệu, chủ động phòng ngừa nguy cơ mất an ninh dữ liệu trong các hoạt động hằng ngày.
- Đối với người dân, cần thận trọng khi cung cấp thông tin cá nhân trên môi trường mạng; không tùy tiện chia sẻ hình ảnh giấy tờ tùy thân, tài khoản, mật khẩu, mã xác thực hoặc thông tin riêng tư cho người không rõ danh tính. Cần cảnh giác với các đường link, ứng dụng, lời mời cung cấp thông tin bất thường; không truy cập, tải xuống tệp tin không rõ nguồn gốc. Khi phát hiện dấu hiệu bị đánh cắp, sử dụng trái phép dữ liệu, cần kịp thời thực hiện biện pháp bảo vệ tài khoản và thông báo cho cơ quan, tổ chức có thẩm quyền.
- Đối với doanh nghiệp, cần xác định rõ trách nhiệm quản lý dữ liệu; chủ động đánh giá rủi ro, phân quyền truy cập phù hợp, áp dụng biện pháp mã hóa, sao lưu và bảo vệ hệ thống; kiểm soát chặt chẽ việc chia sẻ dữ liệu với đối tác, nhà cung cấp dịch vụ, nhất là hoạt động truy cập từ xa và chuyển dữ liệu xuyên biên giới. Việc sử dụng dữ liệu để nghiên cứu, phát triển, vận hành hệ thống trí tuệ nhân tạo cần bảo đảm nguồn gốc hợp pháp và tính toàn vẹn của dữ liệu. Không thu thập, khai thác, mua bán, trao đổi hoặc cung cấp dữ liệu trái phép.
Trong kỷ nguyên số, bảo vệ dữ liệu không chỉ là trách nhiệm của cơ quan chức năng hay bộ phận chuyên môn về công nghệ thông tin mà cần sự tham gia chủ động của mỗi người dân, cơ quan, tổ chức và doanh nghiệp. Bảo vệ an ninh dữ liệu là bảo vệ quyền và lợi ích hợp pháp của người dân, doanh nghiệp; đồng thời là bảo vệ chủ quyền quốc gia trên không gian số, tạo nền tảng vững chắc cho chuyển đổi số và phát triển bền vững đất nước./.
Lê Thái Phong