Góp ý Luật Định danh và xác thực điện tử

Kính gửi: Bộ Công an

Trả lời Công văn số 2439/BCA-QLHC của Bộ Công an về việc đề nghị góp ý đối với Hồ sơ đề nghị xây dựng Luật Định danh và xác thực điện tử, trên cơ sở nghiên cứu tài liệu và tổng hợp ý kiến của cộng đồng doanh nghiệp, hiệp hội doanh nghiệp, Liên đoàn Thương mại và Công nghiệp Việt Nam (VCCI) có một số ý kiến ban đầu như sau:

VCCI đánh giá cao nỗ lực của Bộ Công an trong việc xây dựng Hồ sơ chính sách công phu, có hàm lượng nghiên cứu cao, bám sát chủ trương của Đảng về chuyển đổi số và tham chiếu rộng rãi kinh nghiệm quốc tế. Việc nâng các quy định về định danh và xác thực điện tử từ cấp nghị định lên cấp luật là cần thiết và phù hợp với thực tiễn, bởi đây là hạ tầng nền tảng của kinh tế số, đồng thời là lĩnh vực liên quan trực tiếp đến quyền, nghĩa vụ của người dân, doanh nghiệp nên cần được điều chỉnh bằng văn bản có hiệu lực pháp lý cao. Cộng đồng doanh nghiệp ủng hộ định hướng thiết lập một khuôn khổ pháp lý thống nhất, khắc phục tình trạng phân tán, chồng chéo giữa nhiều văn bản chuyên ngành hiện hành, qua đó giảm chi phí xác minh lặp lại và tạo nền tảng tin cậy cho giao dịch điện tử.

VCCI ủng hộ việc Chính sách 3 lựa chọn mô hình Nhà nước kiến tạo nền tảng, doanh nghiệp tham gia cung cấp dịch vụ, cùng với việc luật hóa cơ chế thử nghiệm có kiểm soát và cơ chế công nhận lẫn nhau về danh tính điện tử với nước ngoài. Đây là những lựa chọn chính sách tiến bộ, mở ang địa phát triển cho thị trường dịch vụ tin cậy trong nước và hỗ trợ doanh nghiệp Việt Nam hội nhập.

Tuy nhiên, dưới góc độ thực tiễn kinh doanh, Hồ sơ chính sách còn một số nội dung cần được cân nhắc, làm rõ ang nhằm bảo đảm tính khả thi, kiểm soát chi phí tuân thủ và duy trì môi trường cạnh tranh bình đẳng. Đáng lưu ý, Báo cáo đánh giá tác động hiện tập trung phân tích khá thuyết phục các lợi ích vĩ mô (tiết kiệm chi phí xã hội, chống thất thu, phòng chống gian lận), nhưng chưa lượng hóa tương xứng chi phí tuân thủ ở cấp độ vi mô mà từng doanh nghiệp, nhất là doanh nghiệp nhỏ và vừa, phải gánh chịu khi thực hiện các nghĩa vụ định danh, liên kết và đồng bộ dữ liệu mà Dự thảo đặt ra. VCCI kiến nghị bổ sung phân tích chi phí tuân thủ này làm cơ sở thiết kế lộ trình và các biện pháp hỗ trợ phù hợp.

VCCI có một số kiến nghị cụ thể như sau: 

• Về phạm vi đối tượng định danh và nghĩa vụ liên kết danh tính bắt buộc

Dự thảo mở rộng đối tượng định danh tới hầu như mọi thực thể trong đời sống kinh tế, bao gồm sản phẩm, hàng hóa, thiết bị, dữ liệu, tài sản số, tên miền, địa chỉ mạng, quyền sở hữu trí tuệ, địa điểm, cũng như các hoạt động, sự kiện, giao dịch, hành vi (Điều 7). Đáng chú ý hơn, Điều 9 và Điều 19 quy định việc liên kết danh tính điện tử của các đối tượng này với danh tính của chủ thể sở hữu, quản lý là bắt buộc khi đối tượng tham gia giao dịch hoặc thủ tục pháp lý.

Đây là phạm vi điều chỉnh rất rộng. Nếu được hiểu và áp dụng theo nghĩa bao trùm, quy định này có thể đặt nghĩa vụ định danh và liên kết lên gần như mọi giao dịch thương mại, dân sự thông thường, kéo theo chi phí và thủ tục lớn cho doanh nghiệp. Cộng đồng doanh nghiệp lo ngại về tính khả thi khi phải định danh và duy trì liên kết theo thời gian thực cho khối lượng khổng lồ hàng hóa, dữ liệu, giao dịch phát sinh hằng ngày, đặc biệt trong các ngành có vòng quay nhanh như thương mại điện tử, bán lẻ, logistics…

