Nếu Luật Bảo vệ dữ liệu cá nhân (Luật BVDLCN) là “luật gốc” về quyền riêng tư, thì Dự thảo Luật An ninh mạng (Sửa đổi - Luật ANM) đặt vấn đề bảo vệ dữ liệu trong không gian mạng rộng hơn, còn Dự thảo Luật Trí tuệ nhân tạo xử lý bài toán mới làm thế nào để các hệ thống trí tuệ nhân tạo - vốn sống bằng dữ liệu - vẫn tôn trọng quyền con người, quyền riêng tư và tránh lệch lạc.
Nguồn: The Saigon Times
Cả ba đạo luật tạo thành một “tam giác” điều chỉnh và bổ sung cho nhau nhưng cũng tiềm ẩn nguy cơ chồng chéo nếu không được thiết kế và triển khai hài hòa.
Luật BVDLCN thiết lập khung pháp lý chuyên ngành về dữ liệu cá nhân. Luật xác định dữ liệu cá nhân cơ bản dữ liệu cá nhân nhạy cảm; xác lập các quyền cốt lõi của chủ thể dữ liệu như quyền được biết, đồng ý, truy cập, chỉnh sửa, xóa, hạn chế xử lý, phản đối, khiếu nại, yêu cầu bồi thường…; đồng thời quy định nghĩa vụ của bên kiểm soát và bên xử lý dữ liệu trong toàn bộ vòng đời dữ liệu - từ thu thập, lưu trữ, sử dụng đến chuyển giao, xóa bỏ. Luật cũng đưa vào pháp luật Việt Nam cơ chế “đánh giá tác động xử lý dữ liệu” và “đánh giá tác động chuyển dữ liệu ra nước ngoài” theo chuẩn quốc tế.
Dự thảo Luật An ninh mạng (sửa đổi) mở rộng phạm vi sang toàn bộ không gian mạng. Dự thảo xác định sẽ điều chỉnh “an ninh mạng, bảo vệ an ninh mạng; quyền, nghĩa vụ, trách nhiệm của cơ quan, tổ chức, cá nhân có liên quan”. An ninh mạng được hiểu là sự ổn định, an toàn của không gian mạng, bảo đảm thông tin, dữ liệu và hoạt động trên mạng không gây phương hại đến an ninh quốc gia, trật tự, an toàn xã hội, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân. Nói cách khác, bảo vệ dữ liệu (trong đó có dữ liệu cá nhân) là một phần cấu thành Luật ANM, chứ không tách biệt.
Dự thảo Luật Trí tuệ nhân tạo (Luật AI) là “làn sóng” lập pháp mới hơn, nhắm tới việc quản lý hệ thống AI trong mọi lĩnh vực. Dự thảo khẳng định nguyên tắc đầu tiên: “Lấy con người làm trung tâm: Hệ thống trí tuệ nhân tạo phải phục vụ và hỗ trợ con người, tôn trọng nhân phẩm, quyền tự do, quyền riêng tư…”. Đây là lần đầu tiên quyền riêng tư được nêu trực diện như một nguyên tắc nền tảng trong một luật chuyên ngành về công nghệ mới. Luật AI cũng xây dựng cơ chế quản lý dựa trên rủi ro, phân loại hệ thống AI và đặt ra nghĩa vụ đánh giá tác động, minh bạch, gắn nhãn và giải trình đối với các hệ thống có rủi ro cao đối với quyền con người, quyền riêng tư.
Ba lớp rào cản của quyền riêng tư
Dù xuất phát từ những “góc độ” khác nhau từ dữ liệu, an ninh mạng, đến AI thì cả ba đạo luật đều chia sẻ một trục giá trị chung là tôn trọng và bảo vệ quyền riêng tư cá nhân.
Với Luật BVDLCN, quyền riêng tư được cụ thể hóa thành quyền kiểm soát dữ liệu của chính mình. Không ai được thu thập và xử lý dữ liệu nếu không có căn cứ hợp pháp; chủ thể dữ liệu có quyền rút lại sự đồng ý, yêu cầu xóa hoặc hạn chế xử lý khi mục đích đã đạt được hoặc không còn phù hợp.
Trong khi đó, Dự thảo Luật AI đưa quyền riêng tư vào tâm điểm của cơ chế đánh giá rủi ro. Trước khi đưa vào vận hành hệ thống AI rủi ro cao hoặc có tác động đáng kể đến quyền con người, cơ quan nhà nước phải lập báo cáo đánh giá tác động; trong đó phải phân tích “mức độ rủi ro của hệ thống”, “tác động tiềm tàng đối với quyền con người, quyền riêng tư, công bằng xã hội”, “nguy cơ lộ lọt thông tin cá nhân, thiên lệch, phân biệt đối xử” và biện pháp phòng ngừa, khắc phục. Như vậy, quyền riêng tư trở thành một tiêu chí đánh giá bắt buộc trong thiết kế, triển khai AI.
Cuối cùng, Dự thảo Luật ANM lại bảo vệ quyền riêng tư theo “góc phòng thủ”: liệt kê các hành vi bị nghiêm cấm trên không gian mạng, trong đó có “thu thập, sử dụng, phát tán, trao đổi, chuyển nhượng, kinh doanh trái pháp luật thông tin, dữ liệu cá nhân của người khác”. Các hành vi tấn công hệ thống, chiếm đoạt dữ liệu lưu trữ, truyền đưa qua mạng viễn thông, Internet, mạng máy tính cũng bị cấm và bị yêu cầu chủ quản hệ thống áp dụng biện pháp kỹ thuật phòng ngừa, ngăn chặn
Nhìn từ trên xuống, có thể thấy quyền riêng tư cá nhân được “rào” bởi ba vòng: vòng lõi là quyền của chủ thể dữ liệu từ Luật BVDLCN, vòng giữa là cơ chế thiết kế an toàn, có trách nhiệm của hệ thống AI từ Luật AI và vòng ngoài là lớp bảo vệ hạ tầng mạng trước tấn công và lạm dụng của Luật ANM.
