Làm rõ trách nhiệm khi dữ liệu sai lệch

Sáng 4/11, thảo luận dự án Luật An ninh dữ liệu, đại biểu Dương Khắc Mai, Đoàn Đại biểu Quốc hội tỉnh Lâm Đồngcho rằng, dự thảo đã quy định trách nhiệm của cơ quan, tổ chức tạo lập thông tin về tính chính xác; đồng thời cho phép tự động tạo lập danh tính điện tử khi dữ liệu nguồn đầy đủ, chính xác. Tuy nhiên, cơ chế thực hiện quyền của chủ thể danh tính điện tử cần cụ thể hơn. Thực tế, một số thông tin sai hoặc không thống nhất giữa các cơ sở dữ liệu cũng có thể làm gián đoạn thủ tục hành chính, giao dịch ngân hàng và quyền tiếp cận dịch vụ thiết yếu.

Đại biểu đề nghị xác định rõ cơ quan chịu trách nhiệm đối với dữ liệu gốc, cơ quan thực hiện đồng bộ và đầu mối xử lý sai lệch; quy định thời hạn tiếp nhận, kiểm tra, đính chính và thông báo kết quả. Nếu không có đầu mối và thời hạn cụ thể, người dân có thể biết thông tin sai nhưng không rõ yêu cầu cơ quan nào sửa, chờ bao lâu. Trong thời gian xử lý sai sót không do người dân gây ra, cần có phương án xác minh thay thế. Người dân không nên bị buộc cung cấp lại dữ liệu Nhà nước đã có hoặc gánh hậu quả từ lỗi cập nhật, kết nối, đồng bộ ngoài khả năng kiểm soát.

Từ góc độ phục vụ người dân, đại biểu Lê Minh Nam - Đại biểu Quốc hội TP Cần Thơ nhấn mạnh, cử tri quan tâm dữ liệu cá nhân được bảo vệ thế nào và người dân có thực sự an tâm hay không. Đại biểu ghi nhận định hướng liên thông cơ sở dữ liệu, không yêu cầu người dân cung cấp lại thông tin đã có. Tuy nhiên, để chủ trương đi vào cuộc sống, nền tảng công nghệ và tổ chức thực hiện phải đồng bộ, an toàn, thuận tiện.

Đại biểu Lê Minh Nam cũng đề nghị khi dữ liệu cá nhân bị lộ lọt, chủ quản phải thông báo kịp thời cho người bị ảnh hưởng, kèm hướng dẫn phòng tránh lừa đảo. Người dân cần biết loại dữ liệu nào có thể đã bị lộ để cảnh giác trước cuộc gọi, tin nhắn giả mạo sử dụng đúng thông tin cá nhân, thậm chí giả giọng nói hoặc hình ảnh người thân. Thông báo vừa bảo đảm minh bạch, vừa giúp hạn chế thiệt hại tiếp theo.

Trách nhiệm phải đi đôi với quyền hạn

Ở khía cạnh phân công trách nhiệm, đại biểu Trịnh Ngọc Phương - Đoàn Đại biểu Quốc hội tỉnh Tây Ninhcho rằng, quy định về chủ quản dữ liệu, đơn vị vận hành và nhà cung cấp dịch vụ cần kết nối thành cơ chế thống nhất. Một cơ quan có thể trực tiếp thu thập, khai thác dữ liệu, trong khi máy chủ, hạ tầng lưu trữ và giải pháp kỹ thuật do đơn vị khác quản lý. Nếu xảy ra sự cố, chỉ căn cứ tư cách chủ quản để quy trách nhiệm sẽ chưa phản ánh đầy đủ quyền hạn và khả năng kiểm soát. Ngược lại, nhà cung cấp dịch vụ cũng không thể viện dẫn hợp đồng để loại trừ trách nhiệm đối với lỗi kỹ thuật thuộc phạm vi của mình.

