Minh định trách nhiệm, bảo đảm an toàn xác thực điện tử

Không để sinh trắc học trở thành “chìa khóa” duy nhất

Một trong những điểm mới của dự án Luật Định danh và xác thực điện tử là quy định về ứng dụng trí tuệ nhân tạo (AI) trong hoạt động định danh và xác thực điện tử. Tuy nhiên, đi cùng với những tiện ích đó là nguy cơ giả mạo ngày càng tinh vi.

ĐBQH Phạm Trọng Nhân (TP. Hồ Chí Minh) nhấn mạnh, một khi máy móc có thể làm giả như thật bất kỳ gương mặt nào thì niềm tin của người dân chỉ còn dựa vào sự chặt chẽ, minh định của thể chế. Vì vậy, Luật phải bảo đảm không một người dân nào có nghĩa vụ phải đi chứng minh mình là chính mình.

Phân tích quy định tại điểm c khoản 1 Điều 25 về mức xác thực cao nhất là mức 3, sử dụng tối thiểu hai yếu tố, trong đó có ít nhất một yếu tố đặc trưng như khuôn mặt, giọng nói, vân tay, đại biểu cho rằng, dự thảo đang mặc nhiên coi sinh trắc học là yếu tố khó giả mạo nhất. Tuy nhiên, giả định này không còn đủ vững chắc trước sự phát triển của công nghệ.

“Mật khẩu bị lộ thì đổi được, thẻ bị mất thì khóa được, còn khuôn mặt bị lộ thì cả đời không đổi được, mà khuôn mặt, giọng nói của mỗi chúng ta lại nằm sẵn trên mạng xã hội. Chúng ta đang có một chiếc chìa khóa treo sẵn ngoài cửa...”, đại biểu lưu ý.

Đáng lo ngại hơn là hệ quả pháp lý khi xảy ra giả mạo. Theo khoản 1 Điều 29, kết quả xác thực có giá trị xác thực chủ thể tham gia giao dịch; khoản 4 Điều 28 coi kết quả này là nguồn chứng cứ. Dự thảo đã quy định quyền khiếu nại, bồi thường và việc ghi nhật ký xác thực nhưng chưa làm rõ nghĩa vụ chứng minh thuộc về ai. Như vậy, khi kẻ gian dùng hình ảnh giả lọt qua mức 3 cao nhất để chuyển tiền, kết quả xác thực lại trở thành chứng cứ đầu tiên chống lại chính nạn nhân. Khi đó nạn nhân có nguy cơ phải tự chứng minh mình không phải là mình trong video đó.

Từ những phân tích trên, đại biểu Phạm Trọng Nhân đề nghị quy định bắt buộc áp dụng mức xác thực 3 đối với các giao dịch có rủi ro cao, thay vì để bên cung cấp dịch vụ toàn quyền lựa chọn như quy định tại khoản 2 Điều 25. Mức xác thực này cần được chuẩn hóa, sử dụng tối thiểu hai yếu tố, trong đó bắt buộc có một yếu tố sở hữu gắn với phần cứng bảo mật hoặc chứng thư số, chữ ký số và một yếu tố đặc trưng.

Đại biểu cũng đề nghị bổ sung nguyên tắc tại Điều 29: khi chủ thể đã kịp thời thông báo, khiếu nại việc danh tính bị sử dụng trái phép, kết quả xác thực không mặc nhiên được coi là chứng cứ xác định người đó là chủ thể giao dịch. Cơ quan, tổ chức thực hiện xác thực phải có nghĩa vụ chứng minh quá trình xác thực tuân thủ đầy đủ các yêu cầu chống giả mạo...

Ở góc độ khác, ĐBQH Thạch Phước Bình (Vĩnh Long) cho rằng, quy định tại Điều 29 về việc kết quả xác thực điện tử chỉ có giá trị trong phạm vi giao dịch được xác thực là cần thiết, góp phần bảo vệ quyền và lợi ích hợp pháp của các bên. Tuy nhiên, đại biểu đề nghị làm rõ mối quan hệ giữa xác thực danh tính và ý chí của người tham gia giao dịch. Bởi, xác định đúng danh tính chưa đồng nghĩa với việc chủ thể tự nguyện chấp thuận nội dung giao dịch.