Nguồn: The Saigon Times
Giải pháp nào khi cả 3 quy định mới cùng tác động tới doanh nghiệp?
Sự giao thoa của ba đạo luật tạo ra một bức tranh tuân thủ phức tạp nhưng cũng mở ra cơ hội tái cấu trúc quản trị dữ liệu và công nghệ trong doanh nghiệp.
Thứ nhất, về mặt tổ chức, doanh nghiệp gần như không thể tiếp tục vận hành theo kiểu “mỗi bộ phận một mảnh”. Cần hình thành cấu trúc quản trị tích hợp, hiệu quả. Có thể là một ban quản trị dữ liệu và công nghệ bao gồm pháp chế, CNTT, kinh doanh, an ninh mạng, marketing để cùng thẩm định các dự án mới có sử dụng dữ liệu và AI. Bên cạnh đó, việc doanh nghiệp chỉ định nhân sự phụ trách bảo vệ dữ liệu cá nhân để phối hợp chặt chẽ với bộ phận an ninh mạng là cần thiết. Vì ngoài việc hỗ trợ cho các phòng ban, nhân sự này sẽ là đầu mối chịu trách nhiệm với cơ quan nhà nước trong các vấn đề: báo cáo đánh giá tác động dữ liệu, báo cáo đánh giá tác động AI, phối hợp xử lý sự cố an ninh mạng.
Thứ hai, về quy trình, doanh nghiệp nên chuẩn hóa một “chuỗi tuân thủ” chung cho mọi dự án xử lý dữ liệu/AI: (i). Data mapping[1] và phân loại dữ liệu: biết mình đang nắm những loại dữ liệu cá nhân nào, ở đâu, thuộc nhóm nhạy cảm hay không, có chuyển ra nước ngoài hay dùng cho AI hay không. (ii) Sàng lọc rủi ro: nếu dự án chỉ ở mức rủi ro thấp chẳng hạn như phân tích dữ liệu nội bộ, không ảnh hưởng mạnh đến quyền lợi cá nhân, có thể áp dụng quy trình rút gọn; nếu dự án có AI ra quyết định tự động, liên quan đến tài chính, y tế, việc làm… thì phải kích hoạt quy trình đánh giá tác động hợp nhất theo hướng dẫn của Luật BVDLCN và Luật AI. (iii). Kiểm tra yêu cầu an ninh mạng: doanh nghiệp cần xác định hệ thống của mình sử dụng thuộc cấp độ nào, có nằm trong danh mục hệ thống quan trọng về an ninh quốc gia không; cần chứng nhận, kiểm định, diễn tập an ninh mạng ra sao; dữ liệu người dùng có phải lưu tại Việt Nam không. Để từ đó, đưa ra các giải pháp ứng phó hiệu quả với các yêu cầu tuân thủ mới.
Thứ ba, về công nghệ, thay vì xem yêu cầu pháp luật là gánh nặng, doanh nghiệp có thể tận dụng chúng để nâng cấp năng lực cạnh tranh. Doanh nghiệp xem xét đầu tư nền tảng quản trị dữ liệu, cho phép gắn nhãn dữ liệu cá nhân, kiểm soát truy cập, tự động ẩn danh hóa đối với dữ liệu dùng cho huấn luyện AI. Triển khai giải pháp ghi log[2] và phân tích nhật ký tập trung, vừa đáp ứng Luật An ninh mạng, vừa phục vụ giải trình AI và điều tra vi phạm dữ liệu. Ngoài ra, việc xây dựng các module minh bạch, chuẩn để tái sử dụng cho nhiều sản phẩm, tránh “may đo thủ công” từng lần cũng là một giải pháp đáng cân nhắc.
Từ góc nhìn quyền riêng tư, có thể nói Luật Bảo vệ dữ liệu cá nhân, Dự thảo Luật ANM và Dự thảo Luật AI không phải là ba “đảo luật” tách biệt, mà đang dần hình thành một hệ sinh thái pháp lý nhiều lớp. Tuy nhiên, các khung pháp lý mới này mang lại không ít thách thức cho doanh nghiệp. Thách thức lớn nhất trong những năm tới sẽ là biến sự giao thoa này thành một chỉnh thể hài hòa, thay vì “ma trận” nghĩa vụ khiến doanh nghiệp lúng túng. Về phía nhà làm luật, việc thiết kế cơ chế báo cáo, kiểm tra liên ngành theo mô hình “một cửa - nhiều kết quả” như đã phác thảo trong Dự thảo Luật AI là hướng đi rất đáng khuyến khích.
Khi quyền riêng tư được tôn trọng đúng mức, khi hệ thống AI được thiết kế có trách nhiệm và khi không gian mạng được bảo vệ hiệu quả, Việt Nam không chỉ phòng tránh được các cuộc khủng hoảng dữ liệu, mà còn có cơ hội xây dựng một môi trường số an toàn, nhân văn và cạnh tranh quốc tế.
Luật sư Nguyễn Văn Phúc
Công ty Luật TNHH HM&P
