Hoàn thiện quy định về an ninh dữ liệu, bảo đảm quyền lợi người dân

Bảo vệ dữ liệu y tế nhưng không cản trở việc cứu chữa người bệnh

Góp ý dự án Luật An ninh dữ liệu, đại biểu Phạm Thu Xanh (Đoàn thành phố Hải Phòng) nhấn mạnh, bảo vệ dữ liệu y tế phải gắn với bảo đảm an toàn người bệnh và duy trì liên tục hoạt động khám, chữa bệnh.

Theo đại biểu, hồ sơ bệnh án chứa nhiều thông tin nhạy cảm, cần được bảo mật nghiêm ngặt. Tuy nhiên, nếu các quy định về an ninh dữ liệu thiếu linh hoạt, người bệnh có thể gặp khó khăn trong tiếp cận những dịch vụ điều trị cần thiết.

Dẫn chứng người bệnh ung thư cần hội chẩn quốc tế, thai phụ cần kết quả xét nghiệm di truyền để quyết định can thiệp và bệnh nhân cấp cứu cần truy cập kịp thời tiền sử bệnh án, đại biểu đề nghị rà soát khoản 7, khoản 9 Điều 19, làm rõ cơ chế chuyển, chia sẻ dữ liệu phục vụ hội chẩn, chẩn đoán, điều trị và thanh toán theo yêu cầu hợp pháp hoặc có sự đồng ý của người bệnh.

Đại biểu Phạm Thu Xanh (Đoàn thành phố Hải Phòng).

Đối với dữ liệu đã mã hóa, có kiểm soát truy cập và lưu vết, cần có quy trình xử lý phù hợp, tránh phát sinh thủ tục không cần thiết.

Đặc biệt, đại biểu đề nghị tại Điều 23 phải có cơ chế bảo đảm các biện pháp kỹ thuật khẩn cấp không làm gián đoạn hoạt động cấp cứu, điều trị nội trú và những dịch vụ y tế thiết yếu.

Cùng quan tâm đến vấn đề này, đại biểu Nguyễn Vũ Trung (Đoàn Thành phố Hồ Chí Minh) đề nghị quyết định áp dụng biện pháp kỹ thuật khẩn cấp phải xác định rõ căn cứ, phạm vi, thời hạn và phương án khôi phục hoạt động. Đối với hệ thống phục vụ bệnh viện và các dịch vụ thiết yếu, cần đánh giá tác động trước khi đình chỉ, ưu tiên cô lập phần bị xâm nhập nếu khả thi.

Một nội dung khác được đại biểu Phạm Thu Xanh đề cập là cách phân loại dữ liệu y tế. Đại biểu cho rằng cần phân biệt dữ liệu di truyền gắn trực tiếp với danh tính cá nhân, dữ liệu đã mã hóa và dữ liệu đã khử nhận dạng không thể tái nhận dạng.

Vì vậy, đề nghị làm rõ khoản 3 Điều 8 về xác định dữ liệu cốt lõi theo tính chất, quy mô, khả năng gây thiệt hại và mức độ rủi ro; đồng thời hướng dẫn việc phân vùng, cách ly hệ thống theo khoản 2 Điều 12.

Quy định này nhằm tránh tình trạng chỉ một phân hệ chứa dữ liệu nhạy cảm mà toàn bộ hệ thống bệnh viện phải áp dụng cấp độ an ninh cao nhất, làm tăng chi phí tuân thủ, nhất là đối với các cơ sở y tế công lập.

Đối với hoạt động nghiên cứu, đại biểu đề nghị phân biệt mẫu sinh phẩm gửi ra nước ngoài với dữ liệu được tạo ra từ quá trình phân tích mẫu và thông tin định danh gắn với mẫu, tạo điều kiện cho xét nghiệm di truyền chuyên sâu, nghiên cứu khoa học và thử nghiệm lâm sàng.

Đại biểu Nguyễn Vũ Trung (Đoàn Thành phố Hồ Chí Minh).

