Làm rõ 'ranh giới' giữa các tiêu chí phân loại rủi ro an ninh dữ liệu

Phó Chủ tịch Quốc hội Nguyễn Thị Thanh điều hành phiên thảo luận ở hội trường - Ảnh: quochoi.vn

Phân loại cấp độ rủi ro để xác định mức độ bảo vệ phù hợp

Cho ý kiến vào dự án Luật An ninh dữ liệu, các đại biểu Quốc hội cơ bản tán thành với sự cần thiết ban hành cũng như nội dung dự thảo Luật. Tuy nhiên, đại biểu Lê Thị Thanh Lam (Cần Thơ) cho rằng, phân loại cấp độ rủi ro là công cụ quan trọng để xác định mức độ bảo vệ phù hợp. Rủi ro dữ liệu không chỉ phụ thuộc vào loại dữ liệu mà còn phụ thuộc vào khối lượng, khả năng liên kết, mục đích sử dụng, mức độ tập trung và khả năng gây hậu quả khi bị xâm phạm. Một bộ dữ liệu riêng lẻ có thể không nhạy cảm, nhưng khi liên kết với nhiều nguồn khác có thể làm phát sinh nguy cơ nhận diện, suy luận thông tin hoặc gây ảnh hưởng lớn đến cá nhân và tổ chức. Vì vậy, nếu tiêu chí phân loại không cụ thể, việc đánh giá có thể thiếu thống nhất giữa các cơ quan và doanh nghiệp.

Vì vậy, đại biểu Lê Thị Thanh Lam đề nghị Ban soạn thảo quy định rõ tiêu chí phân loại rủi ro, phương pháp đánh giá, chủ thể chịu trách nhiệm và chu kỳ rà soát lại cấp độ. Cần xem xét khả năng xảy ra sự cố, mức độ thiệt hại, quy mô dữ liệu, mức độ nhạy cảm, khả năng liên kết và mức độ phụ thuộc của hoạt động thiết yếu vào dữ liệu. Đặc biệt, cần cho phép điều chỉnh cấp độ rủi ro khi mục đích xử lý, quy mô dữ liệu hoặc công nghệ thay đổi; đồng thời thiết lập cơ chế kiểm tra, giải trình khi có bất đồng về kết quả phân loại. Cách tiếp cận này giúp tập trung nguồn lực vào những hệ thống có nguy cơ cao, thay vì phân bổ chi phí đồng đều cho mọi loại dữ liệu.

Bên cạnh đó, đại biểu Nguyễn Vũ Trung (TP. Hồ Chí Minh) cho rằng, cần làm rõ là ranh giới giữa việc tự xác định và quyền kiểm tra của cơ quan Nhà nước. Nếu Khoản 1 Điều 9 đã phân loại dữ liệu thành cấp độ cụ thể, nhưng Khoản 2 lại giao chủ quản tự xác định mà không nêu tiêu chí, hồ sơ chứng minh và cơ chế hậu kiểm, có thể phát sinh cách hiểu rằng, chủ quản được tự chọn cấp độ. Khi đó, cùng một loại dữ liệu có thể bị xếp thành các cấp độ khác nhau. Chủ quản có thể xếp thấp hơn để giảm nghĩa vụ, còn cơ quan quản lý thiếu căn cứ thống nhất để yêu cầu điều chỉnh.

Do vậy, đại biểu đề nghị sửa khoản 2 như sau: “Cơ quan, tổ chức, cá nhân chủ quản hệ thống dữ liệu có trách nhiệm tổ chức đánh giá, xác định cấp độ rủi ro an ninh dữ liệu đối với dữ liệu và hệ thống dữ liệu thuộc phạm vi quản lý theo tiêu chí quy định tại khoản 1 Điều này và quy định của Chính phủ; lập, lưu giữ hồ sơ về căn cứ xác định cấp độ và áp dụng đầy đủ yêu cầu bảo đảm an ninh dữ liệu tương ứng. Việc tự đánh giá, xác định cấp độ không loại trừ trách nhiệm kiểm tra, yêu cầu điều chỉnh cấp độ của cơ quan nhà nước có thẩm quyền”.

