Sáng 4/11, báo cáo tiếp thu cuối phiên thảo luận của Quốc hội về hai dự án Luật An ninh dữ liệu, Luật Định danh và xác thực điện tử, Bộ trưởng Bộ Công an Lương Tam Quang đã giải trình, làm rõ hơn các vấn đề được đại biểu quan tâm.
Thay mặt cơ quan chủ trì soạn thảo, Bộ trưởng Lương Tam Quang cảm ơn các đại biểu Quốc hội đã đóng góp nhiều ý kiến tâm huyết, trách nhiệm. Qua thảo luận tại tổ và hội trường, các ý kiến cơ bản thống nhất về sự cần thiết ban hành hai dự án Luật An ninh dữ liệu và Luật Định danh và xác thực điện tử.
Làm rõ phạm vi định danh điện tử, bảo vệ quyền riêng tư
Đối với dự án Luật Định danh và xác thực điện tử, liên quan đến phạm vi, đối tượng định danh điện tử, Bộ trưởng Lương Tam Quang cho biết, Điều 7 dự thảo Luật xác định các nhóm đối tượng được định danh điện tử.
Trong đó, nhóm do cơ quan nhà nước thực hiện được quy định tại Điều 8, gồm: cơ quan, tổ chức, cá nhân; địa điểm, không gian; đối tượng có thông tin thuộc dữ liệu cốt lõi, dữ liệu quan trọng; đối tượng được chứng nhận quyền sở hữu, sử dụng sản phẩm, hàng hóa có mức độ rủi ro cao và đối tượng thuộc bí mật nhà nước.
Bộ trưởng Bộ Công an Lương Tam Quang. Ảnh: Media Quốc hội.
Các nhóm còn lại do tổ chức cung cấp dịch vụ đủ điều kiện thực hiện theo nhu cầu của cơ quan, tổ chức, cá nhân. Chính phủ được giao quy định danh mục và lộ trình thực hiện đối với nhóm do cơ quan nhà nước thực hiện, phù hợp với điều kiện thực tiễn chuyển đổi số.
Đối với nhóm đã có cơ chế định danh hoặc quản lý tương tự theo pháp luật chuyên ngành, nếu thông tin tạo lập danh tính điện tử đã đầy đủ, chính xác trong Cơ sở dữ liệu quốc gia, cơ sở dữ liệu chuyên ngành thì cơ quan nhà nước tự động tạo lập danh tính điện tử và cấp mã định danh quốc gia cho đối tượng quy định tại khoản 1 Điều 8. Như vậy, cơ quan, tổ chức, cá nhân không phải cung cấp lại thông tin hoặc đăng ký định danh điện tử.
Liên quan đến bảo vệ quyền riêng tư, Bộ trưởng Lương Tam Quang cho biết, dự thảo Luật thiết kế nhiều lớp bảo vệ, gồm thu thập dữ liệu tối thiểu, phải có sự đồng ý của chủ thể, không đồng bộ nội dung giao dịch và không chia sẻ kết quả xác thực ngoài phạm vi cho phép.
Việc bảo vệ dữ liệu cá nhân trong hoạt động định danh và xác thực điện tử thực hiện theo pháp luật về bảo vệ dữ liệu cá nhân; các nguyên tắc, điều kiện, phạm vi, mục đích xử lý dữ liệu cá nhân không thay đổi. Định danh và xác thực điện tử phải tuân thủ Hiến pháp, pháp luật, bảo đảm quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân; việc khai thác, sử dụng danh tính điện tử phải bảo mật thông tin.
Cơ quan chủ trì soạn thảo sẽ tiếp tục rà soát, tham mưu Chính phủ quy định chi tiết việc thu thập, khai thác, sử dụng dữ liệu về định danh và xác thực điện tử, bảo vệ quyền và lợi ích hợp pháp của chủ thể.
Về liên kết tài khoản giao dịch với danh tính điện tử và phòng ngừa giả mạo danh tính, khoản 5 Điều 23 dự thảo Luật quy định, giao dịch trực tuyến trong các lĩnh vực chứng khoán, viễn thông, ngân hàng, bưu chính, thương mại điện tử, khám bệnh, chữa bệnh, trung gian thanh toán, ví điện tử, tài sản mã hóa, trò chơi điện tử trực tuyến, dịch vụ đăng ký, cho thuê và sử dụng tên miền và các lĩnh vực khác có rủi ro cao hoặc phát sinh nghĩa vụ pháp lý quan trọng phải xác thực với danh tính điện tử quốc gia, đồng thời liên kết tài khoản giao dịch điện tử với danh tính điện tử đó.
Dự thảo Luật giao Bộ trưởng, Thủ trưởng cơ quan ngang bộ quy định cụ thể các giao dịch thuộc lĩnh vực khác có rủi ro cao hoặc phát sinh nghĩa vụ pháp lý quan trọng, phù hợp với đặc thù từng ngành.
Phân cấp độ rủi ro, làm rõ trách nhiệm quản lý an ninh dữ liệu
Đối với dự án Luật An ninh dữ liệu, Bộ trưởng Lương Tam Quang cho biết, cơ chế phân cấp độ rủi ro là trụ cột của dự thảo Luật. Việc xác định đúng mức độ nguy hại khi dữ liệu bị xâm hại, xâm phạm là cơ sở đặt ra nghĩa vụ tương xứng, tránh bảo vệ dàn trải ở nơi rủi ro thấp nhưng bỏ ngỏ nơi rủi ro cao.
