Thiết lập 3 mô hình xác thực điện tử, tăng an toàn giao dịch số

Sáng 26/10, tiếp tục chương trình Kỳ họp thứ hai, Quốc hội làm việc tại hội trường, nghe Tờ trình và Báo cáo thẩm tra dự án Luật Định danh và xác thực điện tử.

Thừa ủy quyền của Thủ tướng Chính phủ, trình bày Tờ trình, Bộ trưởng Công an Lương Tam Quang cho biết, dự thảo Luật gồm 8 chương, 46 điều, tập trung vào 6 nhóm nội dung cơ bản: đối tượng định danh điện tử; mô hình định danh điện tử; hệ thống định danh và xác thực điện tử; đối tượng, mô hình xác thực điện tử; dịch vụ định danh, xác thực điện tử; nguyên tắc công nhận lẫn nhau đối với danh tính điện tử và kết quả xác thực điện tử của nước ngoài.

Mở rộng đối tượng định danh điện tử

Về đối tượng định danh điện tử, dự thảo Luật xác định 5 nhóm, gồm: cơ quan, tổ chức, cá nhân; sản phẩm, hàng hóa, tài sản vật chất và các đối tượng vật chất khác; cơ sở dữ liệu, tệp dữ liệu, hình ảnh, âm thanh, video, ứng dụng, phần mềm và các dịch vụ số; sự kiện, giao dịch, hành vi; địa điểm và không gian.

Dự thảo Luật đồng thời giao Chính phủ quy định việc định danh, xác thực điện tử đối với các đối tượng thuộc lĩnh vực quân sự, quốc phòng, cơ yếu.

Để bảo đảm an toàn trong quá trình thực hiện, dự thảo Luật quy định nguyên tắc thu thập dữ liệu tối thiểu, không thu thập lại dữ liệu đã có; nghiêm cấm sử dụng sinh trắc giả, hình ảnh giả tạo bằng công nghệ hoặc các hình thức gian lận công nghệ khác để tạo lập, giả mạo danh tính điện tử. Cùng với đó là chế độ ghi nhận, lưu vết, truy vết và trách nhiệm giải trình trong toàn bộ quá trình định danh, xác thực điện tử.

Về mô hình định danh điện tử, dự thảo Luật quy định hai phương thức thực hiện.

Theo đó, Nhà nước đầu tư, thiết lập hệ thống, nền tảng để trực tiếp thực hiện định danh điện tử đối với cơ quan, tổ chức, cá nhân; địa điểm, không gian; đối tượng thuộc dữ liệu cốt lõi, dữ liệu quan trọng; đối tượng đã được chứng nhận quyền sở hữu, sử dụng; sản phẩm, hàng hóa có mức độ rủi ro cao và đối tượng thuộc bí mật nhà nước.

Đối với các đối tượng còn lại, tổ chức đủ điều kiện được tự đầu tư, thiết lập hệ thống, nền tảng và cơ sở hạ tầng để thực hiện định danh điện tử, qua đó đẩy mạnh xã hội hóa dịch vụ định danh thương mại.

Dự thảo Luật cũng quy định Hệ thống định danh và xác thực điện tử gồm Cơ sở dữ liệu quốc gia về định danh và xác thực điện tử; nền tảng định danh và xác thực điện tử; ứng dụng định danh quốc gia (VNeID); hệ thống quản lý hiệu lực của danh tính điện tử và chứng thư điện tử xác nhận thông tin; Cổng định danh và xác thực điện tử quốc gia cùng các phần mềm, ứng dụng, hệ thống thông tin khác.

Các hệ thống thông tin có liên quan được kết nối với Hệ thống định danh và xác thực điện tử để phục vụ công tác quản lý nhà nước, cung cấp dịch vụ công và phát triển kinh tế-xã hội.

Về xác thực điện tử, mọi đối tượng đã được tạo lập danh tính điện tử và cấp mã định danh theo quy định của Luật đều thuộc diện xác thực điện tử. Dự thảo Luật thiết lập ba mô hình thực hiện hoạt động này, gồm xác thực tập trung, xác thực trung gian và xác thực độc lập.

Đồng thời, dự thảo Luật quy định việc bắt buộc liên kết, xác thực danh tính điện tử đối với giao dịch trên nền tảng số thuộc một số lĩnh vực, nhằm bảo đảm xác định đúng danh tính của các chủ thể tham gia giao dịch, tăng cường độ tin cậy và an toàn trong các hoạt động trên môi trường điện tử.