Các đại biểu thảo luận tại hội trường về Dự án Luật An ninh dữ liệu - Ảnh: quochoi.vn

Xác định rõ tính chất, độ nhạy cảm, phạm vi ảnh hưởng

Không chỉ vậy, đại biểu Sùng A Lềnh (Lào Cai) đề nghị hoàn thiện khoản 1, khoản 12 Điều 8 theo hướng tiêu chí phân cấp phải rõ, kiểm chứng được và áp dụng thống nhất. Việc phân cấp quyết định chủ thể phải đánh giá tác động, kiểm toán hay thẩm định, nên mỗi thay đổi cấp độ đều kéo theo trách nhiệm và chi phí. Nếu tiêu chí còn định tính, cùng một loại dữ liệu có thể được xác định khác nhau, nơi bảo vệ chưa đủ, nơi lại chịu yêu cầu vượt mức cần thiết. Tiêu chí cần đánh giá đầy đủ hậu quả khi dữ liệu bị lộ, bị làm sai lệch hoặc không thể truy cập đúng thời điểm. Chẳng hạn, thông tin cảnh báo thiên tai được công khai, nhưng nếu bị sửa đổi trái phép vẫn có thể gây hậu quả nghiêm trọng. Ngược lại, dung lượng lớn chưa đủ để kết luận dữ liệu có rủi ro cao. Với địa phương miền núi, biên giới, cần phân biệt rõ dữ liệu phục vụ cung cấp thông tin cho người dân với dữ liệu điều khiển công trình hoặc dữ liệu liên quan trực tiếp đến quốc phòng, an ninh.

Vì vậy, đại biểu Sùng A Lềnh đề nghị Luật xác định các tiêu chí nền tảng về tính chất, độ nhạy cảm, phạm vi ảnh hưởng và hậu quả khi bị xâm phạm, giao Chính phủ cụ thể hóa các ngưỡng định lượng, phương pháp đánh giá và tình huống hướng dẫn. Việc tích tụ, liên kết làm phát sinh nguy cơ mới phải được phân biệt với việc chỉ tăng số lượng bản ghi. Có như vậy chủ quản dữ liệu mới tự xác định được nghĩa vụ và cơ quan kiểm tra có căn cứ để thống nhất.

Đồng tình với các ý kiến nêu trên, từ thực tế ngành y tế, đại biểu Phạm Thu Xanh (Hải Phòng) đề nghị cần phân loại dữ liệu và xác định về cấp độ an ninh trên cơ sở mức độ rủi ro về thực chất. Tại khoản 3 Điều 8 đã xác định dữ liệu cốt lõi, trong đó có dữ liệu về sinh trắc học, dữ liệu về di truyền học. Khoản 2 Điều 12 quy định việc xác định về cấp độ hệ thống căn cứ vào dữ liệu có mức độ rủi ro cao nhất, trừ trường hợp được phân vùng, cách ly; cần phân biệt dữ liệu di truyền gắn trực tiếp với danh tính cá nhân, dữ liệu đã mã hóa và dữ liệu đã được khử nhận dạng, không thể tái nhận dạng.

“Nếu chỉ cần một phân hệ chứa dữ liệu nhạy cảm mà toàn bộ hệ thống bệnh viện phải áp dụng vào cấp độ an ninh cao nhất thì sẽ làm tăng đáng kể chi phí tuân thủ, nhất là đối với các cơ sở y tế công lập”, đại biểu Phạm Thu Xanh nhấn mạnh.

Hiện nay, một số xét nghiệm chuyên sâu về di truyền phải gửi mẫu sinh phẩm ra nước ngoài, do đó đại biểu Phạm Thu Xanh đề nghị cần phân biệt mẫu sinh phẩm với dữ liệu được tạo ra từ việc phân tích mẫu và thông tin định danh gắn với mẫu để có biện pháp quản lý phù hợp. Đối với mẫu đã mã hóa, khóa liên kết được lưu giữ trong nước, cần áp dụng cơ chế quản lý theo mức độ rủi ro, đồng thời quy định rõ trách nhiệm bảo quản, hoàn trả hoặc tiêu hủy mẫu và dữ liệu sau xét nghiệm.

Theo đó, cần làm rõ khoản 7 Điều 19 về chuyển dữ liệu phục vụ hội chẩn, chẩn đoán, điều trị; bổ sung tại khoản 4 Điều 9 căn cứ sử dụng dữ liệu đối với các nghiên cứu đã được Hội đồng đạo đức chấp thuận và thử nghiệm lâm sàng được cơ quan có thẩm quyền phê duyệt. Tại khoản 4 Điều 15, cần quy định cơ chế xác định cấp độ phù hợp đối với dữ liệu tổng hợp, dữ liệu dẫn xuất đã được khử nhận dạng và không thể tái nhận dạng. Đồng thời, cần bảo đảm tính thống nhất giữa luật này với Luật Bảo vệ dữ liệu cá nhân về lưu trữ đám mây, chuyển dữ liệu xuyên biên giới và đánh giá tác động đối với hoạt động xử lý dữ liệu y tế.

“Nếu thiếu hành lang pháp lý phù hợp, có thể vô tình hạn chế cơ hội phát triển y học chính xác, nghiên cứu ung thư, tim mạch, tế bào gốc và ứng dụng trí tuệ nhân tạo trong y tế”, đại biểu Phạm Thu Xanh lưu ý.