Không chỉ là dịch vụ kỹ thuật
Định danh điện tử là việc xác lập danh tính của cá nhân, tổ chức hoặc đối tượng khác trên môi trường số; xác thực điện tử là quá trình kiểm chứng danh tính ấy để làm căn cứ tin cậy cho truy cập và giao dịch. Dự thảo luật đặt nhà cung cấp dịch vụ vào vai trò lớn hơn một bên bán công nghệ: họ phải góp phần bảo đảm an toàn cho các tương tác số. Bối cảnh này rất thực tế: hoạt động kinh tế, xã hội chuyển dần lên môi trường điện tử, nơi xác định đúng chủ thể giao dịch giúp củng cố niềm tin và hạn chế rủi ro.
Bộ Công an công bố bản dự thảo ngày 04/7/2026 để lấy ý kiến từ 13/7 đến 02/8/2026; sau các lần chỉnh lý, dự thảo trình Quốc hội khóa XVI tại Kỳ họp thứ 2 gồm 8 chương, 46 điều. Việc mở rộng hoạt động từ cơ quan nhà nước sang các tổ chức cung cấp dịch vụ có thể huy động thêm năng lực xã hội, nhưng cũng đòi hỏi ranh giới trách nhiệm rõ ràng. Nếu kết quả định danh hoặc xác thực sai, hệ quả không dừng ở một trục trặc kỹ thuật: giao dịch có thể bị chiếm đoạt, dữ liệu bị lộ và người dùng mất niềm tin.
Dự thảo bao quát 5 nhóm đối tượng định danh: con người và tổ chức; vật phẩm, hàng hóa và tài sản; dữ liệu và dịch vụ số; sự kiện, giao dịch và hành vi; địa điểm và không gian. Quy mô đối tượng càng rộng, yêu cầu kiểm soát chất lượng càng cao. Vì vậy, trách nhiệm pháp lý không thể chỉ được xem là điều khoản tranh chấp giữa doanh nghiệp với khách hàng; đó còn là nghĩa vụ bảo vệ nền tảng giao dịch trực tuyến và niềm tin của cả hệ sinh thái.
Điều kiện gia nhập phải được duy trì khi hoạt động
Các Điều 37 và 38 đặt ra điều kiện về tư cách pháp lý, năng lực tài chính, hạ tầng kỹ thuật, nhân sự chuyên môn, quy trình nghiệp vụ, bảo vệ dữ liệu và an ninh mạng đối với nhà cung cấp dịch vụ. Đây không nên là bộ tiêu chí chỉ dùng để cấp phép ban đầu. Một tổ chức đã xử lý dữ liệu danh tính và cung cấp kết quả để bên khác dựa vào phải duy trì năng lực ấy trong suốt thời gian hoạt động; nếu hệ thống xuống cấp mà dịch vụ vẫn tiếp tục, rủi ro được chuyển thẳng sang người dùng và các bên giao dịch.
Dự thảo phân biệt các mô hình xác thực điện tử tập trung, trung gian và độc lập. Sự đa dạng này hữu ích cho ứng dụng thực tế, nhưng cũng khiến trách nhiệm cần được xác định theo vai trò cụ thể: ai thu thập dữ liệu, ai kiểm chứng, ai truyền kết quả và ai chịu trách nhiệm khi thông tin sai lệch. Riêng dịch vụ xác thực dữ liệu từ cơ sở dữ liệu quốc gia, cơ sở dữ liệu chuyên ngành và hệ thống định danh, xác thực điện tử được giới hạn cho đơn vị sự nghiệp công lập hoặc doanh nghiệp nhà nước đáp ứng điều kiện. Cách phân tầng này giữ vai trò quản lý của Nhà nước ở các lĩnh vực trọng yếu, đồng thời mở không gian cho dịch vụ định danh thương mại.
Yêu cầu mua bảo hiểm trách nhiệm cho hoạt động cung cấp dịch vụ là tín hiệu đáng chú ý: dự thảo thừa nhận sự cố có thể gây thiệt hại đáng kể và cần có cơ chế tài chính để xử lý. Nghĩa vụ cũng không biến mất khi doanh nghiệp rút khỏi thị trường. Tổ chức phải thông báo trước cho người dùng, bên sử dụng dịch vụ và Bộ Công an chậm nhất 30 ngày trước ngày dự kiến chấm dứt; đồng thời chuyển giao dữ liệu, mã định danh, nhật ký xác thực cho đơn vị tiếp nhận và bồi thường thiệt hại nếu có. Với người dùng, đây là bảo đảm thiết thực để có thời gian chuyển sang dịch vụ thay thế hoặc khôi phục quyền kiểm soát dữ liệu.
