Đại biểu đề nghị quy định rõ ngay trong luật hoặc xác định nguyên tắc không chuyển dữ liệu cấp độ 5, trừ trường hợp đặc biệt do Thủ tướng quyết định, hoặc nếu chỉ cấm một nhóm trong cấp độ 5, phải quy định tiêu chí nhận diện nhóm bị cấm và cơ chế áp dụng đối với phần còn lại…

Thảo luận ở hội trường sáng 4/11 về dự án Luật An ninh dữ liệu, các đại biểu Quốc hội nhấn mạnh, việc bảo vệ an ninh dữ liệu là hết sức quan trọng, không chỉ đối với cá nhân, cơ quan, tổ chức mà còn liên quan đến quốc phòng, an ninh, đối ngoại, chủ quyền và toàn vẹn lãnh thổ. Một trong những nội dung được quan tâm là vấn đề chuyển, xử lý dữ liệu xuyên biên giới.

Dự thảo Luật An ninh dữ liệu quy định 5 cấp độ rủi ro an ninh dữ liệu, dữ liệu cấp độ 1, cấp độ 2 không phải thực hiện thủ tục theo Luật này khi chuyển ra nước ngoài; dữ liệu cấp độ 3 do chủ quản dữ liệu tự đánh giá và lưu giữ hồ sơ; dữ liệu cấp độ 4, cấp độ 5 phải được cơ quan có thẩm quyền thẩm định, chấp thuận trước khi chuyển.

Theo Cổng thông tin điện tử Quốc hội, góp ý về Điều 19 quy định chuyển, xử lý dữ liệu xuyên biên giới, đại biểu Nguyễn Thị Việt Nga, Đoàn ĐBQH thành phố Hải Phòng cho rằng, tại điểm c khoản 2 Điều 19, dự thảo quy định “một số dữ liệu thuộc cấp độ 5” không được chuyển, xử lý xuyên biên giới, trừ trường hợp đặc biệt do Thủ tướng Chính phủ quyết định.

Trong khi đó, theo điểm đ khoản 1 Điều 9, cấp độ 5 gắn với khả năng gây tổn hại đặc biệt nghiêm trọng đến quốc phòng, an ninh, đối ngoại, chủ quyền và toàn vẹn lãnh thổ. Dự thảo chưa chỉ rõ trong cấp độ này, dữ liệu nào bị cấm chuyển và vì sao dữ liệu cấp độ 5 còn lại có thể được chuyển theo một cơ chế khác.

“Đây là ranh giới của một biện pháp hạn chế quan trọng. Tôi đề nghị quy định rõ ngay trong luật: hoặc xác định nguyên tắc không chuyển dữ liệu cấp độ 5, trừ trường hợp đặc biệt do Thủ tướng quyết định; hoặc nếu chỉ cấm một nhóm trong cấp độ 5, phải quy định tiêu chí nhận diện nhóm bị cấm và cơ chế áp dụng đối với phần còn lại. Khoản 5 Điều 19 chỉ nên giao Chính phủ quy định chi tiết trình tự, hồ sơ, tiêu chuẩn bảo vệ và việc kiểm chứng điều kiện đã được luật xác lập”, đại biểu Nguyễn Thị Việt Nga kiến nghị.

Đề nghị rà soát khoản 3 Điều 19 về việc loại trừ việc xử lý công việc nội bộ, giao dịch thông thường hoặc sử dụng dịch vụ số khỏi quy định, đại biểu Nga cho rằng nhu cầu bảo đảm giao dịch thường xuyên, thông suốt là chính đáng. Nhưng cách diễn đạt hiện nay dựa vào tên hoạt động, chưa dựa vào dữ liệu nào được chuyển, ai thực sự có quyền tiếp cận và chủ quản có còn kiểm soát được dữ liệu hay không.

Theo đại biểu Nguyễn Thị Việt Nga, một hoạt động được gọi là “nội bộ” vẫn có thể sử dụng hạ tầng ở nước ngoài; một dịch vụ số thông thường vẫn có thể cho bên cung cấp khả năng tiếp cận dữ liệu ở dạng có thể đọc được, đại biểu Nguyễn Thị Việt Nga đề nghị giới hạn ngoại lệ tại khoản 3 bằng các điều kiện kiểm chứng được: loại và cấp độ dữ liệu; mục đích, phạm vi xử lý; quyền tiếp cận của bên ở nước ngoài; khả năng quản lý khóa giải mã và duy trì kiểm soát của chủ quản dữ liệu.