Theo đó, kết quả xác thực điện tử nên được xác định là căn cứ xác nhận danh tính trong phạm vi giao dịch. Còn ý chí tự nguyện, năng lực hành vi dân sự, thẩm quyền đại diện và hiệu lực pháp lý của giao dịch phải được xác định theo pháp luật dân sự và pháp luật có liên quan.

Đối với giao dịch có giá trị lớn hoặc làm phát sinh nghĩa vụ pháp lý quan trọng, đại biểu đề nghị có phương thức thông báo, xác nhận nội dung rõ ràng, dễ hiểu, phù hợp với từng nhóm người sử dụng, nhất là người cao tuổi.

Quy tắc rõ ràng, có thể dự đoán, xác định được chủ thể chịu trách nhiệm

Không chỉ quan tâm đến nguy cơ giả mạo trong nước, ĐBQH Trần Mạnh Huy (TP. Đà Nẵng) cũng đề nghị làm rõ trách nhiệm và cách xử lý đối với các giao dịch đã phát sinh khi việc công nhận danh tính điện tử, kết quả xác thực điện tử của nước ngoài bị tạm dừng, hủy bỏ hoặc chấm dứt theo quy định tại Điều 38.

Theo đại biểu, cần phân biệt giữa việc thay đổi trạng thái tin cậy của một kết quả xác thực và việc xác định hiệu lực pháp lý của giao dịch đã thực hiện. Về kỹ thuật, khi một chứng thư số bị thu hồi, thời điểm và lý do thu hồi luôn được ghi nhận để phân định trước và sau thời điểm đó. Pháp luật cần phản ánh đúng logic này. “Gian lận, giả mạo phải bị xử lý nghiêm, nhưng việc ngừng công nhận một kết quả xác thực không nên tự động làm vô hiệu mọi giao dịch từng dựa vào kết quả đó. Nếu khoảng trống này kéo dài, mỗi nơi sẽ hiểu và áp dụng một cách...”, đại biểu lưu ý.

Từ đó, đại biểu đề nghị bổ sung ba nguyên tắc: quyết định thay đổi trạng thái công nhận phải xác định rõ phạm vi, thời điểm có hiệu lực và trách nhiệm thông báo; việc thay đổi trạng thái không tự động làm mất hiệu lực giao dịch đã xác lập; đồng thời, các bên có trách nhiệm bảo toàn chứng cứ, phối hợp xác minh, khắc phục sai sót và bồi thường thiệt hại khi có căn cứ.

Theo đại biểu, niềm tin số không chỉ đến từ việc kết nối danh tính mà còn phải được bảo đảm bằng những quy tắc rõ ràng, có thể dự đoán và xác định được chủ thể chịu trách nhiệm.

Phát biểu giải trình tại phiên họp, Bộ trưởng Bộ Công an, Đại tướng Lương Tam Quang khẳng định, dự thảo Luật đã thiết kế nhiều lớp bảo vệ quyền riêng tư. Theo đó, việc thu thập dữ liệu phải bảo đảm nguyên tắc tối thiểu và có sự đồng ý của chủ thể; không đồng bộ nội dung giao dịch, không chia sẻ kết quả xác thực ngoài phạm vi cho phép. Việc bảo vệ dữ liệu cá nhân trong hoạt động định danh và xác thực điện tử được thực hiện theo quy định của pháp luật về bảo vệ dữ liệu cá nhân; các nguyên tắc, điều kiện, phạm vi và mục đích xử lý dữ liệu cá nhân không có sự thay đổi...

Về các giao dịch trực tuyến trong những lĩnh vực như chứng khoán, viễn thông, ngân hàng, bưu chính, thương mại điện tử, khám chữa bệnh, trung gian thanh toán, ví điện tử, tài sản mã hóa, trò chơi điện tử trực tuyến, dịch vụ tên miền và các lĩnh vực có rủi ro cao hoặc phát sinh nghĩa vụ pháp lý quan trọng, Bộ trưởng cho biết, khoản 5 Điều 23 dự thảo Luật đã yêu cầu xác thực với danh tính điện tử quốc gia và liên kết tài khoản giao dịch điện tử với danh tính đó. Quy định này nhằm tăng cường kiểm soát danh tính, hạn chế nguy cơ giả mạo, góp phần bảo đảm an toàn cho các giao dịch trên môi trường điện tử.