1. Vì sao cần hoàn thiện pháp luật về định danh và xác thực điện tử?

Thực tiễn cho thấy, một trong những khó khăn lớn trong việc phòng ngừa tội phạm công nghệ cao là xác minh danh tính thực sự của người đứng sau tài khoản, giao dịch hoặc thông tin được cung cấp trên môi trường mạng.

Các đối tượng có thể sử dụng thông tin cá nhân bị đánh cắp, giấy tờ giả, tài khoản mạng xã hội không chính chủ hoặc công nghệ AI để tạo hình ảnh, video và giọng nói giả mạo. Khi những dữ liệu này được sử dụng trong các cuộc gọi, tin nhắn hoặc giao dịch trực tuyến, người tiếp nhận có thể gặp khó khăn trong việc phân biệt thật – giả.

Chẳng hạn, một người nhận được cuộc gọi video có hình ảnh và giọng nói giống người thân đang cần tiền gấp. Nếu chỉ dựa vào hình ảnh hiển thị trên màn hình, người nhận có thể chuyển tiền trước khi xác minh lại thông tin. Tương tự, doanh nghiệp có thể bị lừa chuyển tiền khi nhận được yêu cầu giả mạo lãnh đạo hoặc đối tác.

Những tình huống này cho thấy việc xác thực danh tính trong môi trường số cần được thực hiện bằng phương thức phù hợp với mức độ rủi ro của từng giao dịch.

Việc hoàn thiện pháp luật về định danh và xác thực điện tử vì vậy có ý nghĩa trong việc nâng cao độ tin cậy của giao dịch, hỗ trợ truy xuất trách nhiệm khi xảy ra vi phạm và tạo điều kiện phát triển các dịch vụ số an toàn hơn.

Tuy nhiên, không nên xem định danh điện tử là giải pháp có thể loại bỏ hoàn toàn nguy cơ lừa đảo. Hiệu quả phòng ngừa còn phụ thuộc vào chất lượng hệ thống kỹ thuật, quy trình xác thực, cơ chế kiểm soát và ý thức của người sử dụng.

2. Dự thảo luật đặt ra những vấn đề gì đáng chú ý?

Theo thông tin công bố về dự thảo được trình Quốc hội ngày 26/10/2026, các nội dung được đề xuất bao gồm xây dựng hệ thống định danh và xác thực điện tử, quy định phương thức xác thực, điều kiện cung cấp dịch vụ, trách nhiệm của các chủ thể liên quan và cơ chế phối hợp trong hoạt động định danh.

Một điểm đáng chú ý là định hướng mở rộng phạm vi định danh, xác thực không chỉ đối với cá nhân, tổ chức mà còn đối với nhiều đối tượng khác như tài sản, hàng hóa, dữ liệu, phần mềm, dịch vụ số và giao dịch.

Nếu được thiết kế phù hợp, cơ chế này có thể hỗ trợ xác minh nguồn gốc thông tin, nâng cao tính minh bạch trong giao dịch và hạn chế một số hành vi giả mạo.

Tuy nhiên, phạm vi định danh càng rộng thì yêu cầu xác định rõ mục đích, loại dữ liệu cần thu thập và trách nhiệm của chủ thể quản lý càng trở nên quan trọng.

Không phải mọi đối tượng hoặc mọi giao dịch đều cần cùng một mức độ xác thực. Một giao dịch có giá trị lớn, tiềm ẩn nguy cơ gian lận cao có thể cần quy trình kiểm tra chặt chẽ hơn so với một hoạt động thông thường có mức độ rủi ro thấp.

Do đó, việc xây dựng cơ chế định danh cần bảo đảm tính tương xứng giữa mục tiêu quản lý, nguy cơ phát sinh vi phạm và phạm vi thông tin được xử lý.

3. Chống lừa đảo không đồng nghĩa với việc thu thập dữ liệu không giới hạn

Một trong những vấn đề cần được quan tâm khi xây dựng hệ thống định danh và xác thực điện tử là mối quan hệ giữa yêu cầu phòng, chống tội phạm và quyền bảo vệ dữ liệu cá nhân.

Để xác minh danh tính, hệ thống có thể cần xử lý những thông tin như họ tên, số định danh, hình ảnh, dữ liệu sinh trắc học hoặc thông tin liên quan đến giao dịch. Đây đều là những dữ liệu cần được quản lý theo quy định pháp luật tương ứng.

Nếu dữ liệu được thu thập vượt quá nhu cầu thực tế, lưu trữ không an toàn hoặc chia sẻ không đúng phạm vi cho phép, nguy cơ lộ lọt thông tin có thể gia tăng. Khi đó, chính hệ thống được xây dựng nhằm tăng cường độ tin cậy lại có thể trở thành mục tiêu bị khai thác.

Vì vậy, việc hoàn thiện khung pháp lý cần chú trọng một số nguyên tắc:

• Xác định rõ mục đích: Dữ liệu được thu thập và xử lý cần phục vụ mục đích cụ thể, hợp pháp.
• Giới hạn phạm vi cần thiết: Chỉ nên xử lý những dữ liệu phù hợp với mục tiêu xác thực và yêu cầu pháp luật.
• Kiểm soát quyền truy cập: Xác định rõ chủ thể được phép tiếp cận, sử dụng dữ liệu và trách nhiệm của từng bên.
• Bảo đảm an toàn hệ thống: Có biện pháp phòng ngừa truy cập trái phép, rò rỉ, sao chép hoặc sử dụng dữ liệu sai mục đích.
• Làm rõ trách nhiệm khi xảy ra sự cố: Cần có cơ chế xác định trách nhiệm, xử lý vi phạm và giải quyết yêu cầu bảo vệ quyền lợi của người bị ảnh hưởng.