“Điều 19 đặt ra hệ quả pháp lý đối với việc chuyển dữ liệu. Nếu căn cứ phân cấp chưa rõ hoặc ngoại lệ chuyển dữ liệu quá rộng, chúng ta có thể vừa bảo vệ chưa đủ những dữ liệu hệ trọng, vừa gây khó cho những hoạt động hợp pháp cần được lưu thông. Tôi đề nghị cơ quan soạn thảo xem xét chỉnh lý đồng thời giải trình chi tiết hơn phương án lựa chọn đối với dữ liệu cấp độ 5 trước khi Quốc hội xem xét thông qua”, đại biểu Nguyễn Thị Việt Nga nhấn mạnh.

Đề cập an ninh dữ liệu là một vấn đề hết sức là quan trọng, đó không phải chuyện riêng của máy chủ hay cơ quan quản lý, mà cụ thể có thể là tiền trong tài khoản, hồ sơ bệnh án, danh tính và sự an tâm của mỗi người, đại biểu Nguyễn Vũ Trung, Đoàn ĐBQH Thành phố Hồ Chí Minh đánh giá cao dự thảo mới nhất đã đặt nền móng cho quản lý theo cấp độ rủi ro và bảo vệ dữ liệu trong toàn bộ vòng đời.

Góp ý vào Điều 19 về bảo vệ an ninh dữ liệu trong chuyển, xử lý dữ liệu xuyên biên giới, đại biểu đề nghị ghi ngay trong luật 3 cơ chế: rủi ro thấp thì tự đánh giá và hậu kiểm; rủi ro trung bình thì thông báo; rủi ro cao mới phải xin chấp thuận trước. “Đối với luồng dữ liệu chuyển định kỳ, nếu mục đích, bên nhận và biện pháp bảo vệ không thay đổi thì không phải xin chấp thuận lại. Cơ quan có thẩm quyền cần có thời hạn xử lý rõ ràng, nếu từ chối phải nêu lý do và bảo đảm quyền khiếu nại”, đại biểu Nguyễn Vũ Trung nêu rõ.

Cũng theo đại biểu, nếu thiếu những quy định nêu trên, bệnh viện, cơ sở nghiên cứu và doanh nghiệp sử dụng điện toán đám mây có thể phải gánh thêm thủ tục, trong khi việc đó chưa chắc chắn ngăn được các đối tượng lừa đảo hoạt động bên ngoài hệ thống.

ĐỀ NGHỊ RÀ SOÁT CÁC ỨNG DỤNG PHỤC VỤ NGƯỜI DÂN

"Thực tế, không ít người nhận cuộc gọi, tin nhắn lừa đảo đọc đúng họ tên, số căn cước, đúng giọng nói và khuôn mặt của người thân. Đại biểu cho rằng, người dân phải biết dữ liệu mình bị lộ để tự bảo vệ mình. Tại Điều 22 về trách nhiệm báo cáo sự cố, đại biểu đề nghị bổ sung: khi dữ liệu cá nhân bị lộ, lọt, chủ quản dữ liệu phải thông báo kịp thời cho người bị ảnh hưởng, kèm hướng dẫn phòng tránh lừa đảo, bảo đảm thống nhất với Luật Bảo vệ dữ liệu cá nhân.

Đề nghị Chính phủ chỉ đạo rà soát các ứng dụng phục vụ người dân: dịch vụ nào tích hợp lên nền tảng dùng chung, dịch vụ nào chỉ cần kết nối, chia sẻ dữ liệu; tránh đầu tư trùng lặp, tốn kém chi phí vận hành; quan tâm người dân dùng điện thoại cấu hình thấp và ở vùng khó khăn. Chỉ đạo các cơ quan thực hiện nghiêm việc không yêu cầu người dân nộp lại thông tin đã có; các ngành phối hợp phân loại thông báo, ưu tiên gửi qua VNeID những thông tin về hồ sơ hành chính, thời hạn giải quyết và quyền lợi của người dân. Vấn đề bảo vệ dữ liệu và phục vụ người dân là để người dân thuận tiện hơn. Ít ứng dụng trùng lặp, ít đầu mối nắm dữ liệu, thì dữ liệu an toàn hơn, người dân cũng đỡ vất vả hơn”.