Định danh điện tử ngày càng mở rộng, nhưng thu thập và khai thác dữ liệu đến đâu để không xâm phạm quyền riêng tư? An ninh dữ liệu cần được bảo vệ theo cấp độ rủi ro như thế nào để vừa tránh tạo thêm thủ tục cho doanh nghiệp, vừa không bỏ ngỏ những lĩnh vực trọng yếu?
Đây là những vấn đề được Đại tướng Lương Tam Quang, Bộ trưởng Bộ Công an tập trung làm rõ khi giải trình, tiếp thu ý kiến đại biểu Quốc hội về dự án Luật Định danh và xác thực điện tử, dự án Luật An ninh dữ liệu sáng nay (ngày 4/10), Kỳ họp thứ 2, Quốc hội khóa XVI.
Về định danh điện tử, Bộ trưởng làm rõ cơ chế tự động tạo lập danh tính, nguyên tắc thu thập dữ liệu tối thiểu, bảo vệ quyền riêng tư và yêu cầu liên kết tài khoản giao dịch điện tử với danh tính điện tử quốc gia trong các lĩnh vực có rủi ro cao. Trong khi đó, với dự án Luật An ninh dữ liệu, những nội dung đáng chú ý là cơ chế phân cấp 5 mức độ rủi ro, phân định thẩm quyền giữa Bộ Công an và Bộ Quốc phòng, cũng như quy định về mật mã an ninh, mật mã kháng lượng tử.
Định danh điện tử: Thu thập tối thiểu, bảo vệ quyền riêng tư
Về phạm vi đối tượng định danh điện tử, Bộ trưởng Lương Tam Quang cho biết tại Điều 7 dự thảo Luật xác định phạm vi các nhóm đối tượng được định danh điện tử.
Những nhóm đối tượng định danh do cơ quan Nhà nước thực hiện được quy định tại Điều 8 dự thảo Luật gồm: cơ quan, tổ chức, cá nhân, địa điểm, không gian, đối tượng có thông tin thuộc dữ liệu cốt lõi, dữ liệu quan trọng, đối tượng được chứng nhận quyền sở hữu, sử dụng sản phẩm hàng hóa có mức độ rủi ro cao, đối tượng thuộc bí mật nhà nước. Các nhóm đối tượng định danh điện tử còn lại do tổ chức cung cấp dịch vụ đủ điều kiện thực hiện theo nhu cầu của cơ quan, tổ chức, cá nhân.
Đồng thời, luật cũng giao cho Chính phủ quy định danh mục và lộ trình thực hiện đối với nhóm do cơ quan nhà nước thực hiện để đảm bảo phù hợp với điều kiện thực tiễn chuyển đổi số ở nước ta.
Về cơ chế tự động tạo lập danh tính, đối với nhóm đối tượng đã có cơ chế định danh hoặc quản lý tương tự theo pháp luật chuyên ngành, dự thảo Luật quy định theo hướng trường hợp thông tin để tạo lập danh tính điện tử đã có đầy đủ, chính xác trong cơ sở dữ liệu quốc gia, cơ sở dữ liệu chuyên ngành thì cơ quan Nhà nước tự động thực hiện quy trình tạo lập danh tính điện tử và cấp mã định danh quốc gia cho đối tượng quy định tại khoản 1 Điều 8 của luật này.
Như vậy, cơ quan, tổ chức, cá nhân không phải cung cấp lại thông tin để tạo lập danh tính điện tử hoặc thực hiện thủ tục đăng ký định danh điện tử.
Về bảo vệ quyền riêng tư, nguyên tắc thu thập dữ liệu tối thiểu đồng bộ dữ liệu định danh xác thực. "Tại dự thảo Luật đã thiết kế nhiều lớp bảo vệ quyền riêng tư, thu thập dữ liệu tối thiểu phải có sự đồng ý của chủ thể, không đồng bộ nội dung giao dịch, không chia sẻ kết quả xác thực ngoài phạm vi cho phép," Bộ trưởng khẳng định.
Việc bảo vệ dữ liệu cá nhân trong hoạt động định danh và xác thực điện tử được thực hiện chặt chẽ theo quy định của pháp luật về bảo vệ dữ liệu cá nhân; các nguyên tắc, điều kiện, phạm vi, mục đích xử lý dữ liệu cá nhân không có sự thay đổi.
