Dự thảo Luật Định danh điện tử siết giả mạo, đặt yêu cầu bảo vệ dữ liệu

Sự phát triển của giao dịch trực tuyến khiến việc xác định đúng danh tính và kiểm chứng thông tin trở thành yêu cầu quan trọng đối với cả cơ quan quản lý, doanh nghiệp và người dân. Trong bối cảnh giả mạo hình ảnh, sinh trắc học và tài khoản trực tuyến ngày càng phức tạp, một khuôn khổ pháp lý thống nhất về định danh điện tử được kỳ vọng tạo nền tảng an toàn hơn cho các hoạt động trên môi trường số.

Quốc hội làm việc ở hội trường, nghe Tờ trình và Báo cáo thẩm tra dự án Luật Định danh và xác thực điện tử - Ảnh: https://quochoi.vn

Sáng 26/10, tại Kỳ họp thứ Hai, Quốc hội khóa XVI nghe tờ trình và báo cáo thẩm tra dự án Luật Định danh và xác thực điện tử. Dự thảo do Bộ trưởng Bộ Công an Lương Tam Quang trình bày gồm 8 chương, 46 điều, quy định về hoạt động định danh, xác thực điện tử cùng quyền, nghĩa vụ và trách nhiệm của các cơ quan, tổ chức, cá nhân liên quan.

Mở rộng định danh từ con người sang dữ liệu và tài sản

Một nội dung đáng chú ý là dự thảo xác định 5 nhóm đối tượng định danh điện tử, không chỉ gồm cơ quan, tổ chức, cá nhân mà còn mở rộng sang sản phẩm, hàng hóa, tài sản vật chất; cơ sở dữ liệu, tệp dữ liệu, hình ảnh, âm thanh, video, ứng dụng, phần mềm, dịch vụ số; sự kiện, giao dịch, hành vi; địa điểm và không gian. Đối tượng thuộc lĩnh vực quân sự, quốc phòng, cơ yếu sẽ do Chính phủ quy định cụ thể.

Cách tiếp cận này hướng tới khả năng nhận diện và xác thực nhiều loại đối tượng trong hệ sinh thái số. Với doanh nghiệp, định danh và xác thực đáng tin cậy có thể hỗ trợ các quy trình giao dịch trực tuyến, quản lý dữ liệu và cung cấp dịch vụ số. Tuy nhiên, định danh một đối tượng không đồng nghĩa với việc tự động xác lập quyền sở hữu, quyền sử dụng hay tính hợp pháp của mọi giao dịch liên quan.

Trong báo cáo thẩm tra, Ủy ban Quốc phòng, An ninh và Đối ngoại cơ bản nhất trí với việc mở rộng phạm vi định danh, nhưng có ý kiến đề nghị đánh giá tính khả thi, phân định rõ nhóm đối tượng bắt buộc và nhóm khuyến khích định danh. Những vấn đề cần cân nhắc gồm nguy cơ lộ lọt thông tin chứa bí mật nhà nước, bí mật kinh doanh và khả năng triển khai đối với các đối tượng phi vật chất như sự kiện, hành vi hay tệp dữ liệu.

Cấm giả mạo sinh trắc, kiểm soát việc thu thập dữ liệu

Bộ trưởng Bộ Công an Lương Tam Quang trình bày Tờ trình về dự án Luật Định danh và xác thực điện tử - Ảnh: https://quochoi.vn

Dự thảo đặt ra nguyên tắc thu thập dữ liệu tối thiểu, không thu thập lại dữ liệu đã có; đồng thời nghiêm cấm sử dụng sinh trắc giả, hình ảnh giả tạo bằng công nghệ hoặc các hình thức gian lận công nghệ khác để tạo lập, giả mạo danh tính điện tử. Quá trình định danh, xác thực phải có cơ chế ghi nhận, lưu vết, truy vết và trách nhiệm giải trình.

Những quy định này có ý nghĩa trong bối cảnh công nghệ có thể bị lợi dụng để tạo hình ảnh, video hoặc dữ liệu sinh trắc giả nhằm vượt qua quy trình xác minh danh tính. Nếu được quy định và triển khai hiệu quả, cơ chế lưu vết có thể hỗ trợ xác định quá trình xử lý dữ liệu, truy nguyên sự cố và làm rõ trách nhiệm khi xảy ra sai lệch.

Dù vậy, cơ quan thẩm tra lưu ý việc giao cơ quan chuyên ngành hoặc đơn vị cung cấp dịch vụ tự quyết định các trường thông tin cần thu thập có thể dẫn đến nguy cơ lạm dụng, ảnh hưởng quyền riêng tư. Vì vậy, có ý kiến đề nghị quy định khung thông tin được phép thu thập, giới hạn dữ liệu và tiêu chuẩn kỹ thuật thống nhất, thay vì để phạm vi thu thập phụ thuộc quá nhiều vào từng đơn vị.

Xã hội hóa dịch vụ phải đi cùng trách nhiệm

Dự thảo đề xuất hai phương thức định danh điện tử. Nhà nước trực tiếp đầu tư hệ thống đối với các nhóm dữ liệu cốt lõi, dữ liệu quan trọng, đối tượng đã được chứng nhận quyền sở hữu hoặc sử dụng, hàng hóa rủi ro cao và đối tượng thuộc bí mật nhà nước. Với những đối tượng còn lại, tổ chức đủ điều kiện có thể đầu tư hệ thống, nền tảng và hạ tầng để cung cấp dịch vụ định danh thương mại.

Dự thảo cũng quy định điều kiện đối với tổ chức cung cấp dịch vụ, gồm tư cách pháp nhân, năng lực tài chính, hạ tầng công nghệ, nhân sự chuyên trách, quy trình nghiệp vụ, bảo vệ dữ liệu người dùng và an ninh mạng. Tuy nhiên, cơ quan thẩm tra đề nghị làm rõ hơn trách nhiệm pháp lý và cơ chế bồi thường khi xảy ra sự cố lộ lọt dữ liệu hoặc định danh, xác thực sai lệch.

Đây là vấn đề quan trọng đối với thị trường dịch vụ số: việc cho phép doanh nghiệp tham gia cung cấp dịch vụ có thể mở rộng năng lực và thúc đẩy đổi mới, nhưng cần có tiêu chuẩn kỹ thuật chung, cơ chế giám sát và trách nhiệm đủ rõ để bảo vệ người sử dụng.

Dự thảo còn đề cập ba mô hình xác thực điện tử gồm tập trung, trung gian và độc lập; nguyên tắc công nhận danh tính, kết quả xác thực của nước ngoài trong giao dịch xuyên biên giới; đồng thời rà soát các luật liên quan nhằm bảo đảm tính thống nhất của hệ thống pháp luật.

Dự án Luật hiện đang ở giai đoạn được Quốc hội xem xét, chưa phải luật đã được thông qua. Những vấn đề về phạm vi định danh, giới hạn thu thập dữ liệu, quyền của chủ thể dữ liệu và trách nhiệm của nhà cung cấp dịch vụ sẽ là các nội dung cần tiếp tục hoàn thiện để bảo đảm mục tiêu thúc đẩy giao dịch số đi cùng an toàn và quyền riêng tư.