 |
| Bộ trưởng Bộ Công an Lương Tam Quang cho biết, dự thảo Luật Định danh và xác thực điện tử đã thiết kế nhiều lớp bảo vệ quyền riêng tư. Ảnh: VPQH |
Hoàn thiện cơ chế bảo vệ dữ liệu, ngăn chặn giả mạo danh tính điện tử
Sáng ngày 4/11, Quốc hội thảo luận tại hội trường về dự án Luật Định danh và xác thực điện tử. Đại biểu Triệu Thị Ngọc Diễm (Đoàn đại biểu Quốc hội TP. Cần Thơ) đánh giá cao tinh thần tiếp thu của Ban soạn thảo đối với các góp ý của đại biểu Quốc hội tại phiên thảo luận tổ. Theo đại biểu, dự thảo Luật đã tạo nền tảng pháp lý cho chuyển đổi số toàn diện, bảo đảm an toàn, đưa định danh và xác thực điện tử trở thành chìa khóa xác lập niềm tin trên không gian số.
Để bảo đảm tính bao quát và phù hợp với thực tiễn, đại biểu cho rằng, tại khoản 2 Điều 6, phạm vi hành vi thu thập, sử dụng, tiết lộ, chia sẻ trái phép dữ liệu định danh điện tử chưa đủ bao quát về hành vi bị cấm. Đại biểu đề nghị bổ sung cụm từ “yếu tố xác thực điện tử” vào quy định này thành “thu thập, sử dụng, tiết lộ, chia sẻ trái phép dữ liệu định danh điện tử và yếu tố xác thực điện tử”.
Đại biểu phân tích, tội phạm mạng thường xuyên thu thập, mua bán dữ liệu khuôn mặt, giọng nói, mã OTP của người dân để vượt qua bước xác thực, dù không trực tiếp sửa đổi dữ liệu gốc trong hệ thống.
“Bổ sung cụm “yếu tố xác thực điện tử” vừa bảo đảm đầy đủ 3 nhóm yếu tố được dùng để xác nhận danh tính điện tử của đối tượng, vừa phù hợp với thực tế đang diễn ra”, đại biểu Ngọc Diễm nhấn mạnh.
Đại biểu cũng đề nghị bổ sung hành vi sản xuất, phát tán, mua bán, cung cấp công cụ, phần mềm, thiết bị chuyên dùng để giả mạo yếu tố sinh trắc học hoặc vô hiệu hóa quy trình xác thực điện tử. Theo đại biểu, thực tiễn đã xuất hiện các nhóm đối tượng chuyên viết phần mềm can thiệp như camera ảo, cung cấp dịch vụ Deepfake vượt qua bước nhận diện sinh trắc học của ngân hàng và ví điện tử để bán cho các đường dây lừa đảo.
Một nội dung khác được đại biểu quan tâm là cơ chế tạm dừng, khôi phục hiệu lực danh tính điện tử và mã định danh. Đại biểu cho rằng, các vụ việc tấn công chiếm quyền điều khiển tài khoản, lừa đảo chiếm đoạt tài sản hoặc phát tán mã độc qua danh tính điện tử diễn ra với tốc độ tính bằng giây. Nếu thực hiện theo trình tự hành chính thông thường sẽ không kịp thời ngăn chặn hậu quả.
 |
| Đại biểu Triệu Thị Ngọc Diễm (Đoàn đại biểu Quốc hội TP. Cần Thơ) kiến nghị bổ sung cơ chế tạm dừng hiệu lực khẩn cấp khi phát hiện danh tính điện tử bị chiếm quyền điều khiển. Ảnh: VPQH |
Do đó, đại biểu kiến nghị bổ sung cơ chế tạm dừng hiệu lực khẩn cấp, cho phép hệ thống tự động hoặc lực lượng chuyên trách bảo vệ an ninh mạng, cơ quan điều tra thực hiện lệnh phong tỏa, tạm dừng tức thời trên môi trường điện tử khi phát hiện danh tính điện tử bị chiếm quyền điều khiển hoặc bị sử dụng để thực hiện hành vi xâm phạm an ninh quốc gia, trật tự, an toàn xã hội.
Đại biểu cũng đề nghị sớm ban hành hướng dẫn thi hành luật đối với nội dung này để ứng phó kịp thời các tình huống phát sinh trong thực tiễn.
Kiểm soát chặt việc khai thác dữ liệu, bảo đảm quyền riêng tư
Cùng quan tâm đến vấn đề bảo vệ dữ liệu, đại biểu Nguyễn Thị Sửu (Đoàn đại biểu Quốc hội TP. Huế) cho rằng, định danh và xác thực điện tử không chỉ là vấn đề kết nối dữ liệu mà còn phải kiểm soát toàn bộ vòng đời dữ liệu, từ thu thập, khai thác, chia sẻ, truy vết đến xử lý sai sót.
Đại biểu đề nghị bổ sung nguyên tắc chỉ thu thập thông tin cần thiết, xác định rõ mục đích, nguồn dữ liệu và trách nhiệm thực hiện. Khi thu thập trực tiếp, cần thông báo cho chủ thể về loại thông tin và căn cứ thu thập, trừ trường hợp pháp luật có quy định khác; đồng thời ghi nhận nguồn, thời điểm tiếp nhận và lịch sử chỉnh sửa.
