Từ định danh con người đến nhận diện cả dữ liệu và giao dịch
Định danh điện tử là việc tạo lập và sử dụng thông tin số để nhận diện, xác thực chủ thể hoặc đối tượng trong quản lý và giao dịch trên môi trường điện tử. Dự thảo luật định danh điện tử đang được Quốc hội xem xét mở rộng phạm vi này vượt khỏi con người, tổ chức để bao gồm hàng hóa, tài sản, dữ liệu, giao dịch và không gian.
Sáng 26/10, Quốc hội nghe tờ trình và báo cáo thẩm tra dự án Luật Định danh và xác thực điện tử. Dự thảo gồm 8 chương, 46 điều, chia đối tượng định danh thành năm nhóm: cơ quan, tổ chức, cá nhân; sản phẩm, hàng hóa, tài sản và vật thể khác; cơ sở dữ liệu, tệp tin, hình ảnh, âm thanh, video, phần mềm và dịch vụ số; sự kiện, giao dịch, hành vi; địa điểm và không gian.
Đây không chỉ là bước mở rộng kỹ thuật. Khi danh tính điện tử gắn với nhiều loại thực thể, nó có thể giúp các giao dịch số rõ nguồn gốc và dễ kiểm tra hơn, nhưng cũng làm tăng số tình huống cần quy định rành mạch: đối tượng nào thực sự cần định danh, dữ liệu nào được phép gắn vào hồ sơ và ai chịu trách nhiệm khi thông tin sai. Nếu thiếu giới hạn cụ thể, phạm vi rộng có thể biến thuận tiện thành thu thập tràn lan.
Mô hình và mức xác thực phải tương xứng với rủi ro
Dự thảo đề xuất ba mô hình xác thực điện tử: tập trung, trung gian và độc lập. Về cách tạo lập danh tính điện tử, hệ thống có thể do Nhà nước đầu tư, vận hành trực tiếp hoặc do tổ chức đủ điều kiện tự đầu tư hạ tầng để thực hiện. Quốc hội thảo luận tại hội trường về dự án luật vào sáng 4/11; một nội dung đáng chú ý là giá trị pháp lý của kết quả xác thực và cách sử dụng kết quả đó trong giao dịch.
Mức xác thực 3 yêu cầu tối thiểu hai yếu tố, trong đó ít nhất một yếu tố là sinh trắc học như khuôn mặt, giọng nói hoặc vân tay. Nhưng số lượng yếu tố chưa đủ để bảo đảm an toàn nếu một yếu tố có thể bị làm giả bằng công nghệ. Đại biểu Phạm Trọng Nhân cảnh báo ảnh khuôn mặt trên mạng xã hội có thể bị khai thác để vượt qua xác thực; khác với mật khẩu, dữ liệu khuôn mặt bị lộ không thể thay thế.
Vì vậy, dữ liệu sinh trắc học không nên trở thành chiếc chìa khóa duy nhất. Với giao dịch có giá trị lớn hoặc kéo theo nghĩa vụ pháp lý quan trọng, người dùng cần được thông báo và xác nhận nội dung rõ ràng, dễ hiểu, phù hợp với từng nhóm sử dụng. Luật nên gắn mức xác thực với mức độ rủi ro, thay vì mặc định sinh trắc học luôn là lớp bảo vệ mạnh nhất.
Thu thập tối thiểu phải đi kèm trách nhiệm khi có sai sót
Dự thảo đặt nguyên tắc thu thập dữ liệu tối thiểu, không thu thập lại thông tin đã có; đồng thời cấm dùng sinh trắc giả, hình ảnh giả tạo bằng công nghệ hoặc thủ đoạn gian lận khác để lập, giả mạo danh tính điện tử. Quy trình định danh và xác thực cũng phải được ghi nhận, lưu vết, truy vết và có trách nhiệm giải trình. Đây là nền tảng cần thiết, nhưng chưa đủ nếu người dùng không biết dữ liệu được giữ bao lâu, ai được tiếp cận và làm gì khi hệ thống nhận diện nhầm.
Các ý kiến thẩm tra đề nghị quy định cụ thể trách nhiệm pháp lý và cơ chế bồi thường của tổ chức cung cấp dịch vụ khi xảy ra lộ lọt dữ liệu hoặc định danh, xác thực sai lệch. Cũng cần làm rõ quyền yêu cầu xóa dữ liệu danh tính tự chủ khi không còn nhu cầu và rà soát thời hạn lưu trữ. Nguyên tắc thu thập ít chỉ có ý nghĩa khi đi cùng quyền kiểm soát thực chất và hậu quả rõ ràng cho bên gây ra sai sót.
Với người dân, một hệ sinh thái số an toàn cũng không nên buộc phải cài quá nhiều ứng dụng hoặc phân tán thông tin cá nhân cho nhiều đầu mối. Ý kiến tại phiên thảo luận đề nghị rà soát, tích hợp các dịch vụ phù hợp trên nền tảng dùng chung để giảm ứng dụng trùng lặp và số đơn vị nắm dữ liệu. Luật nên bảo đảm việc số hóa giúp người dùng bớt thủ tục, chứ không khiến họ phải trao thêm dữ liệu mà không hiểu rõ mục đích.
Người dùng cần lựa chọn xác thực có lớp bảo vệ và phương án dự phòng
Định danh số có thể làm giao dịch thuận tiện hơn, nhưng người dùng vẫn nên cảnh giác với yêu cầu cung cấp ảnh khuôn mặt, giọng nói hoặc thông tin xác thực ngoài quy trình chính thức. Khi dữ liệu sinh trắc học khó thay đổi, việc hạn chế chia sẻ hình ảnh và âm thanh có thể làm giảm nguy cơ bị lợi dụng; ở phía hệ thống, xác thực cần có biện pháp phát hiện giả mạo và lớp bảo vệ bổ sung, không chỉ dựa vào camera.
Luật cũng cần tính đến lúc công nghệ hoặc hạ tầng gặp sự cố. Ý kiến thẩm tra đề nghị cho phép giải quyết thủ tục bằng giấy tờ truyền thống khi có sự cố kỹ thuật hoặc tại nơi chưa bảo đảm hạ tầng số. Một phương án dự phòng như vậy không phủ nhận chuyển đổi số; nó giúp quyền tiếp cận dịch vụ không phụ thuộc hoàn toàn vào một hệ thống điện tử.
Quốc hội dự kiến xem xét thông qua các dự luật ngày 21/11. Trước mốc đó, điều người dùng cần theo dõi không chỉ là phạm vi định danh mới, mà còn là giới hạn thu thập, giá trị pháp lý của kết quả xác thực và cơ chế xử lý khi dữ liệu bị lộ hoặc hệ thống nhận diện sai. Mở rộng danh tính điện tử chỉ đáng tin khi trách nhiệm bảo vệ người dân được quy định cụ thể và thực thi được.