Đây không chỉ là yêu cầu về kỹ thuật mà còn là vấn đề pháp lý liên quan trực tiếp đến quyền riêng tư và niềm tin của người dân đối với các dịch vụ số.

4. Người dân có thể làm gì để bảo vệ mình trước nguy cơ giả mạo danh tính?

Trong khi các quy định pháp luật tiếp tục được hoàn thiện, người dân vẫn cần chủ động thực hiện các biện pháp bảo vệ tài khoản và thông tin cá nhân.

Thứ nhất, không cung cấp mã xác thực và thông tin đăng nhập cho người khác.

Mã OTP, mật khẩu, thông tin đăng nhập và dữ liệu xác thực cần được bảo mật. Không cung cấp những thông tin này cho người gọi điện tự xưng là nhân viên ngân hàng, cơ quan nhà nước hoặc đơn vị cung cấp dịch vụ nếu chưa xác minh được danh tính và tính hợp pháp của yêu cầu.

Thứ hai, xác minh độc lập trước khi chuyển tiền.

Khi nhận được yêu cầu chuyển tiền khẩn cấp từ người thân, lãnh đạo hoặc đối tác, hãy chủ động gọi lại qua số điện thoại đã lưu hoặc liên hệ bằng một kênh khác đã được xác minh. Không nên chỉ dựa vào hình ảnh video, giọng nói hoặc tin nhắn hiển thị trên màn hình.

Thứ ba, hạn chế công khai thông tin cá nhân không cần thiết.

Hình ảnh giấy tờ tùy thân, địa chỉ, số điện thoại và những thông tin có thể được sử dụng để giả mạo danh tính cần được bảo vệ. Khi chia sẻ tài liệu trực tuyến, nên che các trường thông tin không cần thiết.

Thứ tư, kiểm tra kỹ yêu cầu xác thực khi sử dụng dịch vụ trực tuyến.

Người dùng nên tìm hiểu đơn vị cung cấp dịch vụ, mục đích thu thập dữ liệu và phạm vi thông tin được yêu cầu. Cần thận trọng với các đường dẫn lạ, ứng dụng không rõ nguồn gốc hoặc yêu cầu cài đặt phần mềm để “xác minh tài khoản”.

Thứ năm, lưu giữ chứng cứ khi phát hiện dấu hiệu giả mạo.

Nếu nghi ngờ bị lợi dụng danh tính, cần lưu lại tin nhắn, đường dẫn, số điện thoại, thông tin giao dịch và các dữ liệu liên quan. Trường hợp có dấu hiệu chiếm đoạt tài sản, nên nhanh chóng liên hệ ngân hàng hoặc đơn vị cung cấp dịch vụ thanh toán để đề nghị hỗ trợ, đồng thời trình báo cơ quan có thẩm quyền.

5. Doanh nghiệp cần chuẩn bị gì trước yêu cầu xác thực điện tử ngày càng chặt chẽ?

Đối với doanh nghiệp, định danh và xác thực điện tử không chỉ liên quan đến việc xác minh khách hàng mà còn ảnh hưởng đến quy trình ký kết hợp đồng, quản lý người đại diện, phê duyệt giao dịch và kiểm soát rủi ro nội bộ.

Để hạn chế nguy cơ giả mạo và tranh chấp, doanh nghiệp nên rà soát quy trình xác thực đối tác, đặc biệt đối với những giao dịch có giá trị lớn hoặc có yêu cầu chuyển tiền bất thường.

Một số biện pháp có thể triển khai gồm:

• Xây dựng quy trình xác minh danh tính đối tác và người có thẩm quyền ký kết.
• Thiết lập cơ chế xác nhận độc lập đối với yêu cầu thay đổi tài khoản nhận tiền.
• Phân quyền truy cập dữ liệu khách hàng, đối tác và người lao động.
• Rà soát hợp đồng với nhà cung cấp dịch vụ định danh, xác thực và xử lý dữ liệu.
• Xây dựng phương án ứng phó khi phát hiện tài khoản bị chiếm quyền kiểm soát hoặc dữ liệu bị lộ.
• Đào tạo nhân viên nhận diện hành vi giả mạo lãnh đạo, đối tác và yêu cầu giao dịch bất thường.

Đồng thời, doanh nghiệp cần theo dõi tiến trình xây dựng pháp luật để kịp thời cập nhật quy trình nội bộ khi có quy định mới được ban hành và có hiệu lực.

6. Góc nhìn pháp lý: Cân bằng giữa an toàn số và quyền riêng tư

Việc hoàn thiện pháp luật về định danh và xác thực điện tử là một vấn đề có ý nghĩa trong bối cảnh các giao dịch số ngày càng phát triển và thủ đoạn giả mạo danh tính ngày càng tinh vi.

Tuy nhiên, hiệu quả của một hệ thống định danh không chỉ được đánh giá bằng khả năng xác minh người dùng mà còn bằng mức độ an toàn của dữ liệu, tính minh bạch trong xử lý thông tin và cơ chế bảo vệ quyền lợi khi xảy ra sai sót.

Một hệ thống đáng tin cậy cần giúp ngăn chặn hành vi giả mạo, đồng thời hạn chế nguy cơ dữ liệu bị sử dụng sai mục đích. Người dân cần có cơ sở để biết thông tin nào đang được xử lý, vì mục đích gì và trách nhiệm thuộc về ai khi quyền lợi của họ bị ảnh hưởng.

Vì vậy, quá trình hoàn thiện dự thảo cần tiếp tục làm rõ phạm vi áp dụng, yêu cầu kỹ thuật, trách nhiệm của các đơn vị cung cấp dịch vụ và cơ chế giải quyết hậu quả khi xảy ra lộ lọt dữ liệu hoặc xác thực sai.