Cần thiết ban hành Luật An ninh dữ liệu trong tiến trình chuyển đổi số quốc gia

Trong kỷ nguyên chuyển đổi số, dữ liệu không còn đơn thuần là thông tin được lưu trữ, xử lý mà đã trở thành một loại tư liệu sản xuất đặc biệt, một tài sản chiến lược quyết định năng lực cạnh tranh, sự ổn định kinh tế và an ninh của mỗi quốc gia. Chủ quyền quốc gia trên không gian số, theo đó, không chỉ dừng lại ở việc bảo vệ hạ tầng mạng mà còn mở rộng sang quyền quản lý, kiểm soát và bảo vệ dữ liệu.

Trước những nguy cơ, thách thức ngày càng gia tăng đối với an ninh dữ liệu, việc xây dựng, ban hành Luật An ninh dữ liệu là yêu cầu cấp thiết nhằm hoàn thiện hệ thống pháp luật, bảo vệ chủ quyền dữ liệu quốc gia, bảo đảm quyền, lợi ích hợp pháp của tổ chức, cá nhân và tạo nền tảng cho phát triển kinh tế số bền vững.

Thứ trưởng Phạm Thế Tùng báo cáo UBTVQH về dự thảo Luật An ninh dữ liệu.

Đáp ứng yêu cầu bảo đảm an ninh dữ liệu trong tiến trình chuyển đổi số quốc gia

Mỗi ngày, hàng triệu giao dịch số, hàng triệu lượt truy cập, chia sẻ thông tin diễn ra trên không gian mạng Việt Nam. Phía sau mỗi thao tác tưởng như đơn giản đó là những luồng dữ liệu có thể trở thành mục tiêu bị đánh cắp, trục lợi hoặc bị lợi dụng để xâm phạm an ninh quốc gia nếu không được bảo vệ đúng cách. Trong bối cảnh dữ liệu ngày càng giữ vai trò quan trọng đối với mọi mặt đời sống kinh tế - xã hội, yêu cầu bảo đảm an ninh dữ liệu đã trở thành vấn đề cấp thiết, gắn trực tiếp với chủ quyền quốc gia trên không gian số và sự phát triển bền vững của đất nước.

Về cơ sở chính trị, Nghị quyết số 57-NQ/TW ngày 22/12/2024 của Bộ Chính trị về đột phá phát triển khoa học, công nghệ, đổi mới sáng tạo và chuyển đổi số quốc gia xác định bảo đảm chủ quyền quốc gia trên không gian mạng và an ninh dữ liệu là điều kiện tiên quyết, không thể tách rời trong tiến trình chuyển đổi số.

Đây là định hướng chính trị quan trọng, đặt ra yêu cầu phải sớm thể chế hóa thành luật chuyên ngành, toàn diện về an ninh dữ liệu, thay vì tiếp tục xử lý vấn đề này bằng các quy định tản mạn, nằm rải rác trong nhiều văn bản khác nhau. Việc xây dựng Luật An ninh dữ liệu nhằm cụ thể hóa chủ trương của Đảng, tạo hành lang pháp lý thống nhất để bảo vệ an ninh dữ liệu, đáp ứng yêu cầu phát triển khoa học, công nghệ, đổi mới sáng tạo và chuyển đổi số quốc gia.

Nguy cơ mất an ninh dữ liệu ngày càng gia tăng, đặt ra yêu cầu cấp thiết về quản lý và bảo vệ

Về cơ sở thực tiễn, công tác bảo đảm an ninh mạng, an ninh dữ liệu tại Việt Nam thời gian qua cho thấy mức độ rủi ro ngày càng gia tăng cả về quy mô lẫn tính chất. Số vụ tấn công mạng có chủ đích, trong đó phần lớn nhằm trực tiếp vào dữ liệu, có xu hướng tăng nhanh qua từng năm. Đáng chú ý, đã xuất hiện sự chuyển dịch rõ rệt từ các đợt tấn công dàn trải sang những chiến dịch tấn công có chủ đích, kéo dài, xâm nhập sâu và âm thầm thu thập dữ liệu trong thời gian dài trước khi bị phát hiện.

