Định danh thống nhất có thể giảm gian lận, nhưng không tự bảo đảm an toàn
Danh tính điện tử là tập hợp thông tin nhận diện một chủ thể trong môi trường số, được dùng để xác thực người thực hiện giao dịch và liên kết tài khoản với danh tính đó. Đây là công cụ xác định ai đang giao dịch, chứ không phải bằng chứng rằng mọi giao dịch đều an toàn.
Sáng 4/11, Bộ trưởng Bộ Công an Lương Tam Quang giải trình trước Quốc hội về dự án Luật Định danh và xác thực điện tử; theo khoản 5 Điều 23 của dự thảo, giao dịch trực tuyến trong 11 lĩnh vực phải được xác thực bằng danh tính điện tử quốc gia và liên kết với danh tính này. Chủ trương nhắm đúng một rủi ro đang hiện hữu: tài khoản bị chiếm quyền có thể bị dùng để chuyển tiền, giao dịch chứng khoán, thanh toán hoặc mua hàng. Trong bối cảnh lừa đảo ngày càng tinh vi, xác định chính xác chủ thể là việc cần làm. Nhưng liên kết danh tính chỉ có giá trị khi đi cùng cách xác thực khó bị giả mạo và cơ chế xử lý khi dữ liệu hoặc tài khoản bị lộ. Nếu không, một điểm nhận diện thống nhất cũng có thể trở thành mục tiêu có sức công phá lớn hơn.
Phạm vi 11 lĩnh vực chạm đến nhiều hoạt động thường ngày
Danh sách dự kiến gồm chứng khoán, viễn thông, ngân hàng, bưu chính, thương mại điện tử, khám chữa bệnh, trung gian thanh toán, ví điện tử, tài sản mã hóa, trò chơi điện tử trực tuyến và dịch vụ tên miền. Nói cách khác, tài khoản ngân hàng, chứng khoán, ví điện tử và thương mại điện tử có thể phải gắn với danh tính điện tử quốc gia. Đây không còn là yêu cầu chỉ dành cho các giao dịch tài chính lớn: đặt lịch khám, mua hàng hay chơi game trực tuyến cũng có thể nằm trong phạm vi định danh.
Dự thảo còn cho phép bộ trưởng quy định thêm giao dịch ở lĩnh vực khác nếu có rủi ro cao hoặc phát sinh nghĩa vụ pháp lý quan trọng. Cách mở rộng này cần tiêu chí công khai và giới hạn rõ ràng; nếu không, danh sách có thể phình ra theo quyết định hành chính thay vì căn cứ vào mức độ rủi ro. Đại biểu Thạch Phước Bình đã đề nghị phân loại theo từng hành vi: đặt lịch khám khác với truy cập hồ sơ bệnh án, cũng như tra cứu tài khoản khác với chuyển khoản lớn. Đó là hướng hợp lý để tránh buộc mọi người cung cấp cùng mức xác thực cho những việc có hệ quả rất khác nhau.
Bắt buộc liên kết mà cần sự đồng ý: khoảng trống phải được giải đáp
Bộ trưởng Lương Tam Quang nói dự thảo có các lớp bảo vệ quyền riêng tư, áp dụng nguyên tắc thu thập dữ liệu tối thiểu và yêu cầu sự đồng ý của chủ thể; hệ thống cũng không đồng bộ nội dung giao dịch, không chia sẻ kết quả xác thực ngoài phạm vi cho phép. Những cam kết này là cần thiết, nhưng chưa trả lời câu hỏi thiết thực nhất: nếu người dùng không đồng ý liên kết thì họ có còn được giao dịch trực tuyến trong các lĩnh vực đó hay không? Khi một yêu cầu được thiết kế là bắt buộc, sự đồng ý khó có ý nghĩa thực chất nếu từ chối đồng nghĩa với việc bị loại khỏi dịch vụ.
Vì vậy, dự thảo cần phân biệt rõ việc đồng ý xử lý dữ liệu nào, cho mục đích gì và trong bao lâu; đồng thời nêu hậu quả pháp lý của việc từ chối. Đại biểu Nguyễn Thị Sửu đề nghị làm rõ mục đích, nguồn dữ liệu và trách nhiệm của đơn vị thực hiện, giới hạn chia sẻ theo nhu cầu và căn cứ pháp luật hoặc sự đồng ý hợp lệ. Không thể lấy mục tiêu chống gian lận làm lý do mặc nhiên mở rộng quyền thu thập thông tin cho mọi bên tham gia.
Bảo vệ dữ liệu cần cơ chế kiểm tra, không chỉ lời cam kết
Liên kết càng nhiều tài khoản, hậu quả của truy cập trái phép càng rộng. Dữ liệu khuôn mặt, giọng nói và mã OTP có thể bị thu thập, mua bán; công cụ giả mạo sinh trắc học, camera ảo hay Deepfake cũng có thể giúp kẻ gian tìm cách vượt qua xác thực điện tử. Đại biểu Triệu Thị Ngọc Diễm đề nghị cấm thu thập, sử dụng, tiết lộ trái phép dữ liệu định danh và yếu tố xác thực, đồng thời xử lý việc mua bán công cụ phục vụ giả mạo.
Để bảo vệ dữ liệu có thể kiểm chứng, dự thảo nên yêu cầu ghi nhật ký mọi lần truy cập, khai thác và chia sẻ, nêu rõ ai truy cập, lúc nào, vì mục đích gì và xem những thông tin nào. Người dân cần được tra cứu lịch sử khai thác dữ liệu và có đầu mối hỗ trợ khi phát hiện sai lệch hoặc truy cập trái phép; danh tính bị chiếm quyền cũng cần cơ chế tạm dừng khẩn cấp. Dự án luật nằm trong danh sách dự kiến được Quốc hội thông qua tại kỳ họp dự kiến bế mạc ngày 21/11. Cơ quan soạn thảo còn phải rà soát, tham mưu quy định chi tiết về thu thập, khai thác và sử dụng dữ liệu. Kết luận nên rõ: định danh có thể giúp giao dịch an toàn hơn, nhưng chỉ khi trách nhiệm bảo vệ dữ liệu được quy định cụ thể, có thể giám sát và thực thi.
