Định danh điện tử phải gắn với bảo vệ quyền riêng tư

Tại phiên thảo luận ở hội trường Quốc hội về dự án Luật Định danh và xác thực điện tử, các đại biểu cơ bản thống nhất với sự cần thiết ban hành Luật, đánh giá cao công tác chuẩn bị của Chính phủ và cơ quan chủ trì soạn thảo. Việc xây dựng Luật nhằm hoàn thiện khuôn khổ pháp lý về định danh và xác thực điện tử, đáp ứng yêu cầu bảo vệ an ninh quốc gia, quyền và lợi ích hợp pháp của người dân, doanh nghiệp, đồng thời thúc đẩy phát triển kinh tế số, kinh tế dữ liệu.

Các đại biểu cũng đề nghị tiếp tục rà soát, hoàn thiện quy định về phạm vi đối tượng định danh, xác thực điện tử; bảo đảm liên thông, kế thừa dữ liệu; đơn giản hóa thủ tục hành chính, giảm chi phí tuân thủ; bảo vệ quyền riêng tư, an toàn thông tin, quyền kiểm soát dữ liệu và khả năng tiếp cận của các nhóm yếu thế. Đồng thời, cần phân định rõ thẩm quyền, trách nhiệm quản lý nhà nước giữa các bộ, tăng cường giám sát, phòng ngừa lạm dụng, bảo đảm tính thống nhất, đồng bộ và khả thi của dự thảo Luật.

Làm rõ thẩm quyền truy vết, tăng cường bảo vệ danh tính điện tử

Đại biểu Phạm Thế Anh (Đoàn đại biểu Quốc hội tỉnh Thanh Hóa) cơ bản đồng tình với dự thảo Luật, đồng thời góp ý về hoạt động truy vết danh tính điện tử tại Điều 31 và nền tảng truy xuất nguồn gốc sản phẩm, hàng hóa tại Điều 32.

Đối với Điều 31, đại biểu đánh giá việc cơ quan soạn thảo đổi tên điều luật và sửa đổi khoản 3 đã góp phần giải quyết nhiều vấn đề. Tuy nhiên, trong khi khoản 11 và khoản 12 Điều 3 đã quy định rõ chủ thể yêu cầu và cơ quan thực hiện xác thực điện tử, dự thảo chưa xác định cụ thể chủ thể có quyền yêu cầu truy vết danh tính điện tử, cơ quan có thẩm quyền phê duyệt yêu cầu và cơ quan, tổ chức được thực hiện hoạt động truy vết.

Theo đại biểu, quyền truy vết danh tính điện tử không mặc nhiên tương đương với quyền xác thực điện tử. Hoạt động truy vết thường có phạm vi dữ liệu rộng hơn, bao gồm lịch sử nguồn gốc, những biến động và các đối tượng liên kết với danh tính điện tử. Vì vậy, cần quy định rõ các chủ thể liên quan đến hoạt động truy vết để bảo đảm tính chặt chẽ về thẩm quyền và nguyên tắc thực hiện.

Về khoản 5 Điều 32, đại biểu cho biết, dự thảo quy định nền tảng quốc gia về định danh, xác thực và truy xuất nguồn gốc sản phẩm, hàng hóa là một thành phần của Hệ thống định danh và xác thực điện tử quốc gia, do Bộ Công an chủ trì xây dựng, quản lý thống nhất, tập trung.

Trong khi đó, dự thảo Luật An toàn thực phẩm dự kiến được Quốc hội cho ý kiến vào tuần sau cũng quy định về hệ thống truy xuất nguồn gốc thực phẩm, trong đó Bộ Y tế có trách nhiệm tổ chức xây dựng, quản lý, phát triển cơ sở dữ liệu thông tin an toàn thực phẩm và hệ thống thông tin truy xuất nguồn gốc thực phẩm.

Theo đại biểu Phạm Thế Anh, thực phẩm cũng là một loại hàng hóa, thuộc phạm vi điều chỉnh của quy định tại Điều 32 dự thảo Luật Định danh và xác thực điện tử. Do đó, cần làm rõ nội hàm, phạm vi và cấp độ truy xuất nguồn gốc của từng lĩnh vực để tránh chồng chéo chức năng, nhiệm vụ và lãng phí nguồn lực đầu tư xây dựng hệ thống.

Đại biểu cũng chỉ ra rằng dự thảo Luật chưa quy định cụ thể về hoạt động truy xuất nguồn gốc, nội hàm và phạm vi của hoạt động này, mà mới đề cập đến truy vết danh tính điện tử tại Điều 31. Vì vậy, cần xác định rõ khoản 5 Điều 32 điều chỉnh việc truy xuất nguồn gốc sản phẩm, hàng hóa hay truy vết danh tính điện tử của sản phẩm, hàng hóa. Đại biểu đề xuất định hướng quy định theo hoạt động truy vết danh tính điện tử của sản phẩm, hàng hóa để phù hợp hơn với phạm vi điều chỉnh của Luật.