Đối với dịch vụ định danh và xác thực điện tử, dự thảo Luật quy định các điều kiện đối với tổ chức cung cấp dịch vụ, bao gồm tư cách pháp nhân, năng lực tài chính, hệ thống kỹ thuật, hạ tầng công nghệ thông tin, nhân sự chuyên trách, quy trình nghiệp vụ, bảo vệ dữ liệu người dùng, an ninh mạng, kết nối kỹ thuật với Hệ thống định danh và xác thực điện tử và bảo hiểm trách nhiệm.

Các quy định này nhằm bảo đảm tổ chức cung cấp dịch vụ đáp ứng yêu cầu về năng lực, điều kiện kỹ thuật, an ninh, an toàn thông tin và trách nhiệm trong quá trình hoạt động.

Làm rõ trách nhiệm bồi thường khi lộ lọt dữ liệu, xác thực sai lệch

Báo cáo thẩm tra dự án Luật, Chủ nhiệm Ủy ban Quốc phòng, An ninh và Đối ngoại của Quốc hội Lê Tấn Tới cho biết, Ủy ban nhất trí với sự cần thiết ban hành Luật

Về đối tượng định danh điện tử, Ủy ban cơ bản nhất trí với quy định tại Điều 7, cho rằng việc mở rộng đối tượng định danh sang thực thể vật chất và đối tượng phi vật chất phù hợp với xu thế. Tuy nhiên, có ý kiến nhận định phạm vi đối tượng định danh điện tử được quy định tại điều này quá rộng, đề nghị thu hẹp hoặc phân định rõ danh mục bắt buộc và danh mục khuyến khích thực hiện.

Cơ quan thẩm tra cũng đề nghị cân nhắc tính khả thi khi định danh các đối tượng phi vật chất như tệp dữ liệu, ứng dụng, sự kiện, hành vi; đánh giá kỹ nguy cơ lộ lọt thông tin đối với các đối tượng định danh chứa đựng bí mật Nhà nước, bí mật kinh doanh.

Đối với quy định về danh tính điện tử, mã định danh, Ủy ban cơ bản nhất trí. Tuy nhiên, có ý kiến cho rằng việc giao cơ quan chuyên ngành hoặc tổ chức cung cấp dịch vụ tự quyết định các trường thông tin thu thập có thể dẫn đến lạm dụng, xâm phạm quyền riêng tư.

Từ đó, cơ quan thẩm tra đề nghị bổ sung quy định khung về các trường thông tin được phép thu thập; giao Chính phủ quy định giới hạn các trường thông tin, ban hành khung tiêu chuẩn kỹ thuật và quán triệt nguyên tắc thu thập tối thiểu nhằm bảo vệ quyền của chủ thể dữ liệu.

Về liên kết danh tính điện tử, Ủy ban cơ bản nhất trí với các quy định của dự thảo Luật. Một số ý kiến đề nghị chỉ bắt buộc liên kết danh tính đối với các giao dịch mà pháp luật chuyên ngành có quy định bắt buộc; bảo đảm nguyên tắc cần thiết, tương xứng với mục đích quản lý, sử dụng và mức độ rủi ro của giao dịch.

Về tổ chức cung cấp dịch vụ định danh và xác thực điện tử, Ủy ban nhất trí với chính sách xã hội hóa, cho phép các tổ chức đủ điều kiện tham gia cung cấp dịch vụ. Tuy nhiên, có ý kiến đề nghị cơ quan nhà nước ban hành khung tiêu chuẩn kỹ thuật tối thiểu và chuẩn dữ liệu dùng chung, tránh đầu tư dàn trải, thiếu tập trung, thiếu đồng bộ. Đồng thời, cần bổ sung quy định cụ thể về trách nhiệm pháp lý và cơ chế bồi thường thiệt hại của tổ chức cung cấp dịch vụ khi xảy ra sự cố lộ lọt dữ liệu hoặc định danh, xác thực sai lệch.

Liên quan phí khai thác, sử dụng dữ liệu, Ủy ban đề nghị rà soát để bảo đảm thống nhất, không trùng lặp với Luật Dữ liệu, Luật Phí và lệ phí; tính toán mức phí hợp lý đối với người dân, doanh nghiệp.