Đề xuất quy định mới về an ninh dữ liệu

Dự thảo Luật này quy định về nguyên tắc, chính sách, biện pháp bảo đảm an ninh dữ liệu toàn diện và xuyên suốt vòng đời dữ liệu; thiết lập hệ thống bảo đảm an ninh dữ liệu quốc gia theo cấp độ rủi ro tác động; quyền, nghĩa vụ, trách nhiệm của cơ quan, tổ chức, cá nhân trong bảo đảm an ninh dữ liệu; quản lý chuyển giao dữ liệu xuyên biên giới; phát triển nguồn nhân lực, công nghệ và hợp tác quốc tế về an ninh dữ liệu.

Việc xử lý dữ liệu cá nhân được thực hiện theo quy định của pháp luật về bảo vệ dữ liệu cá nhân. Nội dung về an ninh, kỹ thuật, công nghệ đối với dữ liệu cá nhân chưa được quy định cụ thể tại pháp luật về bảo vệ dữ liệu cá nhân thì áp dụng theo quy định của Luật này.

Việc bảo vệ an ninh không gian mạng được thực hiện theo quy định của pháp luật về an ninh mạng. Luật này điều chỉnh đối với thực thể dữ liệu xuyên suốt vòng đời dữ liệu, không phụ thuộc vào phương thức hoặc phương tiện lưu trữ vật lý, logic.

Trường hợp Điều ước quốc tế mà nước Cộng hòa xã hội chủ nghĩa Việt Nam là thành viên có quy định khác với quy định của Luật này thì áp dụng quy định của Điều ước quốc tế đó, trừ các nội dung liên quan trực tiếp đến quốc phòng, an ninh quốc gia và dữ liệu cốt lõi.

Luật này áp dụng đối với cơ quan, tổ chức, cá nhân Việt Nam; cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam; cơ quan, tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu tại Việt Nam.

Theo dự thảo Luật, an ninh dữ liệu là trạng thái bảo đảm tính bảo mật, tính nguyên vẹn, tính khả dụng của dữ liệu và khả năng chủ động phòng ngừa, phát hiện, ngăn chặn, ứng phó với các nguy cơ xâm phạm dữ liệu.

Bảo đảm an ninh dữ liệu là việc áp dụng tổng thể các biện pháp quản lý, kỹ thuật và pháp lý nhằm thiết lập, duy trì trạng thái an ninh dữ liệu; kiểm soát rủi ro và ngăn chặn hành vi xâm phạm an ninh dữ liệu.

Dự thảo nêu rõ các chính sách của Nhà nước về an ninh dữ liệu gồm:

– Hoàn thiện thể chế quản lý tài nguyên dữ liệu và xác lập chủ quyền dữ liệu quốc gia. Chính phủ cụ thể hóa chính sách của Nhà nước về an ninh dữ liệu trong từng thời kỳ.

– Bảo đảm an ninh dữ liệu theo cấp độ rủi ro và xuyên suốt vòng đời dữ liệu. Xây dựng và phát triển hệ sinh thái dữ liệu an toàn, tin cậy, có khả năng chống chịu cao.

– Bảo đảm an ninh trong lưu trữ và chuyển giao dữ liệu xuyên biên giới.

– Bảo đảm an ninh dữ liệu trong nghiên cứu, phát triển, ứng dụng trí tuệ nhân tạo và công nghệ mới.

– Bảo đảm an ninh dữ liệu trong phát triển kinh tế dữ liệu, đổi mới sáng tạo và tự chủ công nghệ.

– Đa dạng hóa các nguồn lực tài chính, thực hiện xã hội hóa, thu hút dòng vốn đầu tư trong và ngoài nước phục vụ phát triển hạ tầng công nghệ, nghiên cứu mật mã thế hệ mới; ưu tiên phát triển nguồn nhân lực chất lượng cao và thúc đẩy hợp tác quốc tế sâu rộng về an ninh dữ liệu.

Dự thảo Luật An ninh dữ liệu (Dự thảo Luật) gồm 9 chương, 58 điều, cụ thể:

Chương I quy định những vấn đề chung, gồm phạm vi điều chỉnh, đối tượng áp dụng, giải thích từ ngữ, nguyên tắc, chính sách của Nhà nước, phân loại dữ liệu theo cấp độ rủi ro, các hành vi bị nghiêm cấm và biện pháp bảo đảm an ninh dữ liệu.