Đại biểu đề nghị chủ quản dữ liệu chịu trách nhiệm về mục đích, phạm vi và tính hợp pháp của việc khai thác; đơn vị vận hành, nhà cung cấp dịch vụ chịu trách nhiệm về an toàn hệ thống và giải pháp kỹ thuật thuộc phạm vi quản lý. Luật cần làm rõ ai phát hiện, báo cáo sự cố; ai quyết định biện pháp khẩn cấp; ai trực tiếp thực hiện và chịu trách nhiệm nếu chậm trễ. Trách nhiệm phải đi đôi với quyền hạn, năng lực và khả năng kiểm soát.

Đại biểu cũng lưu ý cần phân định rõ trách nhiệm của chính quyền cấp xã trong mô hình chính quyền địa phương hai cấp. Đây là cấp trực tiếp tiếp xúc với người dân, tiếp nhận và giải quyết nhiều thủ tục liên quan đến dữ liệu dân cư, đất đai, an sinh xã hội. Tuy nhiên, hạ tầng, phần mềm và máy chủ có thể do cấp tỉnh hoặc nhà cung cấp dịch vụ quản lý tập trung. Vì vậy, không thể quy trách nhiệm cho cấp xã đối với những sự cố nằm ngoài quyền hạn và khả năng kiểm soát của đơn vị này.

Đặt người dân ở trung tâm ứng phó sự cố

Đại biểu Nguyễn Vũ Trung - Đoàn Đại biểu Quốc hội TP.HCM nhấn mạnh cần đặt người bị ảnh hưởng vào trung tâm ứng phó sự cố. Đại biểu đề nghị sự cố từ cấp độ 3 trở lên phải được báo cáo chậm nhất 24 giờ kể từ khi phát hiện; trường hợp có nguy cơ đặc biệt nghiêm trọng phải báo ngay và cập nhật khi có kết quả xác minh. Cá nhân bị ảnh hưởng cần được thông báo không chậm trễ, biết dữ liệu nào có thể bị lộ, nguy cơ gì đang hiện hữu, cần làm gì để khóa tài khoản, đổi mật khẩu hoặc ngăn chặn giao dịch và liên hệ với đầu mối nào.

Theo đại biểu, cơ quan đầu mối cần phối hợp với ngân hàng, doanh nghiệp viễn thông và nền tảng số để cảnh báo, ngăn chặn nguy cơ tiếp diễn. Khi dữ liệu bị xâm phạm, phản ứng chậm có thể khiến thiệt hại lan rộng, nhất là trong các vụ giả mạo danh tính, chiếm đoạt tài khoản, lừa đảo tài chính.

Đối với các biện pháp kỹ thuật khẩn cấp, đại biểu đề nghị phải có căn cứ, phạm vi, thời hạn và phương án khôi phục rõ ràng; chỉ áp dụng biện pháp cần thiết, ít hạn chế nhất. Trước khi đình chỉ hệ thống ảnh hưởng đến bệnh viện, điện, nước, thanh toán hoặc dịch vụ thiết yếu, cần đánh giá tác động và ưu tiên cô lập phần bị xâm nhập nếu khả thi.

Những ý kiến trên cho thấy hoàn thiện Luật An ninh dữ liệu không chỉ là tăng cường bảo vệ hệ thống hay bổ sung nghĩa vụ tuân thủ. Điều cốt yếu là dữ liệu sai phải được phát hiện, đính chính đúng nơi, đúng hạn; người dân được thông báo và có cách xác minh thay thế; cơ quan, doanh nghiệp chịu trách nhiệm tương ứng quyền hạn và khả năng kiểm soát.

Một nền tảng số đáng tin cậy phải giúp thủ tục nhanh hơn, giảm giấy tờ và hạn chế việc người dân đi lại vì lỗi dữ liệu. Không thể để một sai lệch hoặc phân công trách nhiệm thiếu rõ ràng khiến hồ sơ bị treo, giao dịch ngưng trệ hay người dân phải chứng minh lại dữ liệu Nhà nước đã quản lý. An toàn dữ liệu phải gắn với khả năng duy trì dịch vụ liên tục, bảo vệ quyền lợi hợp pháp và tạo dựng niềm tin của người dân vào quá trình chuyển đổi số.