Việt Nam bảo vệ các biện pháp bảo vệ quyền riêng tư khi dự luật mở rộng yêu cầu xác thực danh tính số bắt buộc

Yêu cầu xác thực danh tính bắt buộc đặt sự đồng thuận vào tâm điểm tranh luận

Dự thảo Luật Định danh và xác thực điện tử của Việt Nam sẽ yêu cầu kiểm tra danh tính số quốc gia đối với các giao dịch trực tuyến thuộc 11 lĩnh vực, từ ngân hàng, y tế đến tài sản mã hóa và trò chơi trực tuyến. Trả lời các đại biểu ngày 4 tháng 11 năm 2026, Bộ trưởng Bộ Công an Lương Tam Quang cho biết hệ thống chỉ thu thập thông tin cần thiết, yêu cầu sự đồng thuận và không đưa nội dung giao dịch vào hồ sơ định danh được đồng bộ hóa.

Dự thảo cũng cho phép các cơ quan nhà nước tự động tạo danh tính số khi cơ sở dữ liệu quốc gia hoặc cơ sở dữ liệu chuyên ngành đã có thông tin đầy đủ, chính xác. Người dân và tổ chức thuộc diện áp dụng quy định này sẽ không phải nộp lại những thông tin đó hoặc đăng ký riêng.

Hai nội dung này đặt một câu hỏi thực tiễn vào trung tâm cuộc tranh luận tại nghị trường: người dân sẽ thực hiện quyền đồng thuận ra sao khi xác thực là điều kiện để sử dụng dịch vụ và danh tính có thể được tạo từ những thông tin nhà nước đã nắm giữ? Ông Quang nêu các biện pháp bảo vệ quyền riêng tư, trong khi các đại biểu đề nghị xác định giới hạn thu thập rõ ràng hơn, tăng trách nhiệm của nhà cung cấp công nghệ và đặt ra quy định phân biệt hoạt động thông thường với giao dịch có mức độ rủi ro cao hơn.

Dự thảo đang được xem xét cùng với dự thảo Luật An ninh dữ liệu tại kỳ họp thứ hai, Quốc hội khóa XVI. Hai dự luật sẽ cùng thiết lập quy định về việc tạo lập danh tính số, xác minh người sử dụng danh tính và bảo vệ dữ liệu liên quan.

Bộ trưởng cam kết gì về quyền riêng tư?

Ông Quang, người đứng đầu cơ quan chủ trì soạn thảo dự luật về định danh, nói với các đại biểu rằng các biện pháp bảo vệ quyền riêng tư sẽ áp dụng cả với thông tin được thu thập lẫn cách các hệ thống định danh trao đổi thông tin. Ông mô tả các biện pháp bảo vệ dự kiến như sau:

Việc thu thập dữ liệu tối thiểu phải có sự đồng thuận của chủ thể dữ liệu; nội dung giao dịch không được đồng bộ hóa; và kết quả xác thực không được chia sẻ vượt quá phạm vi cho phép.

Chủ thể dữ liệu là người có thông tin đang được xử lý. Nói một cách đơn giản, cam kết của ông Quang có nghĩa là hệ thống chỉ nên thu thập những gì cần thiết để xác định một người, đồng thời giữ thông tin chi tiết về giao dịch bên ngoài dữ liệu định danh được đồng bộ hóa.

Ông Quang cũng cho biết các nguyên tắc, điều kiện, phạm vi và mục đích xử lý dữ liệu cá nhân sẽ tiếp tục tuân theo pháp luật hiện hành về bảo vệ dữ liệu cá nhân. Việc định danh và xác thực điện tử phải phù hợp với Hiến pháp, bảo vệ quyền và lợi ích của cá nhân, tổ chức và cơ quan nhà nước.

Cơ chế đồng thuận vẫn là vấn đề trọng tâm đối với người dùng. Phần giải trình trước Quốc hội chưa nêu rõ một người có thể lựa chọn những gì nếu việc từ chối thu thập dữ liệu khiến họ không thể hoàn tất giao dịch cần xác thực.