Đồng thời, đề nghị chỉnh lý Điều 18 để phân định rõ trách nhiệm của cơ sở y tế và đơn vị quản lý nền tảng dùng chung. Theo đó, bệnh viện chịu trách nhiệm về dữ liệu trong hệ thống mình quản lý và đến điểm kết nối theo tiêu chuẩn được công bố; đơn vị quản lý nền tảng chịu trách nhiệm đối với hệ thống được giao.

Đại biểu cũng đề nghị bổ sung tại khoản 7 Điều 22 cơ chế thông báo cho người đại diện, người giám hộ đối với trẻ em và người cao tuổi bị suy giảm khả năng nhận thức khi xảy ra sự cố dữ liệu.

Theo đại biểu Phạm Thu Xanh, dữ liệu y tế bị lộ, lọt có thể gây tổn thương lâu dài đến quyền riêng tư và cuộc sống người bệnh, nhưng dữ liệu không được kết nối kịp thời hoặc hệ thống bị gián đoạn cũng có thể làm mất đi cơ hội cứu chữa.

Phân loại đúng rủi ro, thông báo kịp thời khi dữ liệu bị xâm phạm

Bên cạnh đặc thù của lĩnh vực y tế, các đại biểu tập trung góp ý về trách nhiệm ứng phó sự cố, phân loại cấp độ rủi ro và cơ chế chuyển, chia sẻ dữ liệu.

Đại biểu Nguyễn Vũ Trung cho rằng, an ninh dữ liệu liên quan trực tiếp đến tiền trong tài khoản, danh tính và quyền lợi người dân. Do đó, đề nghị tại Điều 22 quy định sự cố từ cấp độ 3 trở lên phải được báo cáo chậm nhất trong 24 giờ kể từ khi phát hiện; trường hợp có nguy cơ đặc biệt nghiêm trọng phải báo ngay.

Đồng thời, người có dữ liệu bị xâm phạm phải được thông báo kịp thời về loại thông tin có thể bị lộ, nguy cơ phát sinh và biện pháp tự bảo vệ. Cần thiết lập cơ chế phối hợp với ngân hàng, viễn thông và các nền tảng số để cảnh báo, ngăn chặn nguy cơ tiếp diễn.

Cùng quan điểm, đại biểu Lê Thị Thanh Lam (Đoàn thành phố Cần Thơ) đề nghị bổ sung tại Điều 22 trách nhiệm của chủ quản dữ liệu phải thông báo kịp thời cho người bị ảnh hưởng khi dữ liệu cá nhân bị lộ, lọt, kèm hướng dẫn phòng tránh lừa đảo.

Theo đại biểu, thực tế có những trường hợp người dân nhận được cuộc gọi, tin nhắn lừa đảo mà đối tượng biết chính xác họ tên, số căn cước, thậm chí giả mạo giọng nói và khuôn mặt người thân. Người dân cần được biết dữ liệu của mình bị xâm phạm để chủ động phòng ngừa.

Về phân loại cấp độ rủi ro, đại biểu Nguyễn Thị Việt Nga (Đoàn thành phố Hải Phòng) đề nghị chỉnh lý Điều 9 theo hướng xác định cấp độ dựa trên tính chất dữ liệu và hậu quả có thể xảy ra khi bị xâm phạm, không phụ thuộc vào hệ thống lưu trữ; đồng thời quy định riêng yêu cầu bảo vệ đối với hệ thống xử lý dữ liệu.

Đại biểu Nguyễn Thị Việt Nga (Đoàn thành phố Hải Phòng).

Đại biểu Lê Thị Thanh Lam cũng đề nghị quy định cụ thể tiêu chí phân loại, phương pháp đánh giá, chủ thể chịu trách nhiệm và chu kỳ rà soát cấp độ rủi ro. Trong đó, cần tính đến khối lượng, khả năng liên kết, mục đích sử dụng và mức độ ảnh hưởng khi dữ liệu bị xâm phạm.