Đại biểu Triệu Thị Ngọc Diễm (Đoàn đại biểu Quốc hội TP. Cần Thơ) đánh giá các quy định trong dự thảo Luật góp phần tạo nền tảng pháp lý cho chuyển đổi số toàn diện, bảo đảm an toàn và xây dựng niềm tin trên không gian số.

Góp ý về các hành vi bị nghiêm cấm tại Điều 6, đại biểu cho rằng quy định về thu thập, sử dụng, tiết lộ, chia sẻ trái phép dữ liệu định danh điện tử chưa bao quát đầy đủ các yếu tố được sử dụng để xác thực danh tính. Do đó, đại biểu đề nghị bổ sung cụm từ "yếu tố xác thực điện tử" vào khoản 2 Điều 6, nhằm mở rộng phạm vi bảo vệ đối với các yếu tố này.

Theo đại biểu, khoản 5 Điều 3 xác định yếu tố xác thực điện tử gồm ba nhóm: tri thức, sở hữu và đặc trưng. Thực tế, các đối tượng tội phạm mạng có thể thu thập, mua bán dữ liệu khuôn mặt, giọng nói, mã OTP để vượt qua quy trình xác thực mà không cần trực tiếp sửa đổi dữ liệu gốc trong hệ thống. Việc bổ sung quy định sẽ góp phần bảo vệ đầy đủ các yếu tố được sử dụng để xác nhận danh tính điện tử.

Tại khoản 6 Điều 6, đại biểu đề nghị bổ sung hành vi sản xuất, phát tán, mua bán, cung cấp công cụ, phần mềm, thiết bị chuyên dùng để giả mạo yếu tố sinh trắc học hoặc vô hiệu hóa quy trình xác thực điện tử vào nhóm hành vi bị nghiêm cấm.

Đại biểu dẫn thực tế đã xuất hiện các nhóm đối tượng phát triển phần mềm can thiệp như camera ảo, cung cấp dịch vụ sử dụng công nghệ deepfake nhằm vượt qua bước nhận diện sinh trắc học của ngân hàng, ví điện tử để phục vụ các đường dây lừa đảo.

Liên quan đến cơ chế tạm dừng, khôi phục hiệu lực danh tính điện tử và mã định danh tại Điều 17, đại biểu cho rằng các hành vi chiếm quyền điều khiển tài khoản, lừa đảo chiếm đoạt tài sản hoặc phát tán mã độc thông qua danh tính điện tử có thể diễn ra rất nhanh trên không gian mạng. Việc xử lý theo trình tự hành chính thông thường có thể không đáp ứng yêu cầu ngăn chặn kịp thời hậu quả.

Vì vậy, đại biểu kiến nghị bổ sung cơ chế tạm dừng hiệu lực khẩn cấp, cho phép hệ thống tự động tạm dừng hoặc lực lượng chuyên trách bảo vệ an ninh mạng, cơ quan điều tra thực hiện lệnh phong tỏa, tạm dừng tức thời trên môi trường điện tử khi phát hiện danh tính điện tử bị chiếm quyền điều khiển hoặc được sử dụng để thực hiện hành vi xâm phạm an ninh quốc gia, trật tự, an toàn xã hội trên không gian mạng.

Đại biểu cũng đề nghị sớm ban hành hướng dẫn thi hành đối với nội dung này để có cơ sở ứng phó kịp thời những tình huống phát sinh trong thực tiễn.

Đối với các quy định về nhật ký xác thực, chứng cứ điện tử và truy vết danh tính điện tử tại Điều 16, Điều 28 và Điều 31, đại biểu Triệu Thị Ngọc Diễm đề nghị làm rõ yêu cầu ghi nhận, lưu trữ dữ liệu nhật ký xác thực nhằm phục vụ điều tra hình sự và xử phạt vi phạm hành chính về an ninh mạng.

Theo đại biểu, cần bổ sung tại khoản 2 Điều 28 quy định mọi hoạt động xác thực phải được ghi nhận đầy đủ trong nhật ký xác thực, với các trường thông tin kỹ thuật tối thiểu gồm mã định danh, thời gian chuẩn đồng bộ quốc gia, địa chỉ IP nguồn, thông tin định danh thiết bị đầu cuối, phương thức và mức độ xác thực.

Đối với mô hình xác thực độc lập tại điểm b khoản 2 Điều 28, đại biểu đề nghị quy định tần suất đồng bộ nhật ký xác thực về hệ thống định danh và xác thực điện tử của Bộ Công an theo thời gian thực hoặc định kỳ trong ngày. Việc lưu trữ cục bộ kéo dài có thể làm tăng nguy cơ dữ liệu bị can thiệp, xóa dấu vết khi xảy ra sự cố an ninh mạng.

Tại khoản 3 và khoản 4 Điều 28, đại biểu đề nghị bổ sung yêu cầu áp dụng chữ ký số và dấu thời gian của hệ thống quản lý đối với nhật ký xác thực khi lưu trữ, trích xuất, nhằm bảo đảm tính toàn vẹn, chống chối bỏ và tạo điều kiện để cơ quan tiến hành tố tụng, cơ quan có thẩm quyền xử phạt vi phạm hành chính sử dụng dữ liệu làm chứng cứ, hạn chế phát sinh thủ tục giám định lại.

