Theo đại biểu, Khoản 1 Điều 9 mô tả 5 cấp độ thông qua hậu quả khi dữ liệu bị sự cố hoặc bị xâm phạm. Đây là hướng tiếp cận phù hợp. Tuy nhiên, ngay trong các điểm quy định cấp độ 3, cấp độ 4 và cấp độ 5, dự thảo tiếp tục gắn dữ liệu với cấp độ của hệ thống thông tin lưu trữ, xử lý dữ liệu. Hai nội dung này có quan hệ mật thiết, nhưng cần phân định rõ trong luật: đâu là tiêu chí xác định rủi ro của dữ liệu, đâu là yêu cầu bảo vệ đối với hệ thống sau khi đã xác định rủi ro ấy. Dữ liệu có rủi ro cao không thể được xử lý trên một hệ thống thiếu an toàn. Điều đại biểu  băn khoăn là nếu đặt cả hai quy tắc trong cùng định nghĩa cấp độ dữ liệu, người áp dụng có thể hiểu cấp độ của hệ thống là một điều kiện để nhận diện cấp độ của dữ liệu. Khi đó, cùng một tập dữ liệu có thể bị đánh giá khác nhau tùy nơi lưu trữ, trong khi hậu quả nếu dữ liệu bị lộ, bị sửa đổi hoặc bị mất không nhất thiết thay đổi theo nơi lưu trữ.

Đại biểu Nguyễn Thị Việt Nga, Phó Trưởng Đoàn đại biểu Quốc hội Hải Phòng phát biểu thảo luận tại hội trường về Luật An ninh dữ liệu 

Chẳng hạn, một hệ thống có thể xử lý đồng thời dữ liệu công khai và dữ liệu nhạy cảm. Không vì chúng cùng nằm trên một hệ thống mà mọi dữ liệu đều có cùng mức rủi ro. Ngược lại, một tập dữ liệu nhỏ nhưng có khả năng gây tổn hại nghiêm trọng đến quyền của con người hoặc an ninh quốc gia vẫn cần được nhận diện đúng, dù hệ thống đang xử lý chưa được xếp ở cấp độ tương ứng. Vì vậy, đại biểu đề nghị chỉnh lý khoản 1 Điều 9 chỉ để quy định tiêu chí phân biệt 5 cấp độ theo tính chất dữ liệu và hậu quả có thể xảy ra khi dữ liệu bị xâm phạm. Quy định về cấp độ tối thiểu, biện pháp bảo vệ của hệ thống xử lý nên tách thành một khoản riêng và được áp dụng sau khi cấp độ dữ liệu đã được xác định, đồng thời bảo đảm thống nhất với pháp luật về an ninh mạng.

Về quy định chuyển, xử lý dữ liệu xuyên biên giới, đại biểu đề nghị luật phải xác định được ranh giới của từng nhóm dữ liệu và từng ngoại lệ. Tại điểm c khoản 2 Điều 19, dự thảo quy định “một số dữ liệu thuộc cấp độ 5” không được chuyển, xử lý xuyên biên giới, trừ trường hợp đặc biệt do Thủ tướng Chính phủ quyết định. Trong khi đó, theo điểm đ khoản 1 Điều 9, cấp độ 5 gắn với khả năng gây tổn hại đặc biệt nghiêm trọng đến quốc phòng, an ninh, đối ngoại, chủ quyền và toàn vẹn lãnh thổ. Dự thảo chưa chỉ rõ trong cấp độ này, dữ liệu nào bị cấm chuyển và vì sao dữ liệu cấp độ 5 còn lại có thể được chuyển theo một cơ chế khác. Đây là ranh giới của một biện pháp hạn chế quan trọng. Đại biểu đề nghị quyết định rõ ngay trong luật: hoặc xác định nguyên tắc không chuyển dữ liệu cấp độ 5, trừ trường hợp đặc biệt do Thủ tướng quyết định; hoặc, nếu chỉ cấm một nhóm trong cấp độ 5, phải quy định tiêu chí nhận diện nhóm bị cấm và cơ chế áp dụng đối với phần còn lại. Khoản 5 Điều 19 chỉ nên giao Chính phủ quy định chi tiết trình tự, hồ sơ, tiêu chuẩn bảo vệ và việc kiểm chứng điều kiện đã được luật xác lập. Điều 9 xác định mức rủi ro; Điều 19 đặt ra hệ quả pháp lý đối với việc chuyển dữ liệu. Nếu căn cứ phân cấp chưa rõ hoặc ngoại lệ chuyển dữ liệu quá rộng, chúng ta có thể vừa bảo vệ chưa đủ những dữ liệu hệ trọng, vừa gây khó cho những hoạt động hợp pháp cần được lưu thông. Đại biểu Nguyễn Thị Viêt Nga đề nghị cơ quan soạn thảo xem xét chỉnh lý đồng thời giải trình chi tiết hơn phương án lựa chọn đối với dữ liệu cấp độ 5 trước khi Quốc hội xem xét thông qua.

