a) Về ranh giới áp dụng pháp luật và xử lý chồng lấn thủ tục.

Dự thảo Luật quy định rõ việc bảo đảm chủ quyền dữ liệu quốc gia không làm phát sinh quyền sở hữu của Nhà nước đối với dữ liệu không thuộc sở hữu nhà nước, không làm thay đổi quyền của chủ thể dữ liệu, qua đó phân định rạch ròi giữa thẩm quyền quản lý an ninh của Nhà nước với quyền sở hữu, khai thác hợp pháp của tổ chức, cá nhân, doanh nghiệp đối với dữ liệu của mình. Đối với vấn đề giao thoa với các luật hiện hành, Điều 3 dự thảo Luật quy định nguyên tắc phân định rõ ràng theo từng nội dung giao thoa cụ thể: nguyên tắc, điều kiện xử lý dữ liệu cá nhân, quyền của chủ thể dữ liệu cá nhân tiếp tục thực hiện theo pháp luật về bảo vệ dữ liệu cá nhân; việc bảo vệ an ninh mạng đối với hệ thống thông tin thực hiện theo pháp luật về an ninh mạng; hoạt động xây dựng, quản trị, khai thác, chia sẻ, phân loại dữ liệu theo tính chất quan trọng tiếp tục thực hiện theo pháp luật về dữ liệu; các nội dung về trí tuệ nhân tạo, công nghiệp công nghệ số, chuyển đổi số, giao dịch điện tử, lưu trữ thực hiện theo pháp luật chuyên ngành tương ứng; Luật An ninh dữ liệu chỉ bổ sung biện pháp bảo vệ an ninh dữ liệu phát sinh trong các hoạt động đó.

Dự thảo Luật cũng đưa ra phương án xử lý chồng lấn ở cấp độ thủ tục hành chính: khi Luật này và luật khác cùng quy định thủ tục, đánh giá, thẩm định, kiểm tra hoặc chế độ báo cáo đối với cùng một đối tượng, cùng một nội dung thì tổ chức, cá nhân chỉ lập một bộ hồ sơ, thực hiện một thủ tục thông qua một đầu mối tiếp nhận; kết quả đánh giá, thẩm định, chứng nhận đã thực hiện hợp pháp theo luật khác và còn hiệu lực được công nhận, cơ quan nhà nước không yêu cầu thực hiện lại; báo cáo sự cố gửi qua hệ thống điện tử.

b) Về cơ chế quản lý theo cấp độ rủi ro.

Dự thảo Luật quy định 05 cấp độ rủi ro an ninh dữ liệu, từ Cấp độ 1 (thấp nhất) đến Cấp độ 5 (cao nhất), xác định dựa trên khả năng xảy ra sự cố và mức độ thiệt hại có thể gây ra. Toàn bộ nghĩa vụ cụ thể được phân bổ bám sát cấp độ này, áp dụng xuyên suốt từ hoạt động chuyển đổi số, hạ tầng số, xử lý dữ liệu quy mô lớn, công nghệ mới và trí tuệ nhân tạo cho đến hoạt động xuyên biên giới.

c) Về trách nhiệm của Nhà nước, cơ quan, tổ chức, doanh nghiệp và cá nhân.

Trên nền tảng cơ chế quản lý theo cấp độ rủi ro, dự thảo Luật phân định rõ trách nhiệm của từng chủ thể. Đối với Nhà nước, dự thảo xác định Chính phủ thống nhất quản lý nhà nước về an ninh dữ liệu. Đối với cơ quan, tổ chức, doanh nghiệp - với tư cách chủ quản dữ liệu - trách nhiệm trung tâm là tự xác định cấp độ rủi ro của dữ liệu mình quản lý và tự áp dụng biện pháp bảo vệ tương xứng, chịu trách nhiệm trước pháp luật về việc đó; Nhà nước thực hiện hậu kiểm là chủ yếu, chỉ tiền kiểm đối với dữ liệu, hệ thống có rủi ro cao. Mức độ trách nhiệm được phân hóa theo quy mô, cấp độ rủi ro: dữ liệu Cấp độ 1, Cấp độ 2 - chiếm phần lớn hoạt động xử lý dữ liệu thông thường - gần như không phát sinh thủ tục hành chính; hộ kinh doanh, doanh nghiệp nhỏ, siêu nhỏ, doanh nghiệp khởi nghiệp sáng tạo chỉ cần áp dụng biện pháp bảo vệ cơ bản theo hướng dẫn chung; chỉ từ Cấp độ 3 trở lên, chủ quản dữ liệu mới phải thực hiện đánh giá tác động, kiểm toán định kỳ, dữ liệu Cấp độ 4, Cấp độ 5 mới phải được thẩm định cùng với thẩm định an ninh mạng trước khi hệ thống được đưa vào vận hành chính thức.

