Ảnh minh họa (Nguồn: Internet)

Một trong những nội dung quan trọng của dự thảo Luật là xác định rõ phạm vi điều chỉnh, nguyên tắc áp dụng và mối quan hệ với các luật chuyên ngành có liên quan, bảo đảm tính thống nhất, đồng bộ của hệ thống pháp luật. Theo đó, quyền của chủ thể dữ liệu cá nhân và điều kiện xử lý dữ liệu cá nhân tiếp tục thực hiện theo pháp luật về bảo vệ dữ liệu cá nhân; hoạt động xây dựng, quản trị, khai thác, chia sẻ, phân loại dữ liệu thực hiện theo pháp luật về dữ liệu; việc bảo vệ an ninh của hệ thống thông tin thực hiện theo pháp luật về an ninh mạng. Riêng việc bảo vệ an ninh của bản thân dữ liệu, xuyên suốt vòng đời, được điều chỉnh theo dự thảo Luật An ninh dữ liệu.

Đáng chú ý, dự thảo Luật đặt ra nguyên tắc hạn chế trùng lặp trong đánh giá, thẩm định, kiểm tra đối với cùng một đối tượng và nội dung rủi ro. Theo đó, những kết quả đã được thực hiện hợp pháp theo quy định của pháp luật có liên quan được xem xét công nhận, tránh yêu cầu tổ chức, cá nhân phải thực hiện lại các thủ tục không cần thiết. Đây là giải pháp nhằm giảm chi phí tuân thủ, tạo thuận lợi cho hoạt động sản xuất, kinh doanh của doanh nghiệp.

Một điểm mới đáng chú ý là cơ chế quản lý an ninh dữ liệu theo 05 cấp độ rủi ro, từ Cấp độ 1 (thấp nhất) đến Cấp độ 5 (cao nhất). Trên cơ sở mức độ rủi ro, nghĩa vụ bảo vệ được phân hóa tương ứng, bảo đảm dữ liệu có nguy cơ gây thiệt hại càng lớn thì yêu cầu bảo vệ càng chặt chẽ. Đối với dữ liệu Cấp độ 1 và Cấp độ 2, dự thảo định hướng gần như không phát sinh thủ tục hành chính; từ Cấp độ 3 trở lên, chủ quản dữ liệu phải thực hiện đánh giá tác động, kiểm toán an ninh dữ liệu định kỳ; đối với Cấp độ 4 và Cấp độ 5, hệ thống xử lý dữ liệu phải được thẩm định theo quy định trước khi đưa vào vận hành chính thức.

Dự thảo Luật cũng xác lập yêu cầu bảo vệ an ninh dữ liệu xuyên suốt toàn bộ vòng đời, từ khâu thu thập, lưu trữ, xử lý, truyền đưa đến khi tiêu hủy. Các biện pháp bảo vệ được áp dụng phù hợp với tính chất, mức độ quan trọng và cấp độ rủi ro của dữ liệu. Đối với hoạt động chuyển, xử lý dữ liệu xuyên biên giới, dự thảo quy định cơ chế kiểm soát có phân hóa theo từng cấp độ rủi ro, nhằm bảo vệ chủ quyền dữ liệu quốc gia, đồng thời tạo điều kiện cho hoạt động hợp tác, trao đổi và xử lý dữ liệu hợp pháp.

Bên cạnh đó, dự thảo bổ sung cơ chế bảo vệ tổ chức, cá nhân trong nước trước những yêu cầu cung cấp dữ liệu trực tiếp từ nước ngoài không thông qua kênh hợp pháp. Quy định này hướng đến việc bảo đảm chủ quyền, an ninh quốc gia, quyền và lợi ích hợp pháp của tổ chức, cá nhân, đồng thời phù hợp với các nguyên tắc hợp tác quốc tế và tương trợ tư pháp.

Một nội dung quan trọng khác là thiết lập cơ chế chủ động phòng ngừa, phát hiện, cảnh báo và ứng phó với nguy cơ, sự cố an ninh dữ liệu. Dự thảo quy định việc áp dụng các biện pháp kỹ thuật khẩn cấp phải có căn cứ, đúng thẩm quyền, phạm vi và thời hạn cụ thể; ưu tiên biện pháp ít hạn chế quyền nhất và chấm dứt khi căn cứ áp dụng không còn. Đồng thời, tổ chức, cá nhân có quyền kiến nghị, khiếu nại, khởi kiện và được bồi thường thiệt hại theo quy định của pháp luật nếu bị áp dụng biện pháp trái pháp luật. Qua đó, dự thảo hướng đến sự cân bằng giữa yêu cầu bảo vệ an ninh dữ liệu và việc bảo đảm quyền, lợi ích hợp pháp của các chủ thể liên quan.

