Dự thảo Luật An ninh dữ liệu đề xuất năm cấp độ rủi ro

Dự thảo Luật An ninh dữ liệu trình Quốc hội xem xét phân chia rủi ro thành năm cấp độ. Theo đề xuất, dữ liệu có nguy cơ cao sẽ chịu yêu cầu đánh giá và thẩm định chặt hơn, còn hoạt động xử lý thông thường được định hướng giảm thủ tục.

Theo Báo Điện tử Chính phủ ngày 24/10, Chính phủ trình dự thảo tại Kỳ họp thứ 2 của Quốc hội khóa XVI để xem xét, cho ý kiến. Bộ Công an là cơ quan chủ trì soạn thảo. Văn bản gồm sáu chương, 29 điều; các nội dung dưới đây vẫn là đề xuất, chưa phải nghĩa vụ pháp lý đã có hiệu lực.

Nghĩa vụ tăng theo cấp độ rủi ro

Năm cấp độ được xác định dựa trên khả năng xảy ra sự cố và mức độ thiệt hại có thể gây ra. Cấp độ 1 là thấp nhất, cấp độ 5 cao nhất. Chủ quản dữ liệu được dự kiến tự xác định cấp độ đối với dữ liệu mình quản lý, áp dụng biện pháp bảo vệ tương ứng và chịu trách nhiệm về việc đó.

Với dữ liệu cấp độ 1 và 2, dự thảo định hướng gần như không phát sinh thủ tục hành chính. Hộ kinh doanh, doanh nghiệp nhỏ, siêu nhỏ và doanh nghiệp khởi nghiệp sáng tạo được dự kiến thực hiện biện pháp bảo vệ cơ bản theo hướng dẫn chung.

Từ cấp độ 3, chủ quản dữ liệu phải đánh giá tác động và kiểm toán định kỳ. Ở cấp độ 4 và 5, dự thảo yêu cầu thẩm định an ninh dữ liệu cùng với thẩm định an ninh mạng trước khi hệ thống vận hành chính thức. Việc phân cấp nhằm tập trung kiểm soát vào những hoạt động có nguy cơ gây thiệt hại lớn.

Bảo vệ dữ liệu trong suốt quá trình sử dụng

Theo VietNamNet ngày 25/10, dự thảo đặt ra yêu cầu bảo vệ dữ liệu từ khâu thu thập, lưu trữ, xử lý, truyền đưa đến tiêu hủy. Hoạt động chuyển dữ liệu qua biên giới cũng được dự kiến kiểm soát theo cấp độ rủi ro, thay vì áp dụng cùng một mức yêu cầu cho mọi loại dữ liệu.

Dự thảo tìm cách phân định phạm vi với luật về bảo vệ dữ liệu cá nhân, luật về dữ liệu và luật về an ninh mạng. Một đối tượng và một nội dung rủi ro được định hướng chỉ đánh giá, thẩm định hoặc kiểm tra một lần để hạn chế thủ tục chồng chéo.

Đối với công nghệ mới và hệ thống trí tuệ nhân tạo xử lý dữ liệu rủi ro cao, đơn vị phát triển hoặc triển khai sẽ phải tích hợp biện pháp bảo vệ ngay từ khâu thiết kế. Việc đánh giá an ninh dữ liệu của hệ thống AI được dự kiến gộp vào quy trình đánh giá rủi ro theo pháp luật về AI, không lập thêm hồ sơ thẩm định riêng.

Dự thảo còn nêu trách nhiệm của chủ quản dữ liệu khi cho bên cung cấp sản phẩm, dịch vụ tiếp cận hệ thống: đánh giá rủi ro trước khi kết nối, giới hạn quyền truy cập, quy định nghĩa vụ bảo mật trong hợp đồng và thu hồi quyền khi phát hiện nguy cơ.

Những quy định này có thể tiếp tục thay đổi trong quá trình Quốc hội xem xét. Bài viết phản ánh nội dung dự thảo được các nguồn công bố, không khẳng định luật đã được thông qua.

Nguồn: Báo Điện tử Chính phủ; VietNamNet. Tuệ Minh