Phạt đến 1,5 tỷ đồng với cá nhân làm lộ dữ liệu trọng yếu

Theo dự thảo Luật An ninh dữ liệu được Bộ Công An chủ trì soạn thảo, mức phạt tiền đối với cá nhân bằng một nửa mức phạt áp dụng cho tổ chức có cùng hành vi vi phạm.

Cá nhân có thể bị phạt tới 1,5 tỷ đồng

Với mức phạt tối đa dành cho tổ chức lên tới 3 tỷ đồng, cá nhân vi phạm các quy định về an ninh dữ liệu có thể bị phạt tới 1,5 tỷ đồng.

Đây là mức phạt hành chính rất cao trong lĩnh vực công nghệ thông tin và an ninh mạng, cho thấy mức độ nghiêm trọng của các hành vi xâm phạm an ninh dữ liệu trong bối cảnh hoạt động thu thập, lưu trữ và khai thác thông tin ngày càng mở rộng.

Cá nhân bị xem xét xử phạt không chỉ là người trực tiếp mua bán hoặc làm lộ dữ liệu. Phạm vi áp dụng còn có thể bao gồm nhân viên công nghệ thông tin, quản trị viên hệ thống, cán bộ cơ quan nhà nước, người quản lý doanh nghiệp hoặc bất kỳ cá nhân nào được giao quyền tiếp cận, quản lý dữ liệu.

Một trong những nhóm vi phạm nghiêm trọng là tự ý truy cập, làm lộ, mua bán, chia sẻ hoặc chuyển giao trái phép dữ liệu cốt lõi và dữ liệu quan trọng của cơ quan, tổ chức hoặc công dân Việt Nam.

Cá nhân cũng có thể bị xử lý nếu tự ý chuyển hệ thống chứa dữ liệu cốt lõi hoặc dữ liệu quan trọng ra nước ngoài khi chưa được cơ quan có thẩm quyền cho phép.

Các hành vi cài đặt phần mềm độc hại, phát tán mã độc, thực hiện hoạt động gián điệp dữ liệu hoặc can thiệp trái phép vào hạ tầng dữ liệu quốc gia và các cơ sở dữ liệu trọng yếu cũng thuộc nhóm có nguy cơ bị xử phạt nặng.

Các hành vi cài đặt phần mềm độc hại, phát tán mã độc bị xử phạt nặng. Ảnh: pexels.

Ngoài ra, người phát hiện sự cố rò rỉ hoặc tấn công dữ liệu nhưng không thông báo kịp thời cho cơ quan chức năng cũng có thể bị xem xét trách nhiệm. Theo dự thảo, sự cố liên quan đến dữ liệu cốt lõi phải được thông báo ngay, trong khi những sự cố dữ liệu khác phải được báo cáo trong vòng 24 giờ.

Bên cạnh mức phạt hành chính lên tới 1,5 tỷ đồng, cá nhân vi phạm còn có thể phải chịu các chế tài khác tùy theo tính chất và mức độ của hành vi.

Đối với cán bộ, công chức, viên chức hoặc nhân viên nội bộ, hình thức xử lý có thể từ khiển trách, hạ bậc lương, cách chức đến buộc thôi việc hoặc sa thải.

Nếu hành vi có dấu hiệu cố ý làm lộ bí mật nhà nước, gián điệp dữ liệu hoặc chiếm đoạt dữ liệu, gây hậu quả đặc biệt nghiêm trọng đến an ninh quốc gia, người vi phạm còn có thể bị truy cứu trách nhiệm hình sự theo Bộ luật Hình sự.

Ngoài ra, cá nhân gây ra vi phạm có thể phải bồi thường các chi phí và thiệt hại thực tế phát sinh cho Nhà nước, tổ chức hoặc cá nhân bị ảnh hưởng theo quy định của pháp luật dân sự.

Doanh nghiệp có thể bị phạt tới 5% doanh thu

Bên cạnh mức phạt áp dụng với cá nhân, dự thảo Luật An ninh dữ liệu còn đề xuất cơ chế xử phạt theo tỷ lệ doanh thu đối với doanh nghiệp, tập đoàn có hành vi vi phạm đặc biệt nghiêm trọng liên quan đến dữ liệu cốt lõi và dữ liệu quan trọng.