Dữ liệu là giới hạn trách nhiệm, không phải tài sản mặc định
Dự thảo yêu cầu đồng bộ dữ liệu về mã định danh, danh tính điện tử, loại đối tượng, đơn vị tạo lập danh tính, trạng thái hiệu lực và lịch sử định danh, xác thực. Việc đồng bộ phải diễn ra khi tạo lập hoặc thay đổi danh tính, khi tạm dừng hay chấm dứt hiệu lực, và trong vòng 24 giờ sau khi chủ thể thực hiện xác thực điện tử. Kết nối dữ liệu có thể giúp giải quyết thủ tục hành chính và giao dịch trực tuyến thuận tiện hơn, nhưng không nên bị hiểu thành quyền thu gom mọi thông tin phát sinh trong giao dịch.
Dự thảo cần nói rõ hơn dữ liệu nào không được đồng bộ, thời hạn lưu trữ tối đa là bao lâu và ai được quyền truy cập nhật ký xác thực. Nguyên tắc hợp lý phải là chỉ thu thập, đồng bộ và lưu giữ lượng dữ liệu cần thiết cho mục đích định danh, xác thực. Nếu ranh giới giữa xác minh danh tính và khai thác nội dung giao dịch bị bỏ ngỏ, nhà cung cấp có thể nắm dữ liệu vượt quá nhu cầu nghiệp vụ, còn người dùng khó biết thông tin của mình được giữ lại đến khi nào.
Chính phủ được giao quy định chi tiết việc đồng bộ dữ liệu; bổ sung giới hạn và thời hạn lưu trữ sẽ giúp phân định rõ quyền khai thác phục vụ kinh doanh với nghĩa vụ bảo vệ quyền riêng tư. Đây không phải chi tiết phụ. Một cơ chế xác thực chỉ tạo niềm tin khi người dùng biết dữ liệu nào được xử lý, vì mục đích gì và ai chịu trách nhiệm nếu dữ liệu bị sử dụng sai.
Sự cố phải kéo theo trách nhiệm cụ thể
Điều 43 quy định trách nhiệm của tổ chức cung cấp dịch vụ định danh và xác thực điện tử; theo nội dung được nêu trong tài liệu phân tích, điều này tạo cơ sở xác định trách nhiệm khi tổ chức không thực hiện hoặc thực hiện không đầy đủ nghĩa vụ về chất lượng, an toàn, bảo vệ dữ liệu, thông báo sự cố và bồi thường thiệt hại. Điểm đáng ủng hộ là trách nhiệm không chỉ phát sinh từ hợp đồng. Khi nhà cung cấp nắm giữ hạ tầng và dữ liệu có thể quyết định tính hợp lệ của giao dịch, nghĩa vụ bảo đảm an toàn phải gắn với hoạt động thực tế của họ.
Điều đó cũng có nghĩa nhà cung cấp cần chuẩn bị quy trình phát hiện, ứng phó và thông báo sự cố, thay vì chỉ xử lý khi người dùng khiếu nại. Nghĩa vụ này càng quan trọng khi công nghệ thay đổi nhanh và hành vi giả mạo, kể cả bằng trí tuệ nhân tạo, làm tăng áp lực lên khâu kiểm chứng. Luật có thể đặt chuẩn, nhưng hiệu quả phụ thuộc vào quy định đủ cụ thể để xác định mức độ vi phạm, cách khắc phục và quyền đòi bồi thường.
Kết luận: dự thảo đi đúng hướng khi mở vai trò cho tổ chức cung cấp dịch vụ, đồng thời gắn hoạt động của họ với nghĩa vụ về năng lực, an toàn, dữ liệu, liên tục dịch vụ và bồi thường. Nhưng để tạo nền tảng cho kinh tế số chứ không chỉ mở rộng thị trường, luật cần làm rõ giới hạn dữ liệu, thời hạn lưu trữ và trách nhiệm khi xảy ra sự cố. Mở rộng xác thực điện tử chỉ có ý nghĩa nếu người dùng được bảo vệ và có thể biết ai phải chịu trách nhiệm khi niềm tin bị tổn hại.