Những dịch vụ nào sẽ phải xác thực?

Khoản 5 Điều 23 sẽ yêu cầu các giao dịch thuộc những lĩnh vực sau được xác thực thông qua và gắn với danh tính điện tử quốc gia:

• Chứng khoán.
• Viễn thông.
• Ngân hàng.
• Dịch vụ bưu chính.
• Thương mại điện tử.
• Y tế.
• Trung gian thanh toán.
• Ví điện tử.
• Tài sản mã hóa.
• Trò chơi điện tử trên mạng.
• Đăng ký, cho thuê và sử dụng tên miền.

Xác thực là việc kiểm tra xem người sử dụng dịch vụ có đúng là người mà họ khai nhận hay không. Việc liên kết kết nối tài khoản dịch vụ hoặc giao dịch với danh tính điện tử quốc gia của người đó. Đối với khách hàng, dự thảo sẽ đưa danh tính này thành một phần trong điều kiện tiếp cận nhiều hoạt động tài chính, thương mại và số.

Bộ trưởng và người đứng đầu cơ quan ngang bộ cũng có thể chỉ định giao dịch thuộc các lĩnh vực khác nếu giao dịch có rủi ro cao hoặc làm phát sinh nghĩa vụ pháp lý đáng kể. Vì vậy, phạm vi áp dụng của hệ thống có thể vượt ra ngoài 11 lĩnh vực được nêu trong dự luật.

Ông Thạch Phước Bình, đại biểu tỉnh Vĩnh Long, đề xuất phân loại giao dịch theo mức độ rủi ro. Các ví dụ ông đưa ra cho thấy vì sao cần quy định chi tiết: đặt lịch khám có mức độ nhạy cảm khác với truy cập hồ sơ bệnh án, cũng như xem tài khoản ngân hàng khác với thực hiện một khoản chuyển tiền lớn.

Danh tính tự động và phạm vi định danh của nhà nước

Điều 7 và Điều 8 quy định ai hoặc đối tượng nào có thể được cấp danh tính điện tử, cũng như các nhóm mà cơ quan nhà nước sẽ định danh. Các nhóm này không chỉ gồm cá nhân và tổ chức mà còn có địa điểm, không gian, chủ thể gắn với dữ liệu cốt lõi hoặc quan trọng, chủ thể được chứng nhận sở hữu hoặc sử dụng hàng hóa được coi là có rủi ro cao và chủ thể liên quan đến bí mật nhà nước.

Chính phủ sẽ ban hành danh sách các chủ thể thuộc diện định danh của nhà nước và quy định lộ trình thực hiện. Đối với các chủ thể được xác định tại Điều 8, cơ quan chức năng sẽ tự động tạo danh tính và cấp mã định danh quốc gia nếu đã có thông tin đầy đủ, chính xác trong cơ sở dữ liệu quốc gia hoặc cơ sở dữ liệu chuyên ngành.

Lợi ích hành chính khá rõ ràng: tổ chức hoặc cá nhân không cần cung cấp thông tin mà nhà nước đã có. Tranh luận về quyền riêng tư xoay quanh phạm vi rộng của các nhóm đối tượng, thông tin gắn với họ và quy định điều chỉnh việc sử dụng thông tin đó.

Bản tóm tắt ngày 25 tháng 10 còn đề cập việc định danh sự kiện, giao dịch và hành vi. Bộ Tài chính, Bộ Tư pháp, Bộ Công Thương và Tòa án nhân dân tối cao đề nghị làm rõ nội dung mở rộng này. Chưa rõ nội dung đó được giữ lại như thế nào trong dự luật sửa đổi, vì toàn văn trình Quốc hội chưa được công bố.