Kế thừa dữ liệu, bảo vệ quyền riêng tư trong định danh điện tử

Báo cáo giải trình trước Quốc hội, Đại tướng Lương Tam Quang, Bộ trưởng Bộ Công an cho biết, Điều 7 dự thảo Luật xác định phạm vi các nhóm đối tượng được định danh điện tử. Điều 8 quy định những nhóm đối tượng do cơ quan nhà nước thực hiện định danh, gồm cơ quan, tổ chức, cá nhân; địa điểm, không gian; đối tượng có thông tin thuộc dữ liệu cốt lõi, dữ liệu quan trọng; đối tượng được chứng nhận quyền sở hữu, sử dụng; sản phẩm, hàng hóa có mức độ rủi ro cao và đối tượng thuộc bí mật nhà nước.

Các nhóm đối tượng định danh điện tử còn lại do tổ chức cung cấp dịch vụ đủ điều kiện thực hiện theo nhu cầu của cơ quan, tổ chức, cá nhân. Dự thảo Luật cũng giao Chính phủ quy định danh mục và lộ trình thực hiện đối với các nhóm do cơ quan nhà nước định danh, bảo đảm phù hợp với điều kiện chuyển đổi số của Việt Nam.

Đối với các nhóm đối tượng đã có cơ chế định danh hoặc quản lý tương tự theo pháp luật chuyên ngành, dự thảo quy định theo hướng kế thừa dữ liệu đã có. Trường hợp thông tin để tạo lập danh tính điện tử đã đầy đủ, chính xác trong cơ sở dữ liệu quốc gia hoặc cơ sở dữ liệu chuyên ngành, cơ quan nhà nước tự động thực hiện quy trình tạo lập danh tính điện tử và cấp mã định danh quốc gia cho các đối tượng quy định tại khoản 1 Điều 8.

Theo Bộ trưởng, với cơ chế này, cơ quan, tổ chức, cá nhân không phải cung cấp lại thông tin để tạo lập danh tính điện tử hoặc thực hiện thủ tục đăng ký định danh điện tử trong những trường hợp đã đáp ứng điều kiện về dữ liệu.

Về bảo vệ quyền riêng tư và nguyên tắc thu thập dữ liệu tối thiểu, Bộ trưởng Lương Tam Quang cho biết, dự thảo Luật thiết kế nhiều lớp bảo vệ, trong đó có yêu cầu về sự đồng ý của chủ thể, không đồng bộ nội dung giao dịch và không chia sẻ kết quả xác thực ngoài phạm vi cho phép.

Việc bảo vệ dữ liệu cá nhân trong hoạt động định danh và xác thực điện tử tiếp tục thực hiện theo pháp luật về bảo vệ dữ liệu cá nhân. Các nguyên tắc, điều kiện, phạm vi và mục đích xử lý dữ liệu cá nhân không thay đổi.

Hoạt động định danh, xác thực điện tử phải tuân thủ Hiến pháp và pháp luật, bảo đảm quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân. Việc khai thác, sử dụng danh tính điện tử phải bảo đảm bí mật thông tin và tuân thủ các quy định về bảo vệ dữ liệu cá nhân.

Bộ trưởng cho biết, cơ quan chủ trì soạn thảo sẽ tiếp tục rà soát các quy định liên quan, tham mưu Chính phủ quy định chi tiết việc thu thập, khai thác, sử dụng dữ liệu về định danh và xác thực điện tử, bảo đảm chặt chẽ và bảo vệ quyền, lợi ích hợp pháp của các chủ thể.

Liên quan đến việc liên kết tài khoản giao dịch với danh tính điện tử và phòng ngừa nguy cơ giả mạo danh tính trên môi trường số, Bộ trưởng cho biết, khoản 5 Điều 23 dự thảo Luật quy định yêu cầu xác thực với danh tính điện tử quốc gia và liên kết tài khoản giao dịch điện tử với danh tính điện tử đối với các giao dịch trực tuyến trong một số lĩnh vực.

Các lĩnh vực được đề cập gồm chứng khoán, viễn thông, ngân hàng, bưu chính, thương mại điện tử, khám bệnh, chữa bệnh, trung gian thanh toán, ví điện tử, tài sản mã hóa, trò chơi điện tử trực tuyến, dịch vụ đăng ký, cho thuê và sử dụng tên miền, cùng những lĩnh vực khác có rủi ro cao hoặc phát sinh nghĩa vụ pháp lý quan trọng.

Dự thảo Luật giao Bộ trưởng, Thủ trưởng cơ quan ngang bộ quy định cụ thể các giao dịch điện tử trực tuyến thuộc những lĩnh vực khác có rủi ro cao hoặc phát sinh nghĩa vụ pháp lý quan trọng, bảo đảm phù hợp với đặc thù từng ngành, lĩnh vực.