Đối với cá nhân, dự thảo Luật tiếp cận theo hai tư cách: với tư cách chủ thể dữ liệu, quyền và lợi ích hợp pháp tiếp tục được bảo vệ theo pháp luật về bảo vệ dữ liệu cá nhân, đồng thời được hưởng thêm lớp bảo vệ an ninh bổ sung theo cấp độ rủi ro khi dữ liệu được xử lý trong hệ thống có mức độ rủi ro cao; với tư cách nhân sự phụ trách an ninh dữ liệu hoặc chuyên gia hoạt động độc lập, dự thảo khuyến khích cá nhân chủ động phát hiện, kiểm thử, thông báo lỗ hổng an ninh dữ liệu với thiện chí, được bảo vệ danh tính, quyền, lợi ích hợp pháp và loại trừ trách nhiệm pháp lý tương ứng - cơ chế nhằm huy động nguồn lực xã hội thay vì chỉ trông chờ vào năng lực của bộ máy nhà nước.

d) Về hệ thống biện pháp bảo vệ an ninh dữ liệu.

Để các trách nhiệm nêu trên đi vào thực chất, dự thảo Luật cụ thể hóa thành một hệ thống biện pháp bảo vệ bao quát toàn diện, tổ chức thành tám nhóm: biện pháp quản lý (xác định cấp độ rủi ro, đánh giá tác động, kiểm toán, thẩm định, thanh tra, kiểm tra); biện pháp kỹ thuật (mã hóa dữ liệu, quản lý truy cập, sao lưu, phục hồi, tiêu hủy dữ liệu an toàn); bảo vệ an ninh vật lý đối với thiết bị, hạ tầng lưu trữ; đánh giá sự phù hợp, chứng nhận theo tiêu chuẩn kỹ thuật; ứng phó, khắc phục sự cố; đào tạo, tuyên truyền; ngăn chặn, vô hiệu hóa dữ liệu độc hại; và xử lý vi phạm pháp luật. Các biện pháp này được áp dụng xuyên suốt vòng đời dữ liệu - từ thiết kế, thu thập, lưu trữ, xử lý, truyền đưa cho đến khi tiêu hủy - và khi cần thiết được bổ sung bằng biện pháp kỹ thuật khẩn cấp đối với sự cố đặc biệt nghiêm trọng, đi kèm nguyên tắc áp dụng biện pháp ít hạn chế quyền nhất, có thời hạn rõ ràng và bảo đảm quyền khiếu nại, bồi thường của tổ chức, cá nhân bị áp dụng trái pháp luật.

đ) Về ý nghĩa của việc ban hành Luật.

Việc ban hành Luật An ninh dữ liệu mang nhiều tầng ý nghĩa gắn bó chặt chẽ với nhau. Trước hết là bảo vệ hạ tầng và bảo vệ dữ liệu; tiếp đến là tăng cường nhận thức xã hội về an ninh dữ liệu - việc luật hóa trách nhiệm đào tạo, tuyên truyền, cùng cơ chế khuyến khích cá nhân, chuyên gia, tổ chức xã hội - nghề nghiệp chủ động tham gia phát hiện, thông báo lỗ hổng, sẽ góp phần hình thành một nền văn hóa an ninh dữ liệu rộng khắp trong xã hội, thay vì chỉ dừng lại ở nhận thức của một nhóm chuyên gia kỹ thuật.

Mặt khác, với nguyên tắc an ninh không được phép trở thành rào cản cho phát triển, Luật còn góp phần thúc đẩy kinh tế số và kiến tạo không gian phát triển cho ngành công nghiệp bảo vệ dữ liệu trong nước, thông qua các chính sách ưu đãi đầu tư, thuế đối với nghiên cứu, phát triển công nghệ bảo vệ an ninh dữ liệu, mật mã an ninh, mật mã kháng lượng tử, mật mã lượng tử; chính sách phát triển hệ sinh thái và công nghiệp an ninh dữ liệu tự chủ, tin cậy, ưu tiên hình thành năng lực nghiên cứu, phòng thử nghiệm, doanh nghiệp công nghệ nòng cốt và sản phẩm lưỡng dụng trong nước - mở ra dư địa để doanh nghiệp công nghệ Việt Nam tham gia nghiên cứu, sản xuất cả giải pháp phần cứng lẫn phần mềm bảo vệ an ninh dữ liệu, thay vì chỉ phụ thuộc hoàn toàn vào sản phẩm, công nghệ nước ngoài.

Từ những vấn đề trên, có thể khẳng định việc xây dựng, ban hành Luật An ninh dữ liệu không đơn thuần là hoàn thiện một mảnh ghép còn thiếu trong hệ thống pháp luật, mà là một bước đi tất yếu, có tính chiến lược, nhằm chuyển dịch mô hình quản trị quốc gia về dữ liệu từ trạng thái bị động, ứng phó sau sự cố sang chủ động phòng ngừa, kiểm soát rủi ro ngay từ đầu; bảo vệ vững chắc chủ quyền dữ liệu quốc gia trong tiến trình chuyển đổi số; đồng thời tạo nền tảng niềm tin và không gian phát triển để người dân, doanh nghiệp, ngành công nghiệp bảo vệ dữ liệu trong nước yên tâm tham gia, đóng góp vào nền kinh tế số của đất nước.

Ban biên tập