Từ nhận diện con người đến quản lý đối tượng số
Định danh điện tử là quá trình xác lập và quản lý thông tin nhận diện một chủ thể trên môi trường số, để chủ thể ấy có thể được nhận biết và đối chiếu trong phạm vi hoạt động nhất định. Đây không còn là chuyện riêng của tài khoản cá nhân: dự thảo Luật Định danh và xác thực điện tử mở rộng phạm vi tới tổ chức, tài sản, dữ liệu, sự kiện, giao dịch, hành vi, địa điểm và không gian. Sáng 4/11, Quốc hội thảo luận tại hội trường về dự án luật dưới sự chủ trì của Chủ tịch Quốc hội Trần Thanh Mẫn và sự điều hành của Phó Chủ tịch Quốc hội Nguyễn Thị Thanh. Dự thảo gồm 8 chương, 46 điều, hướng tới một khuôn khổ bao quát hơn. Mở rộng là cần thiết khi hàng hóa, phần mềm và dịch vụ số cũng cần được xác minh; nhưng định danh bắt buộc không nên trở thành mặc định. Đại biểu Dương Khắc Mai đề nghị chỉ áp dụng khi cần cho quản lý nhà nước, có căn cứ pháp luật và tương xứng mục đích, đồng thời kế thừa mã chuyên ngành để tránh thủ tục và nguy cơ lộ bí mật kinh doanh.
Dự thảo cũng còn phải làm rõ nhóm “đối tượng có liên quan” trong phạm vi áp dụng. Đại biểu Phạm Văn Hòa lưu ý tổ chức, cá nhân nước ngoài có thể hoạt động từ ngoài lãnh thổ nhưng tương tác với chủ thể trong nước, khiến quy định cụ thể về phạm vi điều chỉnh trở nên cần thiết. Đây là điểm không nên để mơ hồ: luật càng bao quát thì ranh giới áp dụng càng phải dễ hiểu, nhất là với hoạt động xuyên biên giới. Điều 8 giao Chính phủ quy định danh mục và lộ trình thực hiện giao dịch thuộc phạm vi định danh.
Ba mức xác thực không thay thế ý chí giao dịch
Dự thảo quy định ba mức độ xác thực điện tử để lựa chọn phương thức phù hợp với yêu cầu an toàn của từng giao dịch. Cách phân tầng này hợp lý hơn một chuẩn duy nhất: giao dịch rủi ro cao cần cơ chế bảo vệ tương xứng, còn thủ tục thông thường không nên bị làm nặng bởi bước xác minh vượt nhu cầu. Tuy nhiên, kết quả xác thực chỉ xác nhận danh tính của chủ thể trong phạm vi giao dịch được xác thực; việc xác định ý chí tự nguyện, năng lực hành vi dân sự, thẩm quyền đại diện và hiệu lực giao dịch vẫn theo pháp luật dân sự cùng quy định liên quan.
Đây là ranh giới pháp lý quan trọng: biết ai đang thao tác không đồng nghĩa đã chứng minh người đó hiểu và tự nguyện chấp thuận mọi điều khoản. Đại biểu Thạch Phước Bình lưu ý xác thực được danh tính chưa chắc phản ánh đầy đủ ý chí của người tham gia. Với giao dịch giá trị lớn hoặc phát sinh nghĩa vụ quan trọng, người dùng cần được thông báo và xác nhận nội dung rõ ràng, dễ hiểu, phù hợp từng nhóm đối tượng. Nếu không, danh tính số có thể được xác thực chính xác nhưng sự đồng thuận vẫn bị hiểu sai.
Việc kết nối, liên thông dữ liệu có thể giúp người dân và doanh nghiệp bớt phải nộp lại thông tin đã có, đồng thời tránh cảnh tự đi nhiều cơ quan để sửa sai lệch trong các hệ thống do cơ quan, tổ chức quản lý. Lợi ích ấy chỉ bền vững khi dữ liệu được dùng đúng mục đích và người dân có cách kiểm tra, phản hồi khi thông tin sai.
