Tiếp tục chương trình Kỳ họp thứ Hai, Quốc hội khóa XVI, chiều 26-10, Quốc hội thảo luận ở tổ. Bà Lê Thị Thanh Lam, Phó trưởng đoàn chuyên trách Đoàn đại biểu Quốc hội TP Cần Thơ, tham gia đóng góp một số ý quan trọng về dự án Luật Định danh và xác thực điện tử.

Bà Lê Thị Thanh Lam phát biểu trong phiên thảo luận ở tổ chiều 26-10.

Đại biểu Lê Thị Thanh Lam thống nhất với sự cần thiết ban hành Luật Định danh và xác thực điện tử. Việc ban hành Luật tại thời điểm này có ý nghĩa chiến lược vô cùng quan trọng, thể chế hóa kịp thời các chủ trương lớn của Đảng; tạo hành lang pháp lý thống nhất để kiến tạo hạ tầng niềm tin số, thúc đẩy kinh tế số, xã hội số và nâng cao năng lực quản trị quốc gia trong kỷ nguyên mới. Để hoàn thiện dự thảo Luật bảo đảm tính khả thi, đồng bộ, bảo vệ tối đa quyền, lợi ích hợp pháp của người dân, doanh nghiệp, đại biểu đóng góp một số ý kiến cụ thể như sau:

Thứ nhất, về đối tượng và mô hình định danh điện tử (Điều 7 và Điều 8)

Khoản 1, Điều 7 dự thảo Luật đã mở rộng phạm vi đối tượng định danh điện tử sang các thực thể phi con người như: sản phẩm, hàng hóa, tài sản, dữ liệu, phần mềm, tài sản số, địa điểm, không gian... Đây là bước tiến vượt bậc so với quy định trước đây. Đồng thời, Điều 8 phân chia mô hình định danh thành 2 nhóm: mô hình do Nhà nước đầu tư/quản lý (khoản 1) và mô hình do tổ chức tự đầu tư/triển khai (khoản 2). Tuy nhiên, qua rà soát thực tiễn và đối chiếu hệ thống pháp luật, có 2 vấn đề sau:

(1) Nguy cơ chồng chéo thẩm quyền quản lý dữ liệu chuyên ngành. Hiện nay, nhiều bộ, ngành đã và đang vận hành các hệ thống định danh chuyên ngành. Nếu Luật quy định Nhà nước đầu tư thiết lập hệ thống định danh tập trung mà không phân định rõ ranh giới giữa “Hệ thống định danh quốc gia” và “Hệ thống dữ liệu quản lý ngành” sẽ rất dễ dẫn đến tình trạng “giấy phép con về dữ liệu”, làm gia tăng thủ tục hành chính và gây lãng phí hạ tầng hiện có.

(2) Thiếu tiêu chí phân loại dữ liệu cốt lõi. Điểm b, khoản 1, Điều 8 quy định nhà nước trực tiếp định danh đối với “Đối tượng mà danh tính điện tử thuộc phân loại dữ liệu cốt lõi hoặc dữ liệu quan trọng theo quy định của Luật Dữ liệu”. Tuy nhiên, dự thảo Luật chưa dẫn chiếu cụ thể tiêu chí xác định đối tượng nào thuộc nhóm này trong bối cảnh thực thể chuyển đổi số liên tục phát sinh, tạo ra sự phân vân trong việc áp dụng mô hình 1 hay mô hình 2 cho doanh nghiệp.

Đề nghị bổ sung vào khoản 3, Điều 8 nguyên tắc: “Việc định danh đối với các đối tượng quy định tại các điểm b, c, d, đ, khoản 1, Điều 7 phải kế thừa, tích hợp và liên thông tối đa từ các cơ sở dữ liệu quốc gia, cơ sở dữ liệu chuyên ngành hiện có; không làm thay đổi thẩm quyền quản lý nhà nước chuyên ngành và không phát sinh thêm thủ tục hành chính cho tổ chức, cá nhân”.

