Từ danh tính cá nhân đến định danh vạn vật
Định danh điện tử là cách gắn một danh tính số và mã nhận diện với cá nhân, tổ chức hoặc đối tượng khác để có thể nhận biết, quản lý và xác thực trong môi trường điện tử. Mở rộng hệ thống này chỉ có ý nghĩa khi mỗi mã định danh phục vụ một mục đích rõ ràng và không trở thành cớ để gom dữ liệu vô hạn. Sáng 26/10, Quốc hội nghe Tờ trình và báo cáo thẩm tra dự án Luật Định danh và xác thực điện tử tại Kỳ họp thứ hai, Quốc hội khóa XVI. Chính phủ cho rằng yêu cầu quản lý hiện nay đòi hỏi chuyển từ định danh cá nhân sang “định danh vạn vật”, gồm phương tiện, địa điểm, hàng hóa, bất động sản, hạ tầng kết nối và tài sản số. Dự thảo gồm 8 chương, 46 điều và xác định 5 nhóm đối tượng, từ con người, cơ quan đến hàng hóa, tài sản, dữ liệu, phần mềm, giao dịch, sự kiện, địa điểm và không gian. Quy mô ấy cho thấy đây không còn là một tiện ích đăng nhập: nó có thể trở thành lớp hạ tầng chi phối cách xã hội nhận diện và trao đổi.
Lợi ích chống giả mạo chỉ đến khi xác thực đáng tin
Mở rộng định danh có lý do thực tế: danh tính giả, SIM nặc danh, tài khoản ảo và lừa đảo trực tuyến làm suy giảm niềm tin vào giao dịch số. Chính phủ trình dự án luật như một công cụ để phòng ngừa tội phạm mạng, xử lý các hình thức gian lận này và ngăn giả mạo sinh trắc học tinh vi bằng trí tuệ nhân tạo. Nếu một phương tiện, món hàng, phần mềm hay giao dịch có thể được nhận diện và kiểm tra nguồn gốc, người dùng và cơ quan quản lý sẽ có thêm cơ sở đối chiếu. Dự thảo cũng đặt định danh điện tử trong bối cảnh quản lý nhà nước, giao dịch điện tử và phát triển kinh tế số, xã hội số. Với xác thực điện tử, dự thảo quy định các đối tượng đã được tạo lập danh tính và cấp mã định danh đều có thể là đối tượng xác thực; ba mô hình được nêu là xác thực tập trung, trung gian và độc lập. Nhưng mã định danh không tự chứng minh quyền sở hữu, chất lượng hàng hóa hay tính hợp pháp của giao dịch. Nhầm lẫn giữa nhận diện kỹ thuật và giá trị pháp lý sẽ tạo ra một lớp chắc chắn giả.
Thu thập tối thiểu phải thành giới hạn có thể kiểm tra
Dự thảo nêu nguyên tắc thu thập dữ liệu tối thiểu, không thu thập lại thông tin đã có, đồng thời cấm dùng sinh trắc giả, hình ảnh giả tạo bằng công nghệ hoặc thủ đoạn công nghệ để lập và giả mạo danh tính. Đây là nền tảng cần thiết, nhưng nguyên tắc chung chưa đủ nếu người dân không biết dữ liệu nào được lấy, vì sao cần và ai được quyền truy cập. Ý kiến thẩm tra đề nghị quy định khung các trường thông tin được phép thu thập, giao Chính phủ đặt giới hạn và tiêu chuẩn kỹ thuật, đồng thời giữ nguyên tắc tối thiểu để bảo vệ quyền của chủ thể dữ liệu. Các quy định về thu thập, lưu trữ và xác thực sinh trắc học cũng cần được rà soát để tránh xâm phạm quyền riêng tư. Đây không phải rào cản cho đổi mới, mà là điều kiện để hệ thống được chấp nhận. Cần phân định đối tượng bắt buộc định danh với đối tượng khuyến khích, đánh giá tính khả thi với dữ liệu phi vật chất và bảo vệ thông tin chứa bí mật nhà nước hoặc bí mật kinh doanh. Nếu mọi thứ đều có thể được định danh, luật càng phải nói rõ những gì không được thu thập.
Liên kết danh tính cần đi cùng trách nhiệm và phương án dự phòng
Một rủi ro khác nằm ở việc buộc các danh tính khác nhau liên kết với nhau. Dự thảo dự kiến yêu cầu liên kết, xác thực danh tính điện tử trong giao dịch trên nền tảng số thuộc một số lĩnh vực; ý kiến góp ý đề nghị chỉ bắt buộc ở những giao dịch mà pháp luật chuyên ngành quy định. Giới hạn này hợp lý: xác minh quá mức có thể khiến một trục trặc ở một hệ thống kéo theo việc người dùng bị chặn khỏi nhiều dịch vụ. Quá trình định danh và xác thực được yêu cầu ghi nhận, lưu vết, truy vết và giải trình. Tuy vậy, truy vết không thay thế trách nhiệm khắc phục. Cần quy định cụ thể trách nhiệm pháp lý và cơ chế bồi thường khi tổ chức cung cấp dịch vụ làm lộ dữ liệu hoặc định danh, xác thực sai lệch. Người dân cũng cần phương án dùng giấy tờ truyền thống khi hệ thống gặp sự cố kỹ thuật hoặc nơi sinh sống chưa có hạ tầng số bảo đảm. Dự án luật được dự kiến thảo luận tại tổ chiều 26/10, và Chính phủ đề xuất Quốc hội khóa XVI cho ý kiến, thông qua tại Kỳ họp thứ hai. Kết luận cần đặt ra trước khi mở rộng là rõ: định danh rộng đến đâu cũng phải có giới hạn dữ liệu, cơ chế sửa sai và người chịu trách nhiệm.
