Làm rõ trách nhiệm bảo đảm an ninh dữ liệu của chính quyền cấp xã

Thống nhất quy định sử dụng nền tảng số, trí tuệ nhân tạo trong công vụ

Thảo luận tại hội trường, đại biểu Trịnh Ngọc Phương (Đoàn Tây Ninh) đề nghị, dự thảo Luật An ninh dữ liệu cần quy định rõ trách nhiệm của chính quyền cấp xã trong quản lý, khai thác và sử dụng dữ liệu; đồng thời phân định trách nhiệm giữa cấp xã với cơ quan cấp tỉnh, đơn vị vận hành và nhà cung cấp dịch vụ hạ tầng dùng chung.

Theo đại biểu, cấp xã là nơi trực tiếp tiếp xúc với người dân, tiếp nhận và giải quyết các thủ tục hành chính liên quan đến dữ liệu dân cư, tài chính, học tập và an sinh xã hội. Tuy nhiên, cơ sở dữ liệu, phần mềm, máy chủ và hạ tầng kỹ thuật trong nhiều trường hợp lại do cấp tỉnh hoặc đơn vị cung cấp dịch vụ quản lý tập trung. Như vậy, cấp xã trực tiếp khai thác, sử dụng dữ liệu nhưng không phải lúc nào cũng có quyền kiểm soát toàn bộ hệ thống.

Trong khi đó, nếu không phân định rõ trách nhiệm, cấp xã có thể phải chịu trách nhiệm đối với những sự cố nằm ngoài thẩm quyền và khả năng kiểm soát của mình.

Vì vậy, đại biểu Trịnh Ngọc Phương đề nghị xác định trách nhiệm của cấp xã gắn với phạm vi quản lý, khai thác và sử dụng dữ liệu được giao; đồng thời làm rõ trách nhiệm của cơ quan cấp tỉnh, đơn vị vận hành và nhà cung cấp dịch vụ hạ tầng dùng chung.

Bên cạnh đó, đại biểu cho rằng, Điều 24 của dự thảo cần quan tâm đến cơ chế bảo đảm nhân lực và hạ tầng kỹ thuật cho cấp xã. Trong đó, không nhất thiết phải thành lập bộ phận chuyên trách tại từng xã, nhưng cần có đầu mối được phân công, quy trình phối hợp ứng phó sự cố và trách nhiệm bảo đảm hỗ trợ kỹ thuật kịp thời của cơ quan quản lý.

Đối với việc sử dụng nền tảng số và công cụ trí tuệ nhân tạo trong hoạt động công vụ, đại biểu Trịnh Ngọc Phương đề nghị, dự thảo Luật bổ sung quy định thống nhất, xác định rõ loại dữ liệu được phép đưa lên các nền tảng bên ngoài và loại dữ liệu không được phép sử dụng trên những nền tảng chưa được kiểm soát; bổ sung quy định về trách nhiệm thông báo kịp thời cho cá nhân, tổ chức bị ảnh hưởng khi xảy ra sự cố gây thiệt hại đáng kể.

Làm rõ ranh giới dữ liệu được phép chuyển xuyên biên giới

Đại biểu Nguyễn Thị Việt Nga (Đoàn Hải Phòng) đề nghị làm rõ tiêu chí phân loại dữ liệu theo cấp độ rủi ro, tách biệt tiêu chí xác định mức độ rủi ro của dữ liệu với yêu cầu bảo vệ hệ thống thông tin. Đồng thời, dự thảo Luật An ninh dữ liệu cần quy định cụ thể ranh giới các nhóm dữ liệu được phép và không được phép chuyển, xử lý xuyên biên giới, tránh tạo ngoại lệ quá rộng.

Góp ý về Điều 19 quy định chuyển, xử lý dữ liệu xuyên biên giới, đại biểu Nguyễn Thị Việt Nga đồng tình với việc dự thảo đặt ra các điều kiện khác nhau theo cấp độ rủi ro. Tuy nhiên, chính vì có sự phân biệt về điều kiện nên luật cần xác định rõ ranh giới của từng nhóm dữ liệu và các trường hợp ngoại lệ.

Cụ thể, tại điểm c khoản 2 Điều 19, dự thảo quy định một số dữ liệu thuộc cấp độ 5 không được chuyển, xử lý xuyên biên giới, trừ trường hợp đặc biệt do Thủ tướng Chính phủ quyết định. Trong khi đó, theo điểm đ khoản 1 Điều 9, cấp độ 5 gắn với khả năng gây tổn hại đặc biệt nghiêm trọng đến quốc phòng, an ninh, đối ngoại, chủ quyền và toàn vẹn lãnh thổ.