Chương II quy định hệ thống bảo đảm an ninh theo cấp độ và trong toàn bộ vòng đời dữ liệu, bao gồm đánh giá rủi ro, chứng nhận hợp quy, kiểm kê và lập bản đồ dữ liệu, đánh giá tác động an ninh dữ liệu; bảo đảm an ninh trong quá trình thu thập, khởi tạo, lưu trữ, truyền dẫn, xử lý, chia sẻ, cung cấp, giao dịch và tiêu hủy dữ liệu; đồng thời xác lập chế độ bảo vệ tương ứng đối với dữ liệu Thông thường, dữ liệu Nội bộ, dữ liệu Quan trọng và dữ liệu Cốt lõi.

Chương III quy định về bảo đảm an ninh dữ liệu trong phát triển kinh tế số và Chính phủ số. Nội dung của Chương tập trung vào an ninh dữ liệu đối với hạ tầng số, dịch vụ viễn thông và Internet; thẩm định an ninh hệ thống, hoạt động đầu tư, chuyển giao công nghệ; bảo vệ dữ liệu trong Chính phủ số và các lĩnh vực trọng yếu; bảo đảm an ninh dữ liệu dài hạn; quản trị thuật toán và hệ thống trí tuệ nhân tạo; cơ chế thử nghiệm có kiểm soát; lưu trữ, giao dịch, kinh doanh dịch vụ dữ liệu; bảo hộ tài sản dữ liệu và bảo đảm an ninh trong chuỗi cung ứng.

Chương IV quy định về lưu chuyển dữ liệu xuyên biên giới và hợp tác quốc tế, trong đó xác lập nguyên tắc phân luồng theo mức độ rủi ro; điều kiện chuyển dữ liệu Quan trọng, dữ liệu Cốt lõi và bí mật kinh doanh ra nước ngoài; cơ chế hậu kiểm; tương trợ tư pháp; chia sẻ chứng cứ điện tử; truy vết và phối hợp ứng cứu sự cố an ninh dữ liệu xuyên biên giới.

Chương V quy định về giám sát, phòng ngừa và ứng phó sự cố an ninh dữ liệu, bao gồm hệ thống giám sát tập trung và cảnh báo sớm rủi ro quốc gia; các biện pháp kỹ thuật khẩn cấp; xây dựng phương án, kịch bản ứng phó; trách nhiệm báo cáo, thông báo sự cố; điều phối quốc gia; truy vết, điều tra hành vi vi phạm; phục hồi dữ liệu, diễn tập và bảo hiểm rủi ro an ninh dữ liệu.

Chương VI quy định về phát triển nguồn nhân lực, công nghệ và lực lượng an ninh dữ liệu; xác định thành phần lực lượng bảo vệ an ninh dữ liệu quốc gia; tiêu chuẩn, chứng nhận chuyên môn; chính sách thu hút, đãi ngộ nhân tài; quản lý hoạt động của tổ chức, cá nhân nước ngoài và huy động nguồn lực xã hội phục vụ bảo đảm an ninh dữ liệu.

Chương VII quy định về quản lý nhà nước đối với an ninh dữ liệu; phân định trách nhiệm của Chính phủ, Bộ Công an, Bộ Quốc phòng, Bộ Khoa học và Công nghệ, Ban Cơ yếu Chính phủ, các bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ, Ủy ban nhân dân các cấp và chủ quản dữ liệu.

Chương VIII quy định về thanh tra, kiểm tra và xử lý vi phạm pháp luật về an ninh dữ liệu. Đáng chú ý, dự thảo đề xuất áp dụng mức phạt tiền tối đa không quá 5% tổng doanh thu đối với tổ chức có hành vi vi phạm đặc biệt nghiêm trọng quy định về bảo vệ dữ liệu quan trọng, dữ liệu cốt lõi.

Chương IX quy định về hiệu lực thi hành, điều khoản chuyển tiếp và tính tương thích của Luật với các khung pháp lý quốc tế. Theo dự thảo, Luật dự kiến có hiệu lực từ ngày 01/12/2027; đồng thời đặt ra lộ trình đến ngày 01/01/2035 đối với việc chuyển đổi các hệ thống xử lý dữ liệu quan trọng, dữ liệu cốt lõi trong những lĩnh vực nhất định sang sử dụng giải pháp mật mã kháng lượng tử.