Thứ hai, về mức độ xác thực và chứng thư điện tử xác nhận thông tin (Điều 25 và Điều 30).

Về mức độ xác thực (Điều 25) chia xác thực thành 3 mức độ (Mức 1: sử dụng 1 yếu tố xác thực điện tử; Mức 2: sử dụng 2 yếu tố xác thực thuộc nhóm yếu tố tri thức/sở hữu; Mức 3: sử dụng tối thiểu 2 yếu tố xác thực và có ít nhất 1 yếu tố thuộc nhóm yếu tố đặc trưng). Thực tế áp dụng cho thấy, việc giao cho “Bên sử dụng dịch vụ xác thực điện tử quyết định lựa chọn mức độ xác thực phù hợp” (khoản 2, Điều 25) mà thiếu khung tiêu chuẩn rủi ro bắt buộc sẽ dẫn đến 2 trường hợp: Một là, một số đơn vị do tối ưu chi phí sẽ chọn Mức 1 hoặc Mức 2 cho các giao dịch có giá trị tài sản lớn, dẫn đến nguy cơ bị chiếm đoạt tài khoản, lừa đảo. Hai là, một số cơ quan nhà nước lại yêu cầu Mức 3 (có yếu tố sinh trắc học) cho cả các giao dịch dịch vụ công đơn giản, gây phiền hà, lãng phí thời gian và làm giảm trải nghiệm của người dân. Đề nghị bổ sung vào Điều 25 giao Chính phủ hoặc Bộ chuyên ngành ban hành “Khung quản lý rủi ro giao dịch”, quy định tối thiểu mức độ xác thực bắt buộc tương ứng với giá trị giao dịch hoặc tính chất quan trọng của thủ tục hành chính.

Về chứng thư điện tử xác nhận thông tin (Điều 30): Đây là một điểm đột phá rất lớn, cho phép chứng nhận từng thuộc tính thông tin độc lập mà không tiết lộ toàn bộ dữ liệu gốc. Tuy nhiên, khoản 6, Điều 30 quy định: “Chứng thư điện tử xác nhận thông tin do tổ chức, cá nhân khác cấp có giá trị theo thỏa thuận của các bên”. Quy định này chưa quy định rõ về giá trị pháp lý khi phát sinh tranh tụng tại Tòa án nếu các bên không có thỏa thuận trước bằng văn bản rõ ràng. Đề nghị sửa đổi khoản 6, Điều 30, khẳng định rõ Chứng thư điện tử xác nhận thông tin do các tổ chức được cấp phép cung cấp có giá trị chứng cứ mặc nhiên trước Tòa án và các cơ quan tài phán, trừ khi có bằng chứng chứng minh chứng thư đó bị giả mạo hoặc bị vô hiệu hóa tại thời điểm giao dịch.

Thứ ba, về điều kiện đối với tổ chức cung cấp dịch vụ (Điều 36).

Điểm a, khoản 2, Điều 36 quy định đối với dịch vụ xác thực dữ liệu trong các cơ sở dữ liệu quốc gia, cơ sở dữ liệu chuyên ngành thì tổ chức cung cấp dịch vụ phải là “đơn vị sự nghiệp công lập, doanh nghiệp nhà nước đáp ứng điều kiện”. Quy định này vô hình trung tạo ra sự phân biệt đối xử giữa doanh nghiệp nhà nước và doanh nghiệp tư nhân, chưa hoàn toàn phù hợp với nguyên tắc bình đẳng đầu tư kinh doanh trong Luật Đầu tư và chủ trương xã hội hóa dịch vụ công. Đề nghị rà soát lại điểm a, khoản 2 nên mở rộng cơ chế cho phép các doanh nghiệp tư nhân có năng lực công nghệ cao, đáp ứng đầy đủ tiêu chuẩn an ninh mạng nghiêm ngặt bậc cao nhất được tham gia cung cấp dịch vụ xác thực dữ liệu, nhằm huy động tối đa nguồn lực xã hội hóa.

PV (lược ghi)