Đại biểu cho rằng, dự thảo chưa chỉ rõ trong cấp độ 5, những loại dữ liệu nào bị cấm chuyển và vì sao các dữ liệu cấp độ 5 còn lại có thể được chuyển theo một cơ chế khác. Đây là ranh giới của một biện pháp hạn chế quan trọng.

Vì vậy, đại biểu Nguyễn Thị Việt Nga đề nghị quy định rõ ngay trong luật theo một trong hai hướng: Xác định nguyên tắc không chuyển dữ liệu cấp độ 5, trừ trường hợp đặc biệt do Thủ tướng Chính phủ quyết định; hoặc nếu chỉ cấm một nhóm dữ liệu trong cấp độ 5 thì phải quy định cụ thể tiêu chí nhận diện nhóm bị cấm và cơ chế áp dụng đối với phần còn lại.

Đại biểu cũng đề nghị rà soát khoản 3 Điều 19 về các trường hợp loại trừ việc xử lý công việc nội bộ, giao dịch thông thường hoặc sử dụng dịch vụ số khỏi quy định tại điểm b và điểm c khoản 2.

Theo đại biểu, nhu cầu bảo đảm các giao dịch thường xuyên, thông suốt là chính đáng, nhưng cách diễn đạt hiện nay chủ yếu dựa vào tên hoạt động, chưa căn cứ vào loại dữ liệu được chuyển, chủ thể thực sự có quyền tiếp cận và khả năng kiểm soát dữ liệu của chủ quản.

Do đó, đại biểu đề nghị giới hạn ngoại lệ tại khoản 3 bằng những điều kiện có thể kiểm chứng, gồm: Loại và cấp độ dữ liệu; mục đích, phạm vi xử lý; quyền tiếp cận của bên ở nước ngoài; khả năng quản lý khóa giải mã và duy trì quyền kiểm soát của chủ quản dữ liệu.

Đề xuất trao quyền ứng phó sự cố dữ liệu cho cấp tỉnh

Góp ý dự thảo Luật, đại biểu Nguyễn Thị Sửu (Đoàn thành phố Huế) tập trung vào Điều 23 về cơ chế ứng phó khẩn cấp.

Đại biểu đề nghị bổ sung thẩm quyền có giới hạn cho Chủ tịch UBND cấp tỉnh trong xử lý sự cố an ninh dữ liệu phát sinh trên địa bàn, nhằm bảo đảm phản ứng kịp thời tại chỗ, đồng thời vẫn giữ sự kiểm soát thống nhất của cơ quan Trung ương.

Theo đại biểu, Điều 23 được thiết kế tương đối toàn diện, đồng bộ, thể hiện tính chuyên nghiệp trong ứng phó sự cố. Tuy nhiên, quy định về thẩm quyền quyết định các biện pháp khẩn cấp cần được xem xét để phù hợp hơn với yêu cầu xử lý tình huống thực tế tại địa phương.

Đại biểu cho rằng, quy định này bảo đảm sự kiểm soát tập trung. Tuy nhiên, trong trường hợp sự cố xảy ra tại địa phương và cần được khoanh vùng ngay, việc phải chờ quyết định từ cấp bộ có thể làm chậm quá trình ứng phó. Khi hành vi truy cập trái phép, sửa đổi hoặc xóa dữ liệu đang diễn ra, việc khóa quyền truy cập, cô lập tài khoản hoặc phong tỏa phần dữ liệu liên quan cần được thực hiện kịp thời, không nhất thiết phải chờ sự cố lan rộng.

Từ thực tế đó, đại biểu Nguyễn Thị Sửu đề nghị sửa đổi khoản 4 Điều 23 theo hướng bổ sung thẩm quyền có giới hạn cho Chủ tịch UBND cấp tỉnh đối với các sự cố phát sinh trên địa bàn thuộc phạm vi quản lý, không liên quan đến hệ thống dữ liệu trọng yếu hoặc các vụ việc liên tỉnh, xuyên biên giới.

Thẩm quyền này chỉ giới hạn ở việc áp dụng biện pháp phong tỏa một phần dữ liệu, hạn chế hoặc vô hiệu hóa quyền truy cập theo điểm a, điểm b khoản 2 Điều 23. Đồng thời, Chủ tịch UBND cấp tỉnh phải thông báo ngay cho cơ quan chuyên trách thuộc Bộ Công an hoặc Bộ Quốc phòng để phối hợp kiểm tra.

Theo đại biểu Nguyễn Thị Sửu, quy định theo hướng này sẽ giúp nâng cao tính linh hoạt, kịp thời trong ứng phó sự cố tại địa phương, đồng thời vẫn bảo đảm tính thống nhất trong quản lý. Bên cạnh đó, luật cần quy định rõ trách nhiệm báo cáo, kiểm tra và chấm dứt biện pháp khẩn cấp khi căn cứ áp dụng không còn.