Đồng thời, cho phép điều chỉnh cấp độ khi quy mô, mục đích xử lý hoặc công nghệ thay đổi, tránh phân bổ chi phí bảo vệ đồng đều cho mọi loại dữ liệu.

Đại biểu Nguyễn Vũ Trung đề nghị có tiêu chí thống nhất, hồ sơ minh chứng và cơ chế hậu kiểm đối với việc chủ quản dữ liệu tự đánh giá cấp độ rủi ro, tránh tình trạng tự xếp cấp độ thấp hơn để giảm nghĩa vụ bảo vệ.

Đối với chuyển dữ liệu xuyên biên giới, đại biểu Nguyễn Thị Việt Nga đề nghị làm rõ phạm vi dữ liệu cấp độ 5 bị cấm chuyển ra nước ngoài và những trường hợp được áp dụng cơ chế đặc biệt.

Đại biểu Nguyễn Vũ Trung kiến nghị áp dụng 3 cơ chế theo mức độ rủi ro: Rủi ro thấp được tự đánh giá và hậu kiểm; rủi ro trung bình thực hiện thông báo; rủi ro cao mới phải xin chấp thuận trước. Với dữ liệu chuyển định kỳ, nếu mục đích, bên nhận và biện pháp bảo vệ không thay đổi thì không phải xin chấp thuận lại.

Ở góc độ phục vụ người dân, đại biểu Lê Thị Thanh Lam đề cập tình trạng một người phải cài đặt nhiều ứng dụng về định danh điện tử, bảo hiểm xã hội, thuế, giao thông, điện, nước..., gây bất tiện và làm tăng các đầu mối kết nối, khai thác dữ liệu. Do đó, đại biểu đề nghị bổ sung tại Điều 4 nguyên tắc ưu tiên triển khai hệ thống số của cơ quan nhà nước trên nền tảng dùng chung đã được đánh giá an ninh, hạn chế phát sinh hệ thống riêng lẻ.

Đồng thời, đề nghị công nhận, sử dụng lại kết quả đánh giá an ninh của nền tảng dùng chung cho các ứng dụng vận hành trên đó, tránh đánh giá trùng lặp và tăng chi phí.

Đại biểu cũng kiến nghị Chính phủ rà soát các ứng dụng phục vụ người dân, thực hiện nghiêm nguyên tắc không yêu cầu cung cấp lại thông tin đã có và ưu tiên gửi thông báo về hồ sơ hành chính, thời hạn giải quyết, quyền lợi của người dân qua VNeID.

Các kiến nghị tập trung vào yêu cầu bảo vệ dữ liệu theo đúng mức độ rủi ro, xác định rõ trách nhiệm của từng chủ thể, đồng thời tránh để các quy định mới làm phát sinh thêm thủ tục, chi phí và bất tiện cho người dân, doanh nghiệp.

Đại tướng Lương Tam Quang, Bộ trưởng Công an phát biểu giải trình, làm rõ các ý kiến đại biểu Quốc hội.

Giải trình, làm rõ các ý kiến đại biểu Quốc hội, Đại tướng Lương Tam Quang, Bộ trưởng Công an cho biết, dự thảo luật thiết kế 5 cấp độ rủi ro tương thích với pháp luật về an ninh mạng, theo hướng rủi ro càng thấp thì thủ tục càng đơn giản, tránh phát sinh nghĩa vụ không cần thiết đối với doanh nghiệp. Đối với mật mã an ninh, dự thảo xác định không thay thế mật mã cơ yếu, trước mắt chỉ áp dụng trong ngành Công an; việc mở rộng phải được đánh giá và do Thủ tướng Chính phủ quyết định.

Bộ trưởng khẳng định, cơ quan chủ trì soạn thảo sẽ phối hợp chặt chẽ với Thường trực Ủy ban Quốc phòng, An ninh và Đối ngoại, tiếp thu đầy đủ ý kiến của các đại biểu Quốc hội, báo cáo Ủy ban Thường vụ Quốc hội trước khi hoàn thiện dự thảo luật.