Theo đó, mức phạt có thể từ 1-5% tổng doanh thu của năm tài chính liền kề trước đó. Trong một số trường hợp, doanh thu làm căn cứ xử phạt có thể được tính trên phạm vi toàn cầu.

Cơ chế này nhằm hạn chế tình trạng doanh nghiệp lớn chấp nhận nộp mức phạt cố định như một phần chi phí kinh doanh, thay vì đầu tư đầy đủ cho việc bảo vệ dữ liệu.

Dự thảo đồng thời siết chặt việc chuyển dữ liệu ra nước ngoài. Dữ liệu cốt lõi và dữ liệu quan trọng không được tự ý chuyển ra ngoài lãnh thổ Việt Nam, trừ trường hợp đặc biệt phục vụ lợi ích tối cao của quốc gia và được Chính phủ phê duyệt.

Quy định này có thể tác động trực tiếp đến các nền tảng xuyên biên giới, tổ chức tài chính - ngân hàng, doanh nghiệp thương mại điện tử và đơn vị sử dụng dịch vụ điện toán đám mây đặt tại nước ngoài. Các doanh nghiệp thuộc nhóm này sẽ phải rà soát lại hoạt động lưu trữ, xử lý và chuyển dữ liệu, đồng thời bảo đảm các dữ liệu thuộc diện cốt lõi hoặc quan trọng được quản lý theo quy định tại Việt Nam.

Trung tâm điều hành an ninh mạng của doanh nghiệp lĩnh vực an ninh mạng. Ảnh: NCS.

Một điểm đáng chú ý khác là cơ chế tích tụ dữ liệu. Theo dự thảo, dữ liệu ban đầu ở cấp độ thấp hơn, như thông tin giao dịch thương mại hoặc dữ liệu nội bộ thông thường, có thể được xem xét nâng lên thành dữ liệu quan trọng hoặc dữ liệu cốt lõi khi được tập hợp với quy mô lớn.

Khi lượng dữ liệu vượt ngưỡng, chủ quản hệ thống phải triển khai giải pháp công nghệ để tự động cảnh báo, nâng cấp biện pháp bảo vệ và báo cáo Bộ Công an theo quy định.

Dự thảo cũng đề xuất thành lập Trung tâm Quản trị an ninh dữ liệu Quốc gia do Bộ Công an chủ trì. Trung tâm này được định hướng trở thành hạ tầng chỉ huy, giám sát theo thời gian thực và điều phối hoạt động ứng cứu sự cố dữ liệu trên phạm vi toàn quốc.

Cùng với đó, quy trình thẩm định an ninh dữ liệu dự kiến được tích hợp với quy trình thẩm định an ninh mạng, giúp doanh nghiệp chỉ phải thực hiện một thủ tục thay vì nhiều quy trình riêng biệt.

Theo lộ trình được đề xuất, từ ngày 1/1/2035, các hệ thống lưu trữ và xử lý dữ liệu cốt lõi, dữ liệu quan trọng thuộc cơ quan Đảng, Nhà nước, lực lượng vũ trang và một số lĩnh vực trọng yếu như tài chính - ngân hàng, viễn thông, năng lượng phải chuyển sang sử dụng giải pháp mật mã kháng lượng tử.

Quy định này nhằm chuẩn bị cho nguy cơ các chuẩn mã hóa hiện nay có thể bị phá vỡ khi công nghệ máy tính lượng tử phát triển.

Dự thảo đồng thời đưa ra cơ chế miễn, giảm một số nghĩa vụ đối với doanh nghiệp siêu nhỏ, nhỏ và vừa. Những doanh nghiệp không xử lý dữ liệu quy mô lớn, không quản lý dữ liệu cốt lõi hoặc dữ liệu quan trọng có thể được giảm bớt các yêu cầu về kiểm toán và đánh giá rủi ro vòng đời dữ liệu, qua đó hạn chế chi phí tuân thủ.

Dự thảo do Bộ Công an chủ trì soạn thảo. Nội dung đang được lấy ý kiến công khai đến ngày 9/8, dự kiến trình Quốc hội xem xét, thông qua tại kỳ họp tháng 10.