Liên đoàn Thương mại và Công nghiệp Việt Nam (VCCI) cảnh báo trong quá trình tham vấn rằng cách diễn đạt này có thể đưa gần như mọi giao dịch dân sự và thương mại thông thường vào diện phải định danh. Ngày 26 tháng 10, Ủy ban Quốc phòng, An ninh và Đối ngoại của Quốc hội cũng cảnh báo việc cho phép cơ quan quản lý ngành hoặc nhà cung cấp dịch vụ tự chọn trường dữ liệu cần thu thập có thể dẫn đến lạm dụng và vi phạm quyền riêng tư.

Nghị định riêng đã quy định thời hạn liên kết tài khoản

Dự luật được xem xét song song với một văn bản hiện hành là Nghị định 320/2026, có hiệu lực từ ngày 28 tháng 9 năm 2026. Nghị định này yêu cầu một số tài khoản giao dịch điện tử phải được liên kết và xác thực qua VNeID, nền tảng định danh điện tử quốc gia của Việt Nam.

Cả hai văn bản đều nêu 11 lĩnh vực, nhưng danh sách khác nhau. Nghị định áp dụng với giáo dục, chứng khoán, viễn thông, ngân hàng, thương mại điện tử, hóa đơn điện tử, vận tải, du lịch, dược phẩm, y tế và mạng xã hội Việt Nam. Các tài khoản trên những nền tảng như Facebook, TikTok và Zalo cũng được nêu là thuộc diện phải liên kết theo quy định.

Hạn chót liên kết tài khoản dịch vụ thuộc diện áp dụng là ngày 31 tháng 12 năm 2026. Tài khoản ngân hàng có thời hạn muộn hơn, đến ngày 30 tháng 6 năm 2027. Mạng xã hội không nằm trong danh sách 11 lĩnh vực của dự thảo luật, trong khi dự thảo nêu rõ tài sản mã hóa, ví điện tử, trò chơi trực tuyến và dịch vụ tên miền.

Lộ trình kết hợp các nghĩa vụ hiện hành với những thay đổi được đề xuất:

• Tháng 7 năm 2026: Việt Nam thông qua chiến lược chuyển đổi số quốc gia có thời hạn 5 năm.
• Ngày 28 tháng 9 năm 2026: Nghị định 320/2026 có hiệu lực.
• Ngày 25 và 26 tháng 10 năm 2026: Bản tóm tắt dự thảo và những quan ngại của ủy ban Quốc hội đưa phạm vi định danh thành vấn đề trọng tâm.
• Ngày 4 tháng 11 năm 2026: Quốc hội thảo luận các dự luật về định danh và an ninh dữ liệu.
• Ngày 21 tháng 11 năm 2026: Kỳ họp Quốc hội dự kiến bế mạc; dự luật về định danh nằm trong số các văn bản dự kiến được thông qua.
• Ngày 31 tháng 12 năm 2026: Hết hạn liên kết đối với tài khoản dịch vụ thuộc diện áp dụng.
• Ngày 30 tháng 6 năm 2027: Hết hạn liên kết đối với tài khoản ngân hàng.

Vì sao các đại biểu muốn nhiều hơn việc kiểm tra sinh trắc học?

Ông Phạm Trọng Nhân, đại biểu Thành phố Hồ Chí Minh, cảnh báo tiến bộ trong lĩnh vực trí tuệ nhân tạo đang làm suy yếu những giả định về độ tin cậy của khuôn mặt, giọng nói và dấu vân tay. Ông cho rằng sinh trắc học vẫn cần thiết, nhưng không nên là phương thức duy nhất để ngăn chặn gian lận.

Xác thực sinh trắc học kiểm tra một đặc điểm thể chất hoặc hành vi gắn với một người. Các công cụ AI có thể bắt chước một số đặc điểm này, khiến hệ thống khó phân biệt người dùng thật với người đưa ra dữ liệu giả mạo.

Bà Tô Ái Vang, đại biểu thành phố Cần Thơ, đề nghị quy định rõ hơn trách nhiệm khi hệ thống xác thực AI đưa ra kết quả sai. Bà cho biết dự thảo quy trách nhiệm cuối cùng cho tổ chức hoặc cá nhân đưa ra quyết định dựa trên kết quả, song cũng cần quan tâm đến quan hệ trách nhiệm với đơn vị phát triển hoặc cung cấp công nghệ.