Đại biểu Phạm Thu Xanh (Hải Phòng) phát biểu thảo luận tại hội trường về Luật An ninh dữ liệu 

Đại biểu Phạm Thu Xanh (Hải Phòng) đánh giá cao những bước tiến quan trọng của dự thảo Luật trong việc thiết lập khuôn khổ pháp lý bảo vệ dữ liệu, bảo đảm an ninh quốc gia và trật tự, an toàn xã hội. Thực tiễn cho thấy, y tế, ngân hàng, bảo hiểm là những lĩnh vực tiềm ẩn nguy cơ cao về lộ, lọt, mua bán dữ liệu. Cơ quan chức năng đã phát hiện khoảng 300 vụ rao bán dữ liệu với hơn 1,7 triệu bản ghi thuộc nhiều lĩnh vực, trong đó có dữ liệu y tế. Đây cũng là những lĩnh vực chịu tác động trực tiếp của các quy định về an ninh dữ liệu. Từ thực tiễn ngành y tế, đại biểu Phạm Thu Xanh đề nghị bảo vệ an ninh dữ liệu phải gắn với bảo đảm an toàn người bệnh và tính liên tục của hoạt động khám, chữa bệnh.

Khoản 1, khoản 2 Điều 69 Luật Khám bệnh, chữa bệnh quy định hồ sơ bệnh án phải được lưu giữ, bảo mật; nhiều loại hồ sơ có thời hạn lưu trữ từ 10 đến 30 năm, 70 năm hoặc vĩnh viễn. Đây không chỉ là dữ liệu chuyên môn mà còn là lịch sử sức khỏe và bí mật riêng tư của mỗi người. Tuy nhiên, bảo vệ dữ liệu không có nghĩa là hạn chế việc khai thác dữ liệu hợp pháp phục vụ điều trị. Người bệnh ung thư cần hội chẩn quốc tế; thai phụ cần kết quả xét nghiệm di truyền để quyết định can thiệp; bệnh nhân cấp cứu cần được truy cập kịp thời tiền sử bệnh án. Vì vậy, đại biểu đề nghị rà soát khoản 7, khoản 9 Điều 19 theo hướng quy định rõ cơ chế chuyển, chia sẻ dữ liệu phục vụ hội chẩn, chẩn đoán, điều trị và thanh toán theo yêu cầu hợp pháp hoặc có sự đồng ý của người bệnh. Đối với dữ liệu đã mã hóa, có kiểm soát truy cập và lưu vết, cần có quy trình, thời hạn xử lý phù hợp, tránh phát sinh thủ tục không cần thiết. Đồng thời, khi áp dụng biện pháp kỹ thuật khẩn cấp theo Điều 23, cần có cơ chế bảo đảm không làm gián đoạn hoạt động cấp cứu, điều trị nội trú và các dịch vụ y tế thiết yếu. Bởi sự cố an ninh dữ liệu trong bệnh viện không chỉ là sự cố công nghệ mà có thể trực tiếp ảnh hưởng đến an toàn người bệnh.

Đại biểu Phạm Thu Xanh (Hải Phòng) phát biểu thảo luận tại hội trường về Luật An ninh dữ liệu

Đại biểu đề nghị  cần phân loại dữ liệu và xác định cấp độ an ninh trên cơ sở mức độ rủi ro thực chất.

Khoản 3 Điều 8 xác định dữ liệu cốt lõi, trong đó có dữ liệu sinh trắc học, dữ liệu di truyền; khoản 2 Điều 12 quy định việc xác định cấp độ hệ thống căn cứ vào dữ liệu có mức độ rủi ro cao nhất, trừ trường hợp được phân vùng, cách ly. Đại biểu cho rằng cần phân biệt dữ liệu di truyền gắn trực tiếp với danh tính cá nhân, dữ liệu đã mã hóa và dữ liệu đã khử nhận dạng, không thể tái nhận dạng. Nếu chỉ cần một phân hệ chứa dữ liệu nhạy cảm mà toàn bộ hệ thống bệnh viện phải áp dụng cấp độ an ninh cao nhất thì sẽ làm tăng đáng kể chi phí tuân thủ, nhất là đối với các cơ sở y tế công lập.