Dịch vụ xác thực phải đi cùng trách nhiệm giải trình
Một danh tính có thể được đăng ký, thu thập, kiểm tra, đối soát, chuẩn hóa, cấp mã, cập nhật, khai thác, tạm dừng, khôi phục hoặc chấm dứt hiệu lực. Chuỗi hoạt động dài như vậy đòi hỏi điều kiện cung cấp dịch vụ rõ ràng và cơ chế kiểm soát xuyên suốt, thay vì chỉ đặt chuẩn ở khâu đăng ký. Dự thảo hướng tới quy định quyền, nghĩa vụ của chủ thể danh tính và trách nhiệm của cơ quan nhà nước, tổ chức cung cấp dịch vụ cùng các bên liên quan. Muốn tạo niềm tin, luật cần làm rõ ai được xử lý dữ liệu, trong phạm vi nào và ai chịu trách nhiệm khi xác thực sai hoặc thông tin bị lạm dụng.
An toàn dữ liệu phải được xem là điều kiện vận hành, không phải cam kết chung chung. Đại biểu đề nghị lưu vết việc chỉnh sửa và thông báo cho chủ thể dữ liệu. Cũng cần phân định quyền xác thực với quyền truy vết: truy vết có thể chạm tới lịch sử nguồn gốc định danh, biến động và quan hệ liên kết của đối tượng, nên chủ thể có quyền yêu cầu, cơ quan phê duyệt và đơn vị thực hiện phải được quy định cụ thể. Nếu không có giới hạn và dấu vết kiểm tra, công cụ bảo vệ có thể trở thành con đường thu thập dữ liệu quá mức.
Trước nguy cơ chiếm đoạt tài khoản, lừa đảo trực tuyến và giả mạo danh tính, đại biểu Triệu Thị Ngọc Diễm đề xuất bổ sung cơ chế “tạm dừng hiệu lực khẩn cấp”. Đề xuất cho phép hệ thống tự động hoặc lực lượng chuyên trách, cơ quan điều tra tạm dừng danh tính trong 24–48 giờ để xác minh khi phát hiện bị chiếm quyền hoặc bị dùng gây nguy hại. Đây là kiến nghị, không phải quy định đã được thông qua; nếu tiếp thu, cần đi kèm thẩm quyền rõ, giới hạn thời gian và cơ chế rà soát để ứng phó nhanh mà không biến khẩn cấp thành biện pháp tùy tiện.
Luật chỉ đáng tin khi quyền lực số có giới hạn
Dự thảo được xây dựng trong bối cảnh giả mạo danh tính, chiếm đoạt tài khoản và lừa đảo trực tuyến đòi hỏi xác thực chặt chẽ, đồng bộ hơn; các đại biểu cũng ghi nhận việc ban soạn thảo tiếp thu ý kiến tại phiên thảo luận tổ. Hướng đi này cần thiết, nhưng mức độ chặt chẽ không thể chỉ được đo bằng lượng dữ liệu thu thập hay số bước xác minh. Tiêu chuẩn đáng tin cậy phải đồng thời bảo vệ giao dịch, hạn chế sử dụng sai mục đích và cho phép chủ thể biết dữ liệu của mình được xử lý ra sao.
Bước tiếp theo là hoàn thiện nguyên tắc trong luật và để Chính phủ quy định danh mục, lộ trình, quy trình cùng thời hạn cụ thể. Khi triển khai, dịch vụ xác thực cần có yêu cầu rõ về an toàn dữ liệu, truy vết có thẩm quyền, lưu vết chỉnh sửa và cách xử lý sự cố. Kết nối dữ liệu nên giảm việc giấy tờ lặp lại, chứ không mở rộng việc chia sẻ ngoài nhu cầu. Nếu giữ được thế cân bằng giữa thuận tiện, an ninh và quyền riêng tư, luật sẽ giúp giao dịch số đáng tin hơn; nếu trách nhiệm nhà cung cấp và giới hạn truy cập còn mờ, danh tính số chỉ chuyển rủi ro từ tài khoản sang hệ thống.