Đối với việc lưu trữ, đại biểu đề nghị phân biệt mã định danh, thông tin cốt lõi với các thuộc tính dữ liệu phát sinh và lịch sử sử dụng, bởi mỗi nhóm dữ liệu có nhu cầu lưu trữ khác nhau. Theo đại biểu, nếu lưu trữ vĩnh viễn cần chỉ rõ dữ liệu nào được lưu và giới hạn truy cập, tránh cách hiểu lưu giữ vô hạn mọi dữ liệu gắn với danh tính.
Về khai thác, sử dụng và chia sẻ dữ liệu, đại biểu đề nghị làm rõ sự đồng ý của chủ thể phải cụ thể về dữ liệu, mục đích, bên tiếp nhận và thời hạn. Bên khai thác chỉ được tiếp cận thông tin cần thiết; việc chia sẻ cho bên thứ ba hoặc thay đổi mục đích phải có căn cứ pháp luật hoặc sự đồng ý hợp lệ.
Đại biểu cũng kiến nghị quy định hoạt động truy cập, khai thác, chia sẻ dữ liệu phải ghi nhật ký về người truy cập, thời điểm, mục đích và dữ liệu tiếp cận. Chủ thể được tra cứu lịch sử khai thác, trừ trường hợp pháp luật hạn chế thông báo.
Đối với hoạt động truy vết danh tính điện tử, đại biểu đề nghị quy định rõ căn cứ, thẩm quyền, trình tự, mục đích, đối tượng, phạm vi thông tin và thời hạn truy vết; đồng thời yêu cầu hoạt động này phải được lưu vết, kiểm tra.
 |
| Đại biểu Nguyễn Thị Sửu (Đoàn đại biểu Quốc hội TP. Huế) cho rằng, định danh và xác thực điện tử phải kiểm soát toàn bộ vòng đời dữ liệu. Ảnh: VPQH |
Đại biểu Nguyễn Thị Sửu nhấn mạnh, kết nối dữ liệu càng rộng thì quyền tiếp cận càng phải được giới hạn và kiểm tra. Người dân cần biết dữ liệu được sử dụng ra sao, ai chịu trách nhiệm và cách xử lý sai sót khi quyền lợi bị ảnh hưởng.
Liên quan đến trách nhiệm của các bên, đại biểu đề nghị quy định thời hạn xử lý yêu cầu chỉnh sửa dữ liệu, nghĩa vụ thông báo khi xảy ra sai lệch, truy cập trái phép, sự cố và trách nhiệm phối hợp giữa đơn vị quản trị dữ liệu, cung cấp dịch vụ, vận hành.
Đặc biệt, cần làm rõ trách nhiệm của bên sử dụng trí tuệ nhân tạo không loại trừ trách nhiệm của nhà cung cấp, đơn vị vận hành khi sai sót thuộc lỗi của họ. Khi kết quả sai, chủ thể cần được yêu cầu con người rà soát, chỉnh sửa, khôi phục quyền và bồi thường theo quy định pháp luật.
Không chia sẻ kết quả xác thực ngoài phạm vi cho phép
Làm rõ các ý kiến đại biểu, Bộ trưởng Bộ Công an Lương Tam Quang cho biết, dự thảo Luật đã thiết kế nhiều lớp bảo vệ quyền riêng tư, quy định việc thu thập dữ liệu tối thiểu, phải có sự đồng ý của chủ thể, không đồng bộ nội dung giao dịch và không chia sẻ kết quả xác thực ngoài phạm vi cho phép.
Việc bảo vệ dữ liệu cá nhân trong hoạt động định danh và xác thực điện tử được thực hiện theo quy định của pháp luật về bảo vệ dữ liệu cá nhân; các nguyên tắc, điều kiện, phạm vi, mục đích xử lý dữ liệu cá nhân không có sự thay đổi.
“Định danh và xác thực điện tử phải tuân thủ Hiến pháp và pháp luật, bảo đảm quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân. Việc khai thác, sử dụng danh tính điện tử phải bảo mật thông tin, tuân thủ pháp luật về bảo vệ dữ liệu cá nhân”, Bộ trưởng nhấn mạnh.
Bộ trưởng cho biết, cơ quan chủ trì soạn thảo sẽ tiếp tục rà soát các quy định có liên quan, tham mưu Chính phủ quy định chi tiết việc thu thập, khai thác, sử dụng dữ liệu về định danh và xác thực điện tử, bảo đảm chặt chẽ, bảo vệ quyền và lợi ích hợp pháp của chủ thể.
Về việc liên kết tài khoản giao dịch với danh tính điện tử, dự thảo Luật quy định các tài khoản giao dịch điện tử trong những lĩnh vực có rủi ro cao hoặc phát sinh nghĩa vụ pháp lý quan trọng phải xác thực với danh tính điện tử quốc gia và liên kết tài khoản giao dịch điện tử với danh tính điện tử đó.
Các lĩnh vực được đề cập gồm chứng khoán, viễn thông, ngân hàng, bưu chính, thương mại điện tử, khám bệnh, chữa bệnh, trung gian thanh toán, ví điện tử, tài sản mã hóa, trò chơi điện tử trực tuyến, dịch vụ đăng ký, cho thuê và sử dụng tên miền.
Dự thảo Luật giao Bộ trưởng, Thủ trưởng cơ quan ngang bộ quy định cụ thể các giao dịch điện tử trực tuyến thuộc lĩnh vực khác có rủi ro cao hoặc phát sinh nghĩa vụ pháp lý quan trọng, bảo đảm phù hợp với đặc thù từng ngành.