Định danh và xác thực điện tử phải tuân thủ Hiến pháp và pháp luật, bảo đảm quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân; việc khai thác, sử dụng danh tính điện tử phải bảo mật thông tin, tuân thủ pháp luật về bảo vệ dữ liệu cá nhân.
Theo Bộ trưởng Lương Tam Quang, cơ quan chủ trì soạn thảo sẽ tiếp tục rà soát các quy định có liên quan, tham mưu Chính phủ quy định chi tiết về việc thu thập, khai thác, sử dụng dữ liệu về định danh và xác thực điện tử để bảo đảm chặt chẽ, bảo vệ quyền và lợi ích hợp pháp của chủ thể.
Về liên kết tài khoản giao dịch với danh tính điện tử, Đại tướng cho biết: "Tại khoản 5 Điều 23 của dự thảo luật quy định cơ quan, tổ chức, cá nhân sử dụng tài khoản giao dịch điện tử để giao dịch điện tử trực tuyến trong các lĩnh vực chứng khoán, viễn thông, ngân hàng, bưu chính, thương mại điện tử, khám bệnh, chữa bệnh, trung gian thanh toán, ví điện tử, tài sản mã hóa, trò chơi điện tử trực tuyến, dịch vụ đăng ký, cho thuê và sử dụng tên miền và các lĩnh vực khác có rủi ro cao hoặc phát sinh nghĩa vụ pháp lý quan trọng thì phải xác thực với danh tính điện tử quốc gia và liên kết tài khoản giao dịch điện tử với danh tính điện tử."
Theo tư lệnh ngành Công an, Luật giao Bộ trưởng, Thủ trưởng cơ quan ngang bộ quy định cụ thể các giao dịch điện tử trực tuyến thuộc lĩnh vực khác có rủi ro cao hoặc phát sinh nghĩa vụ pháp lý quan trọng, bảo đảm phù hợp với đặc thù của từng ngành.
An ninh dữ liệu: Phân tầng rủi ro, minh bạch trách nhiệm quản lý
Bộ trưởng Lương Tam Quang khẳng định: "Về cấp độ rủi ro an ninh dữ liệu, cơ chế phân cấp cấp độ rủi ro an ninh dữ liệu là trụ cột của dự thảo Luật, bởi chỉ khi xác định đúng mức độ nguy hại mà dữ liệu có thể gây ra khi bị xâm phạm thì mới đặt ra được nghĩa vụ tương xứng, tránh bảo vệ dàn trải ở nơi rủi ro thấp nhưng lại bỏ ngỏ ở nơi rủi ro cao."
Tiếp thu kết luận Ủy ban Thường vụ Quốc hội, dự thảo thiết kế 5 cấp độ rủi ro tương thích với 5 cấp độ hệ thống thông tin theo Luật An ninh mạng. Trong đó, khoản 4 Điều 8 dự thảo Luật cho phép sử dụng ngay kết quả xác định cấp độ theo pháp luật về an ninh mạng để cùng một hệ thống không phải đánh giá hai lần.
Cấp độ rủi ro cũng không thay thế việc phân loại dữ liệu cốt lõi, dữ liệu quan trọng theo Luật Dữ liệu và không làm phát sinh danh mục mới mà chỉ là căn cứ để lựa chọn biện pháp bảo vệ.
Trên cơ sở đó, Bộ trưởng nhấn mạnh: "Nguyên tắc phân cấp nghĩa vụ được xác định theo hướng rủi ro càng thấp thì thủ tục càng đơn giản. Theo đó, dữ liệu cấp độ 1 không phát sinh thủ tục. Dữ liệu cấp độ 2 chỉ cần phương án bảo vệ rút gọn và được miễn đối với hộ kinh doanh, doanh nghiệp siêu nhỏ, nhỏ, khởi nghiệp sáng tạo. Từ cấp độ 3 mới phải đánh giá tác động và kiểm toán. Cấp độ 4 và 5 mới áp dụng thẩm định và được thực hiện chung một hồ sơ với thẩm định an ninh mạng."