Bà Triệu Thị Ngọc Diễm, một đại biểu khác của thành phố Cần Thơ, đề xuất nghiêm cấm rõ ràng việc thu thập, sử dụng, tiết lộ hoặc chia sẻ trái phép dữ liệu định danh và yếu tố xác thực. Bà nêu nguy cơ tội phạm mua bán dữ liệu khuôn mặt, giọng nói và mật khẩu dùng một lần. Đề xuất này nhằm xử lý nguy cơ thông tin trở thành phương tiện để xâm nhập tài khoản của người khác.

Dự luật đi kèm sẽ áp dụng mức bảo vệ tương ứng với rủi ro

Dự thảo Luật An ninh dữ liệu sẽ đưa ra năm cấp độ rủi ro an ninh dữ liệu. Bên kiểm soát dữ liệu, tức tổ chức hoặc cơ quan chịu trách nhiệm quyết định cách thức xử lý dữ liệu, sẽ phân loại rủi ro và áp dụng biện pháp bảo vệ tương ứng. Hoạt động giám sát chủ yếu được thực hiện thông qua kiểm tra sau khi các quyết định này được đưa ra.

Việc bảo vệ sẽ bao trùm toàn bộ vòng đời dữ liệu, từ khâu thiết kế hệ thống đến khi dữ liệu bị hủy. Ông Quang cho biết mục đích phân loại là điều chỉnh nghĩa vụ tương ứng với thiệt hại mà một vụ rò rỉ có thể gây ra, để hoạt động ít nhạy cảm hơn phải tuân thủ yêu cầu nhẹ hơn, còn nguy cơ nghiêm trọng hơn được bảo vệ chặt chẽ hơn.

Năm cấp độ rủi ro sẽ tương ứng với năm cấp độ hệ thống thông tin theo pháp luật về an ninh mạng. Khoản 4 Điều 8 cho phép tổ chức sử dụng lại kết quả phân loại rủi ro an ninh mạng hiện có, tránh phải đánh giá hai lần cùng một hệ thống.

Các cấp độ rủi ro đề xuất sẽ được áp dụng song song với các nhóm dữ liệu cốt lõi và quan trọng theo Luật Dữ liệu. Chúng sẽ định hướng việc lựa chọn biện pháp bảo mật, trong khi các nhóm dữ liệu hiện hành vẫn được áp dụng. Cuộc tranh luận cũng đề cập việc phân chia trách nhiệm giữa Bộ Công an và Bộ Quốc phòng, mật mã bảo mật và mật mã hậu lượng tử, vốn được thiết kế để chống lại các cuộc tấn công sử dụng máy tính lượng tử trong tương lai.

Dữ liệu AI và việc chuyển dữ liệu ra nước ngoài có nghĩa vụ khác nhau

Dự luật an ninh dữ liệu sẽ yêu cầu các tổ chức phát triển hoặc sử dụng AI bảo vệ nguồn gốc và tính toàn vẹn của dữ liệu huấn luyện cũng như dữ liệu được tạo ra từ đó. Dự luật sẽ nghiêm cấm đầu độc dữ liệu và trích xuất dữ liệu trái phép, đồng thời quy định việc con người can thiệp và giám sát các quyết định tự động.

Đầu độc dữ liệu là việc cố tình làm sai lệch thông tin dùng để huấn luyện hệ thống AI, có thể khiến hệ thống đưa ra kết quả không đáng tin cậy hoặc bị thao túng. Đối với dịch vụ định danh, chất lượng và tính bảo mật của thông tin này rất quan trọng vì lỗi tự động có thể ảnh hưởng đến việc một người được chấp nhận hay bị từ chối.

