Xác thực phải đi cùng trách nhiệm
Xác thực điện tử là quá trình kiểm chứng một danh tính hoặc đối tượng trên môi trường số, nhằm xác nhận chủ thể hay đối tượng đó tại thời điểm thực hiện giao dịch. Dự thảo Luật Định danh và xác thực điện tử đặt nền tảng cho hoạt động này bằng cách quy định đối tượng, mô hình, mức độ xác thực, giá trị sử dụng của danh tính điện tử và điều kiện cung cấp dịch vụ. Nhưng quy định kỹ thuật chỉ tạo được niềm tin khi luật cũng trả lời rõ ai chịu trách nhiệm nếu quy trình thất bại. Tại các phiên thảo luận về dự thảo, đại biểu Quốc hội Phạm Trọng Nhân cảnh báo máy móc có thể tạo gương mặt giả như thật, khiến niềm tin phụ thuộc vào sự chặt chẽ và minh định của thể chế. Vì vậy, quyền khiếu nại và bồi thường cần đi kèm nghĩa vụ chứng minh cụ thể, thay vì để người bị mạo danh tự gỡ bỏ kết quả xác thực bất lợi.
Đại biểu Trần Mạnh Huy cũng đề nghị làm rõ cách xử lý những giao dịch đã phát sinh khi việc công nhận danh tính điện tử hoặc kết quả xác thực nước ngoài bị tạm dừng, hủy bỏ hay chấm dứt. Theo hướng này, luật cần xác định phạm vi và thời điểm quyết định thay đổi có hiệu lực, yêu cầu thông báo, bảo toàn chứng cứ và phối hợp khắc phục sai sót; việc thay đổi trạng thái không nên tự động xóa hiệu lực giao dịch đã xác lập. Phân định như vậy giúp người dùng và doanh nghiệp biết phải làm gì khi có tranh chấp, đồng thời tránh để rủi ro hệ thống bị đẩy hết sang phía khách hàng.
Không thể mặc định sinh trắc học là bất khả giả mạo
Dự thảo chia xác thực thành ba mức: mức 1 dùng một yếu tố; mức 2 dùng hai yếu tố thuộc nhóm tri thức và sở hữu; mức 3 dùng tối thiểu hai yếu tố, trong đó có ít nhất một yếu tố đặc trưng như khuôn mặt, giọng nói hoặc vân tay. Cách phân tầng này hữu ích, nhưng giả định rằng sinh trắc học khó làm giả nhất đang nhanh chóng lỗi thời trước AI tạo sinh và các công cụ giả mạo ngày càng tinh vi. Khuôn mặt hay giọng nói một khi bị lộ không thể đổi như mật khẩu. Đại biểu Phạm Trọng Nhân vì thế đề nghị bắt buộc mức 3 cho giao dịch rủi ro cao và chuẩn hóa việc kết hợp ít nhất một yếu tố đặc trưng với yếu tố sở hữu gắn với phần cứng bảo mật, chứng thư số hoặc chữ ký số. Đây là hướng đi thuyết phục hơn việc để nhà cung cấp tự chọn mức bảo vệ.
Luật cũng cần xử lý hậu quả khi giả mạo danh tính vượt qua lớp kiểm tra. Nếu người dùng kịp thời báo tài khoản hoặc danh tính bị sử dụng trái phép, kết quả xác thực không nên mặc nhiên trở thành chứng cứ kết luận họ đã giao dịch. Tổ chức thực hiện xác thực phải chứng minh quy trình đáp ứng yêu cầu chống giả mạo, còn cơ chế khiếu nại cần dễ tiếp cận và có thời hạn xử lý rõ ràng. Một điểm khác không nên bị bỏ qua là xác thực đúng người chưa đồng nghĩa người đó tự nguyện đồng ý nội dung giao dịch. Với giao dịch giá trị lớn hoặc phát sinh nghĩa vụ pháp lý quan trọng, cần thông báo và xác nhận nội dung rõ ràng, dễ hiểu, phù hợp với người dùng, trong đó có người cao tuổi.
Nền tảng cho giao dịch số và kinh doanh an toàn
Dự thảo có ý nghĩa thiết thực với người dân: danh tính điện tử của cá nhân, cơ quan và tổ chức có thể được sử dụng tương đương việc xuất trình giấy tờ chứa thông tin tương ứng trong thủ tục hành chính, dịch vụ công và giao dịch. Luật còn dự kiến ba mô hình xác thực — tập trung, trung gian và độc lập — để phù hợp với nhiều hệ thống và nhu cầu, đồng thời giữ các yêu cầu chung về độ tin cậy và trách nhiệm pháp lý. Việc xác thực với danh tính điện tử quốc gia và liên kết tài khoản giao dịch điện tử với danh tính đó có thể tăng kiểm soát danh tính, hạn chế nguy cơ giả mạo. Đây là nền tảng hữu ích cho môi trường kinh doanh lành mạnh, nhưng tiện lợi chỉ đáng tin khi người dùng có cơ chế phản đối hiệu quả nếu hệ thống nhận nhầm hoặc bị qua mặt.
Hội nhập quốc tế và sự phát triển của giao dịch số cũng khiến việc công nhận danh tính điện tử nước ngoài trở nên cần thiết; cùng lúc, luật cần quy định rõ trách nhiệm khi sự công nhận thay đổi trạng thái. Dự thảo giao Chính phủ quy định chi tiết cơ chế thúc đẩy hợp tác quốc tế và khuyến khích đầu tư hạ tầng, nên bước tiếp theo phải là hướng dẫn đủ cụ thể để doanh nghiệp biết chuẩn nào áp dụng và ai chịu trách nhiệm khi có sự cố. Kỳ vọng về an toàn môi trường số sẽ khó thành hiện thực nếu luật chỉ xác định giá trị của kết quả xác thực mà không xác định nghĩa vụ bảo vệ người bị mạo danh. Thước đo của luật không chỉ là giao dịch được thực hiện nhanh hơn, mà còn là tranh chấp được giải quyết công bằng hơn.