Cùng với đó, tình trạng dữ liệu cá nhân bị rao bán trái phép trên các diễn đàn ngầm diễn ra ở quy mô lớn; thiệt hại kinh tế do lừa đảo trực tuyến, mã độc tống tiền gây ra là rất đáng kể. Các nguy cơ, thách thức đối với an ninh dữ liệu không chỉ tác động đến hoạt động của cơ quan, tổ chức, doanh nghiệp mà còn trực tiếp ảnh hưởng đến quyền, lợi ích hợp pháp của người dân, trật tự, an toàn xã hội và an ninh quốc gia.

Quy mô và tốc độ gia tăng của rủi ro an ninh dữ liệu đang vượt xa năng lực ứng phó hiện có. Nếu không có một thể chế đủ mạnh để quản lý rủi ro ngay từ gốc, nguy cơ bị động, lúng túng trong ứng phó sự cố sẽ ngày càng lớn, gây thiệt hại cho cơ quan, tổ chức, cá nhân, thậm chí ảnh hưởng nghiêm trọng đến an ninh quốc gia.

Thực tiễn đó đòi hỏi phải có một khung pháp lý đủ mạnh, toàn diện và thống nhất, cho phép chủ động nhận diện, phòng ngừa, kiểm soát các nguy cơ mất an ninh dữ liệu ngay từ đầu, thay vì chỉ tập trung xử lý, khắc phục hậu quả sau khi sự cố đã xảy ra.

Khắc phục khoảng trống của hệ thống pháp luật hiện hành về bảo đảm an ninh dữ liệu

Hiện nay, hệ thống pháp luật Việt Nam đã có Luật An ninh mạng, Luật Dữ liệu, Luật Bảo vệ dữ liệu cá nhân, Luật Trí tuệ nhân tạo, song mỗi luật chỉ điều chỉnh một khía cạnh riêng.

Theo đó, Luật An ninh mạng tập trung bảo vệ an ninh mạng đối với hệ thống thông tin; Luật Bảo vệ dữ liệu cá nhân bảo vệ quyền, lợi ích hợp pháp của chủ thể dữ liệu cá nhân; Luật Dữ liệu điều chỉnh việc xây dựng, quản trị, khai thác, chia sẻ, phân loại dữ liệu theo tính chất quan trọng.

Đến nay, chưa có luật nào quy định toàn diện việc bảo vệ an ninh của chính dữ liệu, xuyên suốt từ khâu thu thập, tạo lập, lưu trữ, xử lý, truyền đưa, chia sẻ cho đến khi tiêu hủy. Khoảng trống pháp lý này khiến nhiều hoạt động xử lý dữ liệu có nguy cơ cao, như xử lý dữ liệu quy mô lớn, huấn luyện trí tuệ nhân tạo bằng dữ liệu nhạy cảm, chuyển dữ liệu xuyên biên giới, chưa có cơ chế quản lý rủi ro tương xứng. Trong khi đó, sự phát triển nhanh chóng của khoa học, công nghệ và các mô hình khai thác, sử dụng dữ liệu tiếp tục đặt ra những yêu cầu mới đối với công tác bảo đảm an ninh dữ liệu.

Đặc biệt, hệ thống pháp luật hiện hành đã có các quy định điều chỉnh những khía cạnh liền kề của vấn đề an ninh dữ liệu, nhưng mỗi luật chỉ bao quát một lát cắt riêng. Luật Dữ liệu điều chỉnh việc xây dựng, phát triển, quản trị, khai thác, chia sẻ dữ liệu, trả lời câu hỏi dữ liệu được quản lý, sử dụng như thế nào; Luật Bảo vệ dữ liệu cá nhân bảo vệ quyền của chủ thể dữ liệu đối với thông tin cá nhân, trả lời câu hỏi quyền của cá nhân đối với dữ liệu về mình; Luật An ninh mạng bảo vệ an ninh của hệ thống thông tin, hạ tầng mà dữ liệu đi qua.

Trong khi đó, chưa có luật nào coi bản thân dữ liệu, xuyên suốt vòng đời, không phụ thuộc vào hệ thống lưu trữ hay quyền sở hữu, là đối tượng bảo vệ độc lập. Đây chính là khoảng trống pháp lý mà việc ban hành Luật An ninh dữ liệu nhằm lấp đầy, không chồng lấn, không thay thế các luật nêu trên mà bổ khuyết phần còn thiếu.