Quang cảnh phiên thảo luận ở Hội trường sáng 4/11. Ảnh: Media Quốc hội.
Tiếp thu kết luận của Ủy ban Thường vụ Quốc hội, dự thảo thiết kế 5 cấp độ rủi ro, tương thích với 5 cấp độ hệ thống thông tin theo Luật An ninh mạng. Khoản 4 Điều 8 cho phép sử dụng kết quả xác định cấp độ theo pháp luật về an ninh mạng, tránh việc một hệ thống phải đánh giá hai lần.
Cấp độ rủi ro không thay thế việc phân loại dữ liệu cốt lõi, dữ liệu quan trọng theo Luật Dữ liệu, không làm phát sinh danh mục mới mà chỉ là căn cứ lựa chọn biện pháp bảo vệ.
Theo đó, rủi ro càng thấp thì thủ tục càng đơn giản: dữ liệu cấp độ 1 không phát sinh thủ tục dữ liệu; cấp độ 2 chỉ cần phương án bảo vệ rút gọn và được miễn đối với hộ kinh doanh, doanh nghiệp siêu nhỏ, nhỏ, khởi nghiệp sáng tạo. Từ cấp độ 3 mới phải đánh giá tác động và kiểm toán; thẩm định chỉ áp dụng với cấp độ 4, cấp độ 5 và được thực hiện chung một hồ sơ với thẩm định an ninh mạng.
Đối với đề nghị quy định ngay trong luật bảng tương ứng giữa hai hệ thống cấp độ, cơ quan chủ trì soạn thảo đề nghị Quốc hội giữ phương án giao Chính phủ quy định tại khoản 12 Điều 8.
Theo Bộ trưởng, tiêu chuẩn kỹ thuật thay đổi nhanh, nếu quy định cứng trong luật thì mỗi lần điều chỉnh lại phải sửa luật. Khi xây dựng nghị định, Chính phủ sẽ quy định bộ tiêu chí định lượng, định tính có thể kiểm chứng để doanh nghiệp, nhất là doanh nghiệp nhỏ và vừa, tự xác định đúng cấp độ, không phải thực hiện nghĩa vụ vượt mức cần thiết.
Về phân định trách nhiệm giữa Bộ Công an và Bộ Quốc phòng, Bộ trưởng cho biết, quy định về thẩm quyền quản lý nhà nước về an ninh dữ liệu trong hoạt động dân sự, kinh tế của doanh nghiệp là sự thể chế hóa Chỉ thị 57 của Ban Bí thư.
Theo đó, Bộ Công an chịu trách nhiệm trước Chính phủ, chủ trì quản lý nhà nước về an ninh mạng, bảo mật thông tin, an ninh dữ liệu; Bộ Quốc phòng chủ trì quản lý hệ thống thông tin, cơ sở dữ liệu quân sự và cơ yếu thuộc phạm vi của Bộ Quốc phòng.
Việc phân định bảo đảm nguyên tắc "một việc chỉ giao cho một cơ quan chủ trì và chịu trách nhiệm chính" của Nghị quyết 18, thống nhất với mô hình đã được Quốc hội thông qua trong Luật An ninh mạng năm 2025. Tiêu chí phân định là tính chất của dữ liệu, không phải tính chất của doanh nghiệp; do đó, không làm thay đổi quyền, trách nhiệm của Bộ Quốc phòng và Bộ Công an trong bảo đảm an ninh dữ liệu.
Liên quan đến mật mã an ninh và mật mã kháng lượng tử, Bộ trưởng cho biết, mật mã an ninh không thay thế mật mã cơ yếu, không làm thay đổi vai trò của cơ quan mật mã quốc gia là Ban Cơ yếu Chính phủ, mà là lớp bảo vệ bổ sung độc lập về kỹ thuật.
Quy định này nhằm thể chế hóa Chỉ thị 57 của Trung ương về Đề án Chiến lược bảo vệ an ninh mạng, an ninh dữ liệu được Bộ Chính trị thông qua ngày 2/10/2026 và bảo vệ Tổ quốc từ sớm, từ xa.
Dự thảo bám sát Kết luận 274 của Ủy ban Thường vụ Quốc hội khóa XVI. Theo đó, mật mã an ninh trước mắt chỉ sử dụng trong ngành Công an, tại các kênh liên lạc giữa cơ quan an ninh, tình báo, thực thi pháp luật của Bộ Công an với các đối tác mà Việt Nam đã có hợp tác.
Việc mở rộng chỉ được xem xét sau khi đánh giá hiệu quả, tính an toàn, có sự phối hợp của Ban Cơ yếu Chính phủ và do Thủ tướng Chính phủ quyết định. Đối với dữ liệu không thuộc bí mật nhà nước, việc sử dụng hoàn toàn tự nguyện.
Bộ trưởng Bộ Công an khẳng định, cơ quan chủ trì soạn thảo sẽ phối hợp chặt chẽ với Thường trực Ủy ban Quốc phòng, An ninh và Đối ngoại, tiếp thu đầy đủ ý kiến đại biểu, báo cáo Ủy ban Thường vụ Quốc hội trước khi hoàn thiện dự thảo Luật; bảo đảm vừa bảo vệ vững chắc chủ quyền quốc gia, vừa tạo môi trường pháp lý an toàn, thuận lợi cho phát triển kinh tế số và bảo đảm tiến độ trình Quốc hội xem xét, thông qua.