Việc chuyển và xử lý dữ liệu xuyên biên giới sẽ tuân theo các thủ tục khác nhau tùy theo mức độ rủi ro. Dữ liệu cấp độ một và hai được miễn thủ tục theo luật này. Bên kiểm soát xử lý dữ liệu cấp độ ba sẽ tự tiến hành đánh giá và lưu hồ sơ.

Việc chuyển dữ liệu cấp độ bốn và năm sẽ cần được cơ quan có thẩm quyền thẩm định và phê duyệt trước khi thực hiện. Dự luật cũng đề cập yêu cầu dữ liệu từ nước ngoài, nghĩa vụ của nhà cung cấp dịch vụ hoạt động xuyên biên giới và việc sử dụng kết quả đánh giá an ninh dữ liệu trong các thủ tục đầu tư và chuyển giao công nghệ hiện hành.

Quy mô VNeID khiến các chi tiết trở nên hệ trọng

Tính đến tháng 10, VNeID đã cấp 86,4 triệu tài khoản định danh điện tử cho công dân Việt Nam. Nền tảng có hơn 70 tính năng, ghi nhận trên 500 triệu lượt truy cập và thu hút từ 3 triệu đến 6 triệu người dùng mỗi ngày.

Số người dùng hằng ngày này tương đương khoảng 3,5% đến 6,9% tổng số tài khoản đã được cấp. Các con số cho thấy nền tảng có lượng tài khoản đăng ký rất lớn nhưng chỉ một nhóm nhỏ hơn sử dụng vào một ngày bất kỳ, ngay cả trước khi dự luật đề xuất mở rộng vai trò của nền tảng trong các giao dịch thiết yếu.

Chính phủ xem các biện pháp định danh là công cụ chống gian lận trực tuyến, bảo đảm an toàn cho hạ tầng số và giảm khối lượng công việc hành chính theo chiến lược chuyển đổi số quốc gia. Đối với người dùng, những thay đổi cụ thể liên quan đến khả năng tiếp cận dịch vụ, cách xử lý hồ sơ hiện có và trách nhiệm khi việc xác thực danh tính gặp sai sót.

Ông Quang cho biết cơ quan soạn thảo sẽ phối hợp với ủy ban của Quốc hội phụ trách quốc phòng, an ninh và đối ngoại để tiếp thu ý kiến của các đại biểu, sau đó báo cáo Ủy ban Thường vụ Quốc hội trước khi hoàn thiện các dự luật. Mốc lập pháp tiếp theo là ngày bế mạc dự kiến của kỳ họp, 21 tháng 11; các thời hạn liên kết tài khoản hiện hành vẫn áp dụng bất kể tranh luận về đề xuất mới.

Điểm chính

• Dự luật về định danh sẽ yêu cầu xác thực bằng danh tính số quốc gia đối với giao dịch thuộc 11 lĩnh vực, đồng thời cho phép đưa thêm các giao dịch có rủi ro cao vào diện áp dụng.
• Ông Quang cam kết chỉ thu thập dữ liệu tối thiểu, yêu cầu sự đồng thuận, hạn chế chia sẻ kết quả xác thực và không đồng bộ hóa nội dung giao dịch.
• Cơ quan nhà nước có thể tự động tạo các danh tính thuộc diện quy định dựa trên thông tin đầy đủ, chính xác đã có trong cơ sở dữ liệu công.
• Một nghị định riêng quy định thời hạn liên kết tài khoản là ngày 31 tháng 12 năm 2026; tài khoản ngân hàng có thời hạn đến ngày 30 tháng 6 năm 2027.
• Các đại biểu đề nghị tăng cường quy định về trách nhiệm của nhà cung cấp AI, gian lận sinh trắc học và việc sử dụng trái phép thông tin định danh.
• Dự luật an ninh dữ liệu đi kèm đề xuất năm cấp độ rủi ro, giám sát của con người đối với các quyết định tự động và thủ tục nghiêm ngặt hơn khi chuyển dữ liệu ở các cấp độ rủi ro cao nhất.