Khoản 1 Điều 2 dự thảo Luật đưa ra khái niệm: "An ninh dữ liệu là sự bảo đảm tính nguyên vẹn, tính bảo mật và tính khả dụng của dữ liệu trong suốt vòng đời trước các mối đe dọa, nguy cơ xâm phạm; bảo đảm hoạt động xử lý dữ liệu không gây phương hại đến chủ quyền dữ liệu quốc gia, an ninh quốc gia, trật tự, an toàn xã hội, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân".

Khái niệm này cho thấy việc bảo đảm an ninh dữ liệu không chỉ giới hạn ở việc bảo vệ hệ thống lưu trữ, truyền dẫn hay xử lý dữ liệu, mà còn bao gồm bảo vệ chính dữ liệu trước các nguy cơ bị xâm phạm, bảo đảm tính nguyên vẹn, tính bảo mật và tính khả dụng của dữ liệu trong toàn bộ quá trình tồn tại, khai thác và sử dụng.

Bên cạnh yêu cầu lấp đầy khoảng trống thể chế, việc ban hành Luật còn xuất phát từ yêu cầu bảo vệ chủ quyền dữ liệu quốc gia trong bối cảnh dữ liệu ngày càng xuyên biên giới, tập trung vào một số nền tảng công nghệ lớn, trong khi năng lực tự chủ công nghệ, khả năng kiểm soát rủi ro của nhiều cơ quan, tổ chức, doanh nghiệp trong nước còn hạn chế.

Khoản 4 Điều 2 dự thảo Luật xác định: "Chủ quyền dữ liệu quốc gia là quyền tối cao của Nhà nước... ban hành chính sách, pháp luật, quản lý, kiểm soát và bảo vệ dữ liệu thuộc quyền tài phán của Việt Nam". Đây là nền tảng pháp lý để Nhà nước có công cụ bảo vệ dữ liệu quốc gia một cách chủ động, có hệ thống, thay vì chỉ xử lý rời rạc theo từng vụ việc.

Việc ban hành Luật An ninh dữ liệu vì vậy không phải là sự lặp lại các quy định đã có, mà nhằm bổ sung một lĩnh vực còn thiếu trong hệ thống pháp luật, hình thành khung pháp lý chuyên ngành để bảo vệ an ninh của chính dữ liệu trong toàn bộ vòng đời, từ khi được tạo lập cho đến khi tiêu hủy.

Phù hợp với xu thế quản trị và bảo đảm an ninh dữ liệu trên thế giới

Về kinh nghiệm quốc tế, mỗi quốc gia, khu vực lựa chọn một cách tiếp cận khác nhau đối với quản trị dữ liệu, tùy theo điều kiện thể chế và trình độ phát triển công nghệ.

Tuy nhiên, điểm chung là hầu hết các nền kinh tế lớn đều đã hoặc đang xây dựng một khung pháp lý riêng, chuyên biệt để quản lý rủi ro an ninh đối với dữ liệu, tách bạch với khung pháp lý về an ninh mạng và bảo vệ dữ liệu cá nhân.

Điều này cho thấy, cùng với sự phát triển của kinh tế số và các hoạt động khai thác, sử dụng dữ liệu, yêu cầu bảo đảm an ninh dữ liệu ngày càng được các quốc gia quan tâm, đặt ra như một nội dung quan trọng trong quản trị quốc gia trên môi trường số.

Đây là cơ sở thực tiễn quốc tế quan trọng để khẳng định việc Việt Nam xây dựng Luật An ninh dữ liệu là bước đi phù hợp với xu thế chung, đáp ứng yêu cầu bảo vệ chủ quyền dữ liệu quốc gia, đồng thời tạo điều kiện thuận lợi cho quá trình hội nhập quốc tế và phát triển kinh tế số.

Từ những cơ sở chính trị, pháp lý, thực tiễn và kinh nghiệm quốc tế nêu trên, có thể khẳng định việc xây dựng, ban hành Luật An ninh dữ liệu là yêu cầu khách quan, cấp thiết trong giai đoạn hiện nay. Việc ban hành Luật không chỉ nhằm khắc phục khoảng trống pháp lý, hoàn thiện hệ thống pháp luật về bảo đảm an ninh dữ liệu, mà còn tạo cơ sở chuyển đổi phương thức quản lý từ bị động ứng phó sang chủ động phòng ngừa, kiểm soát rủi ro; bảo vệ vững chắc chủ quyền dữ liệu quốc gia, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân, đồng thời tạo nền tảng an toàn, tin cậy để thúc đẩy chuyển đổi số và phát triển kinh tế số bền vững.