Cần xác định rõ cơ quan chịu trách nhiệm đối với dữ liệu gốc

Đề xuất chỉ yêu cầu định danh bắt buộc khi thật sự cần thiết

Tham gia thảo luận tại hội trường sáng nay, 4/11 về dự thảo Luật Định danh và Xác thực điện tử, đại biểu Dương Khắc Mai (đoàn Lâm Đồng) cho biết, về đối tượng định danh điện tử (Điều 7) và phạm vi thực hiện (Điều 8), dự thảo Luật đã bao quát cả cá nhân, tổ chức, tài sản, dữ liệu, sự kiện, giao dịch, hành vi, địa điểm và không gian. Báo cáo giải trình đã xác định đây chỉ là nhóm đối tượng có thể được định danh. Điều 8 dự thảo cũng đã phân định phạm vi thực hiện giao dịch, Chính phủ quy định mục, lộ trình.

Đồng tình với cách tiếp cận này, song đại biểu cho rằng ranh giới giữa trường hợp bắt buộc và trường hợp thực hiện theo nhu cầu vẫn cần được thể hiện minh bạch hơn trong luật, nhất là khi các đối tượng có tính chất pháp lý rất khác nhau.

Do đó, đại biểu đề nghị bổ sung nguyên tắc chỉ yêu cầu định danh bắt buộc khi thật sự cần thiết phục vụ quản lý nhà nước, có căn cứ pháp luật rõ ràng và tương xứng với mục đích, kế thừa mã định danh, không làm phát sinh thêm thủ tục, chi phí hoặc làm lộ bí mật kinh doanh.

Đại biểu Dương Khắc Mai (đoàn Lâm Đồng) thảo luận

Đối với tài sản và quyền tài sản, cần bảo đảm định danh chỉ để nhận diện, không thay thế thủ tục xác lập quyền sở hữu theo pháp luật chuyên ngành, phù hợp với khoản 9 Điều 4 dự thảo luật.

Về thu thập, chuyển hóa và cập nhật thông tin danh tính điện tử và quyền chủ thể, Khoản 3 Điều 11 dự thảo Luật quy định trách nhiệm của cơ quan, tổ chức tạo lập đối với tính chính xác của thông tin. Khoản 5 cho phép tự động tạo lập danh tính khi dữ liệu nguồn đã đầy đủ, chính xác. Tuy nhiên, trên thực tế, chỉ một số thông tin sai hoặc không thống nhất giữa các cơ sở dữ liệu cũng có thể làm gián đoạn việc giải quyết thủ tục hành chính, giao dịch ngân hàng, quyền tiếp cận dịch vụ thiết yếu. Báo cáo tiếp thu đã đề cập việc hoàn thiện quyền của người dân, song cần quy định rõ hơn trong cơ chế thực hiện.

Do đó, đại biểu đề nghị xác định rõ cơ quan chịu trách nhiệm đối với dữ liệu gốc, cơ quan chịu trách nhiệm đồng bộ và đầu mối xử lý khi có sai lệch; bổ sung thời hạn tiếp nhận, kiểm tra, đính chính và thông báo kết quả cho chủ thể danh tính xét duyệt. Trong thời gian xử lý sai sót không do người dân gây ra, cần có phương án xác minh thay thế để đảm bảo quyền, lợi ích hợp pháp và không buộc người dân cung cấp lại dữ liệu mà cơ quan nhà nước đã có.

Cần bổ sung cơ chế ghi nhận truy cập, kiểm tra độc lập, xử lý truy cập trái phép

Về liên kết danh tính điện tử, Khoản 2 Điều 20 dự thảo Luật quy định bắt buộc liên kết khi chủ thể thực hiện giao dịch với cơ quan, tổ chức, cá nhân khác. Khoản 3 và khoản 4 còn quy định liên kết đối với giao dịch, hành vi và sự kiện. Báo cáo giải trình việc liên kết chỉ thực hiện với đối tượng đã tạo lập danh tính và nhằm phục vụ xác thực, truy vết.

Tuy nhiên, theo đại biểu Dương Khắc Mai, cách diễn đạt "thực hiện giao dịch" hiện nay khá rộng, dễ dẫn tới cách hiểu mọi giao dịch đều phải liên kết với danh tính của cá nhân, tổ chức liên quan.

Vì vậy, đại biểu đề nghị chỉnh lý theo hướng việc buộc liên kết phải căn cứ vào yêu cầu của luật, tính chất và mức độ rủi ro của giao dịch; không yêu cầu tạo thêm danh tính hay liên kết mới khi đã có phương thức nhận diện hợp pháp đáp ứng yêu cầu. Đồng thời, quy định cụ thể về nguyên tắc giới hạn mục đích, quyền kiểm tra, yêu cầu sửa hoặc hủy liên kết sai và trách nhiệm khắc phục hậu quả khi liên kết không chính xác.

Quang cảnh phiên họp

Về ghi nhận dữ liệu và đồng bộ nhật ký xác thực, Khoản 2 Điều 28 dự thảo Luật yêu cầu ghi nhận mọi hoạt động xác thực, đồng bộ về hệ thống quốc gia. Điểm b khoản này đã nêu việc đồng bộ nhật ký không bao gồm nội dung giao dịch. Báo cáo giải trình nhấn mạnh yêu cầu truy vết, phòng chống gian lận và giao cho Chính phủ quy định chi tiết.

Thống nhất sự cần thiết phải lưu vết, nhưng theo đại biểu Dương Khắc Mai, dữ liệu lịch sử xác thực nếu được tập trung quá rộng và lưu giữ kéo dài có thể làm lộ thói quen giao dịch, ảnh hưởng quyền riêng tư của người dân.

Vì vậy, phải quy định trong luật nguyên tắc chỉ đồng bộ trường hợp thông tin tối thiểu phục vụ xác minh, truy vết; giới hạn mục đích khai thác, phân quyền truy cập và xác định thời hạn lưu giữ theo từng dữ liệu.

Đồng thời, cần bổ sung cơ chế ghi nhận truy cập, kiểm tra độc lập, xử lý truy cập trái phép và cho phép chủ thể tra cứu, yêu cầu giải trình đối với việc khai thác dữ liệu của mình (trừ trường hợp luật có quy định khác). Như vậy mới cân bằng được yêu cầu bảo đảm an ninh với bảo vệ quyền con người, quyền công dân.