Đề nghị làm rõ khoản 3 Điều 8 theo hướng việc xác định dữ liệu cốt lõi phải căn cứ vào tính chất, quy mô, khả năng gây thiệt hại và ngưỡng rủi ro của chính tập dữ liệu; đồng thời hướng dẫn cụ thể việc phân vùng, cách ly hệ thống theo khoản 2 Điều 12. Theo đại biểu Phạm Thu Xanh, cần tạo hành lang pháp lý cho khai thác dữ liệu phục vụ y học hiện đại và nghiên cứu khoa học.

Hiện nay, một số xét nghiệm chuyên sâu về di truyền phải gửi mẫu sinh phẩm ra nước ngoài. Cần phân biệt mẫu sinh phẩm với dữ liệu được tạo ra từ việc phân tích mẫu và thông tin định danh gắn với mẫu để có biện pháp quản lý phù hợp. Đối với mẫu đã mã hóa, khóa liên kết được lưu giữ trong nước, cần áp dụng cơ chế quản lý theo mức độ rủi ro, đồng thời quy định rõ trách nhiệm bảo quản, hoàn trả hoặc tiêu hủy mẫu và dữ liệu sau xét nghiệm. Đại biểu đề nghị làm rõ khoản 7 Điều 19 về chuyển dữ liệu phục vụ hội chẩn, chẩn đoán, điều trị; bổ sung tại khoản 4 Điều 9 căn cứ sử dụng dữ liệu đối với các nghiên cứu đã được Hội đồng đạo đức chấp thuận và thử nghiệm lâm sàng được cơ quan có thẩm quyền phê duyệt. Tại khoản 4 Điều 15, cần quy định cơ chế xác định cấp độ phù hợp đối với dữ liệu tổng hợp, dữ liệu dẫn xuất đã được khử nhận dạng và không thể tái nhận dạng. Đồng thời, cần bảo đảm tính thống nhất giữa Luật này với Luật Bảo vệ dữ liệu cá nhân về lưu trữ đám mây, chuyển dữ liệu xuyên biên giới và đánh giá tác động đối với hoạt động xử lý dữ liệu y tế. Nếu thiếu hành lang pháp lý phù hợp, chúng ta có thể vô tình hạn chế cơ hội phát triển y học chính xác, nghiên cứu ung thư, tim mạch, tế bào gốc và ứng dụng trí tuệ nhân tạo trong y tế. Cùng với đó, cần phân định rõ trách nhiệm bảo đảm an ninh dữ liệu giữa cơ sở y tế và đơn vị quản lý các nền tảng dữ liệu dùng chung của Nhà nước.

Hiện nay, cơ sở y tế phải kết nối, chia sẻ dữ liệu với cơ sở dữ liệu quốc gia về y tế, hệ thống của Bộ Y tế, cơ quan bảo hiểm xã hội, chính quyền địa phương và Sổ sức khỏe điện tử. Dữ liệu được luân chuyển qua nhiều hệ thống, nhiều chủ thể quản lý.  Tuy nhiên, Điều 18 chưa làm rõ trách nhiệm khi dữ liệu được bệnh viện cung cấp theo nghĩa vụ pháp luật nhưng sự cố lại phát sinh tại nn tảng tiếp nhận hoặc trong quá trình kết nối, khai thác.

Đại biểu đề nghị quy định rõ: cơ sở y tế chịu trách nhiệm về tính chính xác, an toàn dữ liệu trong phạm vi hệ thống do mình quản lý và đến điểm kết nối theo tiêu chuẩn được công bố; cơ quan, đơn vị quản lý nền tảng chịu trách nhiệm về an ninh, an toàn và xử lý sự cố trong phạm vi hệ thống được giao quản lý. Đồng thời, tại khoản 7 Điều 22, cần bổ sung cơ chế thông báo cho người đại diện, người giám hộ đối với trẻ em và người cao tuổi bị suy giảm khả năng nhận thức.

Theo đại biểu Phạm Thu Xanh, trong lĩnh vực y tế, dữ liệu bị lộ lọt có thể gây tổn thương lâu dài đến quyền riêng tư và cuộc sống của người bệnh; nhưng dữ liệu không được kết nối kịp thời hoặc hệ thống bị gián đoạn cũng có thể làm mất đi cơ hội cứu chữa. Vì vậy, 2 yêu cầu bảo vệ an ninh dữ liệu và bảo đảm dữ liệu được khai thác an toàn, kịp thời phải được đặt ra đồng thời./.