Trước sự phát triển nhanh chóng của khoa học, công nghệ, dự thảo Luật dành sự quan tâm đến bảo đảm an ninh dữ liệu trong nghiên cứu, phát triển và ứng dụng công nghệ mới, trí tuệ nhân tạo. Theo đó, tổ chức, cá nhân phát triển, triển khai công nghệ mới và hệ thống trí tuệ nhân tạo có xử lý dữ liệu thuộc diện rủi ro cao phải tích hợp các biện pháp bảo vệ an ninh ngay từ khâu thiết kế; kiểm soát nguồn gốc hợp pháp, bảo đảm tính nguyên vẹn của dữ liệu được sử dụng. Việc đánh giá an ninh dữ liệu đối với hệ thống trí tuệ nhân tạo được định hướng tích hợp trong quy trình đánh giá rủi ro theo pháp luật về trí tuệ nhân tạo, hạn chế phát sinh hồ sơ và thủ tục thẩm định riêng biệt.

Dự thảo cũng đặt ra yêu cầu bảo vệ an ninh dữ liệu trong toàn bộ chuỗi cung ứng sản phẩm, dịch vụ dữ liệu, thay vì chỉ giới hạn trong phạm vi nội bộ của từng tổ chức. Theo đó, chủ quản dữ liệu có trách nhiệm đánh giá rủi ro, kiểm soát phạm vi tiếp cận dữ liệu của nhà cung cấp sản phẩm, dịch vụ trước khi kết nối; quy định rõ trách nhiệm bảo mật, xử lý vi phạm trong hợp đồng; thường xuyên giám sát và thu hồi quyền tiếp cận khi phát hiện nguy cơ mất an toàn, an ninh dữ liệu.

Cùng với các quy định về quản lý và bảo vệ an ninh dữ liệu, dự thảo Luật đề ra chính sách của Nhà nước nhằm thúc đẩy phát triển hạ tầng, công nghệ và nguồn nhân lực trong lĩnh vực này. Trong đó, chú trọng phát triển điện toán đám mây chủ quyền, hạ tầng dữ liệu, trung tâm dữ liệu an toàn, xanh, có khả năng chống chịu và phục hồi; khuyến khích nghiên cứu, phát triển công nghệ bảo vệ an ninh dữ liệu, mật mã an ninh và mật mã kháng lượng tử. Đồng thời, dự thảo đề xuất các chính sách hỗ trợ doanh nghiệp nhỏ và vừa, doanh nghiệp khởi nghiệp sáng tạo nâng cao năng lực bảo vệ dữ liệu thông qua công cụ tự đánh giá, hướng dẫn, đào tạo và sử dụng dịch vụ dùng chung.

Để bảo đảm môi trường cạnh tranh bình đẳng, dự thảo Luật xác lập nguyên tắc không áp dụng các biện pháp tạo vị trí độc quyền cho một sản phẩm hoặc nhà cung cấp cụ thể trong quá trình phát triển hệ sinh thái công nghiệp an ninh dữ liệu trong nước. Qua đó, khuyến khích đổi mới sáng tạo, phát triển sản phẩm, dịch vụ công nghệ trong nước, từng bước nâng cao năng lực tự chủ về an ninh dữ liệu.

Từ những nội dung trọng tâm nêu trên có thể thấy, dự thảo Luật An ninh dữ liệu được xây dựng theo hướng kết hợp yêu cầu bảo vệ an ninh, chủ quyền dữ liệu quốc gia với việc bảo đảm quyền, lợi ích hợp pháp của tổ chức, cá nhân và tạo thuận lợi cho hoạt động sản xuất, kinh doanh. Việc hoàn thiện khung pháp lý về an ninh dữ liệu sẽ góp phần nâng cao năng lực phòng ngừa, phát hiện, xử lý các nguy cơ mất an ninh dữ liệu, đồng thời tạo nền tảng cho phát triển kinh tế dữ liệu, kinh tế số và chuyển đổi số quốc gia trong giai đoạn tới./.

Huỳnh Kiểm