“Với đề nghị quy định bảng tương ứng giữa hai hệ thống cấp độ, chúng tôi đề nghị Quốc hội cho giữ phương án giao Chính phủ quy định tại khoản 12 Điều 8, vì tiêu chuẩn kỹ thuật thay đổi nhanh, nếu quy định cứng trong luật thì mỗi lần điều chỉnh lại phải sửa luật. Khi xây dựng nghị định, Chính phủ sẽ quy định bộ tiêu chí định lượng, định tính có thể kiểm chứng để doanh nghiệp, nhất là doanh nghiệp nhỏ và vừa, tự xác định đúng cấp độ, không bị vượt mức cần thiết,” Bộ trưởng nói.
Về phân định trách nhiệm giữa Bộ Công an và Bộ Quốc phòng, đối với thẩm quyền quản lý nhà nước về an ninh dữ liệu trong hoạt động dân sự, kinh tế của doanh nghiệp, theo Bộ trưởng đây không phải là nội dung mới mà là sự thể chế hóa Chỉ thị 57 của Ban Bí thư.
Theo đó, Bộ Công an chịu trách nhiệm trước Chính phủ chủ trì quản lý nhà nước về an ninh mạng, bảo mật thông tin, an ninh dữ liệu. Bộ Quốc phòng chủ trì quản lý hệ thống thông tin, cơ sở dữ liệu quân sự và cơ yếu thuộc phạm vi của Bộ Quốc phòng.
Quy định bảo đảm nguyên tắc một việc chỉ giao cho một cơ quan chủ trì và chịu trách nhiệm chính của Nghị quyết 18 và thống nhất với mô hình mà Quốc hội đã thông qua trong Luật An ninh mạng 2025. Tiêu chí phân định là tính chất của dữ liệu, không phải là tính chất của doanh nghiệp. Vì vậy, quy định trong dự thảo luật không làm thay đổi quyền, trách nhiệm của Bộ Quốc phòng, Bộ Công an trong bảo đảm an ninh dữ liệu.
Về mật mã an ninh và mật mã kháng lượng tử, dự thảo Luật nêu rõ mật mã an ninh không thay thế mật mã cơ yếu và cũng không làm thay đổi vai trò của cơ quan mật mã quốc gia thuộc Ban Cơ yếu Chính phủ, mà là lớp bảo vệ bổ sung độc lập về kỹ thuật.
Bộ trưởng cho biết việc quy định về xây dựng mật mã an ninh, mật mã kháng lượng tử nhằm thể chế hóa Chỉ thị 57 của Trung ương về Đề án Chiến lược bảo vệ an ninh mạng, an ninh dữ liệu được Bộ Chính trị thông qua ngày 2/10/2026 và bảo vệ Tổ quốc từ sớm, từ xa.
Dự thảo bám sát Kết luận 274 của Ủy ban Thường vụ Quốc hội khóa XVI. Theo đó, mật mã an ninh trước mắt chỉ sử dụng trong ngành Công an, và sử dụng ở các kênh liên lạc giữa cơ quan an ninh, tình báo, thực thi pháp luật của Bộ Công an với các đối tác mà chúng ta đã có hợp tác.
Việc mở rộng chỉ được xem xét, đánh giá hiệu quả, tính an toàn, sự phối hợp của Ban Cơ yếu Chính phủ và do Thủ tướng Chính phủ quyết định. Còn đối với dữ liệu không thuộc bí mật nhà nước thì việc sử dụng hoàn toàn tự nguyện.
Bộ trưởng Lương Tam Quang khẳng định với tinh thần cầu thị, cơ quan chủ trì soạn thảo sẽ phối hợp chặt chẽ với Thường trực Ủy ban Quốc phòng và An ninh, Đối ngoại tiếp thu đầy đủ các ý kiến của các vị đại biểu, báo cáo Ủy ban Thường vụ Quốc hội trước khi hoàn thiện dự thảo Luật, bảo đảm luật vừa bảo vệ vững chắc chủ quyền quốc gia, vừa tạo môi trường pháp lý an toàn, thuận lợi cho phát triển kinh tế số và bảo đảm tiến độ để Ủy ban Thường vụ Quốc hội trình Quốc hội xem xét thông qua.
