Thiết kế nhiều lớp bảo vệ quyền riêng tư
Sáng 4/11, cuối phiên thảo luận tại hội trường về dự án Luật An ninh dữ liệu và Luật Định danh và xác thực điện tử, Đại tướng, Bộ trưởng Bộ Công an Lương Tam Quang đã phát biểu giải trình, làm rõ một số vấn đề đại biểu Quốc hội nêu.
Về Luật Định danh và xác thực điện tử, theo Bộ trưởng, dự thảo luật đã xác định phạm vi các nhóm đối tượng được định danh điện tử.
Nhóm đối tượng định danh do cơ quan nhà nước thực hiện, gồm cơ quan, tổ chức, cá nhân, địa điểm, không gian, đối tượng có thông tin thuộc dữ liệu cốt lõi, dữ liệu quan trọng, đối tượng được chứng nhận quyền sở hữu, sử dụng sản phẩm hàng hóa có mức độ rủi ro cao, đối tượng thuộc bí mật nhà nước.
Các nhóm đối tượng định danh điện tử còn lại do tổ chức cung cấp dịch vụ đủ điều kiện thực hiện theo nhu cầu của cơ quan tổ chức, cá nhân.
Chính phủ sẽ quy định danh mục và lộ trình thực hiện đối với nhóm do cơ quan nhà nước thực hiện để đảm bảo phù hợp với điều kiện thực tiễn chuyển đổi số.
Về việc bảo vệ quyền riêng tư, nguyên tắc thu thập dữ liệu tối thiểu, đồng bộ dữ liệu định danh xác thực, theo Bộ trưởng, dự thảo luật đã thiết kế nhiều lớp bảo vệ quyền riêng tư, việc thu thập dữ liệu tối thiểu phải có sự đồng ý của chủ thể, không đồng bộ nội dung giao dịch, không chia sẻ kết quả xác thực ngoài phạm vi cho phép.
Bộ trưởng cho biết, cơ quan chủ trì soạn thảo sẽ tiếp tục rà soát các quy định có liên quan, tham mưu Chính phủ quy định chi tiết về việc thu thập, khai thác, sử dụng dữ liệu về định danh và xác thực điện tử để bảo đảm chặt chẽ bảo vệ quyền và lợi ích hợp pháp của chủ thể.
Về việc liên kết tài khoản giao dịch với danh tính điện tử, cơ chế phòng ngừa rủi ro trong việc giả mạo danh tính trên môi trường điện tử, theo Bộ trưởng Công an, dự thảo luật quy định cơ quan, tổ chức, cá nhân sử dụng tài khoản giao dịch điện tử để giao dịch điện tử trực tuyến trong các lĩnh vực: chứng khoán, viễn thông, ngân hàng, bưu chính, thương mại điện tử, khám bệnh, chữa bệnh, trung gian thanh toán, ví điện tử, tài sản mã hóa, trò chơi điện tử trực tuyến, dịch vụ đăng ký, cho thuê và sử dụng tên miền và các lĩnh vực khác có rủi ro cao hoặc phát sinh nghĩa vụ pháp lý quan trọng, thì phải xác thực với danh tính điện tử quốc gia và liên kết tài khoản giao dịch điện tử với danh tính điện tử đó.
Luật cũng giao bộ trưởng, thủ trưởng cơ quan ngang bộ quy định cụ thể các giao dịch điện tử trực tuyến thuộc lĩnh vực khác có rủi ro cao hoặc phát sinh nghĩa vụ pháp lý quan trọng bảo đảm phù hợp với đặc thù của từng ngành.
Tránh bảo vệ dàn trải ở nơi rủi ro thấp nhưng lại bỏ ngỏ ở nơi rủi ro cao
Với dự án Luật An ninh dữ liệu, theo Bộ trưởng Công an, cơ chế phân cấp độ rủi ro an ninh dữ liệu là trụ cột của dự thảo luật, bởi chỉ khi xác định đúng mức độ nguy hại mà dữ liệu có thể gây ra khi bị xâm hại, khi bị xâm phạm, thì mới đặt ra được nghĩa vụ tương xứng, tránh bảo vệ dàn trải ở nơi rủi ro thấp nhưng lại bỏ ngỏ ở nơi rủi ro cao.
Bộ trưởng cho biết, tiếp thu kết luận của Ủy ban Thường vụ Quốc hội, dự thảo thiết kế 5 cấp độ rủi ro tương thích với 5 cấp độ hệ thống thông tin theo Luật An ninh mạng. Trong đó, dự thảo luật cho phép sử dụng ngay kết quả xác định cấp độ theo pháp luật về an ninh mạng để cùng một hệ thống không phải đánh giá 2 lần. Cấp độ rủi ro cũng không thay thế việc phân loại dữ liệu cốt lõi, dữ liệu quan trọng theo luật dữ liệu và không làm phát sinh danh mục mới mà chỉ là căn cứ để lựa chọn biện pháp bảo vệ.
Trên cơ sở đó, nghĩa vụ được xác định theo hướng rủi ro càng thấp thì thủ tục càng đơn giản. Cụ thể, dữ liệu cấp độ 1 không phát sinh thủ tục dữ liệu; cấp độ 2 chỉ cần phương án bảo vệ rút gọn và được miễn đối với hộ kinh doanh, doanh nghiệp siêu nhỏ, nhỏ, khởi nghiệp sáng tạo.
Từ cấp độ 3 mới phải đánh giá tác động và kiểm toán. Việc thẩm định chỉ áp dụng với cấp độ 4, cấp độ 5 và được thực hiện chung một hồ sơ với thẩm định an ninh mạng.
Đối với đề nghị quy định ngay trong luật bảng tương ứng giữa hai hệ thống cấp độ, Bộ trưởng Bộ Công an đề nghị giữ phương án giao Chính phủ quy định, vì tiêu chuẩn kỹ thuật thay đổi nhanh, nếu quy định cứng trong luật, mỗi lần điều chỉnh lại phải sửa luật.
"Khi xây dựng nghị định, Chính phủ sẽ quy định bộ tiêu chí định lượng, định tính có thể kiểm chứng để doanh nghiệp, nhất là doanh nghiệp nhỏ và vừa tự xác định đúng cấp độ...", Bộ trưởng cho biết.
