Ranh giới thẩm quyền phải rõ trước khi mở rộng quản lý
Luật an ninh dữ liệu là khung pháp lý nhằm xác định cách bảo vệ, quản lý và xử lý dữ liệu trước nguy cơ bị lộ, mất hoặc sử dụng sai mục đích, đồng thời phân định quyền hạn và nghĩa vụ của những chủ thể tham gia. Chiều 26/10, tại Kỳ họp thứ Hai, Quốc hội khóa XVI thảo luận tại tổ về dự án luật này, Luật Định danh và xác thực điện tử cùng dự án sửa đổi Luật Xử lý vi phạm hành chính. Trọng tâm đáng chú ý không chỉ là tăng năng lực quản lý, mà còn là ngăn quy định rộng đến mức người dân và doanh nghiệp không biết ai chịu trách nhiệm, hoặc cơ quan nào có quyền quyết định.
Đại biểu Nguyễn Hải Nam đề nghị làm rõ phạm vi áp dụng, trách nhiệm từng chủ thể và điều kiện hạn chế chuyển dữ liệu ra nước ngoài; nghĩa vụ của tổ chức, cá nhân nước ngoài nên tập trung vào bên trực tiếp xử lý dữ liệu hoặc được cấp quyền truy cập. Với biện pháp hạn chế chuyển dữ liệu, dự thảo cần quy định căn cứ, thẩm quyền, thời hạn và cơ chế xem xét lại, khiếu nại, khởi kiện, bồi thường nếu quyết định trái pháp luật. Đây là đòi hỏi thiết yếu: quyền can thiệp càng rộng thì cơ chế giải trình và bảo vệ quyền, lợi ích hợp pháp càng phải cụ thể.
Tiêu chí phân loại dữ liệu cũng không thể chỉ dựa vào dung lượng. Đại biểu Võ Thanh Tùng lưu ý phải tính đến độ nhạy cảm, tính chất và hậu quả nếu dữ liệu bị khai thác sai; dữ liệu công khai nhưng được liên kết với nguồn khác vẫn có thể làm phát sinh rủi ro. Phân loại theo nguy cơ thực tế sẽ hợp lý hơn việc áp cùng một gánh nặng tuân thủ cho mọi tổ chức, nhất là cơ sở nghiên cứu và doanh nghiệp nhỏ.
Định danh điện tử không đồng nghĩa từ bỏ quyền riêng tư
Với dự án Luật Định danh và xác thực điện tử, bài toán là làm sao để hệ thống phục vụ giao dịch an toàn mà không biến việc định danh thành cớ thu thập hoặc lưu giữ thông tin quá mức. Đại biểu Võ Thanh Tùng đề nghị làm rõ cơ chế quản lý, phân loại và chuyển đổi giữa mạng định danh điện tử tự chủ với mạng quốc gia khi yêu cầu pháp lý thay đổi, đồng thời bảo đảm kết nối và xử lý thông tin.
Người dùng cần được biết dữ liệu cá nhân của mình đã được khai thác bởi ai, vào thời điểm nào, vì mục đích và trong phạm vi nào. Đây không phải tiện ích phụ: lịch sử truy cập giúp cá nhân phát hiện việc sử dụng không đúng mục đích và tạo căn cứ để yêu cầu giải trình. Một nguyên tắc khác cần được ghi rõ là xác thực điện tử để xác nhận danh tính không mặc nhiên chứng minh người đó đã đồng ý với nội dung giao dịch; xác nhận danh tính và xác nhận ý chí là hai việc khác nhau.
Đại biểu Nguyễn Thanh Xuân cảnh báo lưu tập trung quá nhiều dữ liệu định danh, nhật ký xác thực và thông tin kết nối có thể làm tăng nguy cơ liên kết dữ liệu, ảnh hưởng quyền riêng tư. Theo ý kiến này, cần phân biệt dữ liệu gốc với dữ liệu xác thực, giới hạn thời gian lưu và chỉ giữ thông tin cần thiết; truy cập vì lý do an ninh phải đúng thẩm quyền, mục đích, phạm vi, thời hạn và chịu giám sát. Với mạng xã hội, đại biểu đề xuất yêu cầu xác thực khi đăng ký tài khoản nhưng không buộc công khai danh tính người dùng.
Mức phạt cần răn đe, không được thành hình phạt quá sức
Quốc hội cũng thảo luận việc sửa Luật Xử lý vi phạm hành chính trong bối cảnh vi phạm ở các lĩnh vực như giao thông, an toàn thực phẩm và không gian mạng có chiều hướng gia tăng. Quan điểm hợp lý không phải chọn giữa xử phạt nghiêm và cân nhắc đời sống người dân: chế tài phải khiến hành vi cố tình vi phạm, thu lợi bất chính hoặc gây hậu quả nghiêm trọng phải trả giá, nhưng cũng cần tương xứng với khả năng tài chính.
Đại biểu Phạm Khánh Phong Lan cho rằng đề xuất nâng mức phạt tối đa từ 1 tỷ lên 1,5 tỷ đồng với cá nhân và từ 2 tỷ lên 3 tỷ đồng với tổ chức là quá cao. Bà cũng nêu ví dụ tại Việt Nam, ô tô vượt đèn đỏ có thể bị phạt 18–20 triệu đồng, xe máy 4–6 triệu đồng, kèm trừ điểm giấy phép lái xe. So sánh mức phạt giữa các nước cần thận trọng, nhưng cảnh báo về tác động lên người mưu sinh bằng phương tiện là đáng lưu tâm: chế tài vượt khả năng chịu đựng có thể biến mục tiêu tuân thủ thành gánh nặng.
Đại biểu Vũ Văn Tiến nhấn mạnh cần xử lý nghiêm vi phạm có chủ ý, song phải tính đến khả năng tài chính của người dân, hộ kinh doanh và doanh nghiệp nhỏ. Trái lại, đại biểu Trần Thị Diệu Thúy cho rằng mức phạt cao hơn đã góp phần nâng ý thức ở một số lĩnh vực và có thể được đánh giá, điều chỉnh sau 5–10 năm. Dù chọn hướng nào, luật nên gắn mức phạt hành chính với tính chất, hậu quả và điều kiện thực tế, thay vì mặc định tăng trần là giải pháp đủ sức răn đe.
Luật tốt phải khiến quyền lực có thể bị kiểm tra
Các góp ý cho thấy điểm quyết định của cả ba dự án không nằm ở việc trao thêm quyền thu thập dữ liệu hay nâng mức phạt, mà ở khả năng kiểm soát quyền lực và phân bổ nghĩa vụ công bằng. Với dữ liệu, cần tránh chồng chéo kiểm tra, đồng thời bảo vệ bí mật kinh doanh và yêu cầu tuân thủ tương xứng với rủi ro. Với định danh điện tử, người dùng phải có quyền biết dữ liệu được truy cập ra sao, còn việc xác thực cần giới hạn theo nhu cầu và mức độ rủi ro.
Trong xử phạt, tính răn đe chỉ có ý nghĩa khi mức phạt có căn cứ và không đè nặng lên người dân, hộ kinh doanh hay doanh nghiệp nhỏ. Vì vậy, Quốc hội cần ưu tiên những quy định minh bạch về thẩm quyền, trách nhiệm, thời hạn lưu trữ, quyền khiếu nại và cơ chế giám sát. Đó là cách bảo đảm an ninh dữ liệu và định danh điện tử phục vụ lợi ích công mà không đánh đổi quyền riêng tư, quyền giải trình và sự công bằng.