VCCI kiến nghị Dự thảo cần thể hiện rõ nguyên tắc quản lý theo rủi ro, theo đó nghĩa vụ định danh và liên kết bắt buộc chỉ áp dụng đối với những nhóm đối tượng, lĩnh vực thực sự cần thiết vì lý do an ninh, an toàn, quản lý nhà nước, còn lại nên theo cơ chế tự nguyện hoặc khuyến khích. Đồng thời, cần giới hạn rõ phạm vi giao dịch làm phát sinh nghĩa vụ liên kết bắt buộc tại Điều 19 để tránh cách hiểu bao trùm mọi giao dịch, bảo đảm nhất quán với nguyên tắc tham gia định danh là tự nguyện đã được khẳng định tại khoản 9 Điều 4. Phạm vi cụ thể nên giao Chính phủ quy định theo lộ trình, song các tiêu chí xác định phạm vi cần được luật định để doanh nghiệp dự liệu được nghĩa vụ của mình.

• Về mối quan hệ với pháp luật chuyên ngành và nguy cơ chồng lấn mã định danh

Điều 5 Dự thảo xác định nguyên tắc áp dụng Luật, theo đó: 1) Đối với những luật ban hành trước ngày Luật Định danh và Xác thực điện tử có hiệu lực có hoạt động liên quan về định danh và xác thực điện tử mà không trái với nguyên tắc của Luật này thì thực hiện theo quy định luật đó; 2) Đối với những luật ban hành sau ngày Luật Định danh và Xác thực điện tử có hiệu lực, có quy định khác với quy định của Luật thì phải xác định cụ thể nội dung thực hiện hoặc không thực hiện theo quy định của Luật này và nội dung thực hiện theo quy định của luật khác đó.

Hiện nay, trong hệ thống pháp luật có các quy định để xác định “danh tính” của tổ chức, tài sản, ví dụ như: mã số doanh nghiệp, mã thửa đất, mã định danh hàng hóa theo chuẩn GS1, số đăng ký quyền sở hữu trí tuệ, mã định danh sản phẩm bất động sản … Những quy định này có được xem là “hoạt động liên quan đến định danh” hay không? Hồ sơ chính sách cũng như các quy định dự kiến tại Dự thảo không phân định rõ về vấn đề này. Điều này có thể khiến cho hệ thống pháp luật trở nên thiếu rõ ang, có sự chồng lấn trong triển khai thực hiện và gây lãng phí nguồn lực.

VCCI đề nghị Dự thảo khẳng định rõ vai trò luật khung, xác định rõ các hoạt động liên quan đến định danh đã có từ trước, quy định tại pháp luật chuyên ngành (liệt kê cụ thể) sẽ không thuộc phạm vi áp dụng của Luật này.  Việc bảo đảm tương thích với chuẩn quốc tế (như GS1 GTIN cho hàng hóa) cũng cần được nêu thành nguyên tắc để bảo vệ năng lực xuất khẩu của doanh nghiệp, nhất là khi Liên minh châu Âu sắp áp dụng bắt buộc Hộ chiếu sản phẩm kỹ thuật số.

• Về vai trò của khu vực tư nhân và ranh giới phạm vi Nhà nước thực hiện

VCCI ủng hộ mô hình cho phép tổ chức, doanh nghiệp đủ điều kiện tham gia cung cấp dịch vụ định danh và xác thực điện tử. Tuy nhiên, để mô hình này thực sự huy động được nguồn lực xã hội, ranh giới giữa phần Nhà nước thực hiện và phần thị trường được tham gia cần rõ ang và có thể dự báo. 

Theo Dự thảo (Điều 8), tổ chức, doanh nghiệp đủ điều kiện sẽ được cấp giấy chứng nhận thực hiện hoạt động định danh điện tử theo hai mô hình:

– (1) Nhà nước đầu tư, thiết lập hệ thống, nền tảng và cơ sở hạ tầng; tổ chức, doanh nghiệp thực hiện quản trị và tổ chức triển khai hoạt động định danh trên nền tảng đó

– (2) Tổ chức, doanh nghiệp đáp ứng điều kiện theo quy định của Luật này thực hiện toàn bộ hoạt động định danh và xác thực điện tử

Nội dung chính sách tại Tờ trình cũng như quy định dự kiến tại Dự thảo về việc tham gia của tổ chức ngoài nhà nước tham gia vào hoạt động định danh và xác thực điện tử đang chưa rõ ang và hợp lý ở các điểm:

– Đối với mô hình (1), doanh nghiệp sẽ phải đáp ứng điều kiện gì để được thực hiện quản trị và tổ chức triển khai hoạt động định danh trên nền tảng mà Nhà nước đã đầu tư? Đối với mô hình này, Nhà nước tham gia với vai trò gì? Là một chủ thể kinh doanh (thuê doanh nghiệp quản trị và cung cấp dịch vụ) hay là chủ thể cung cấp dịch vụ công?

– Với quy định dự kiến tại khoản 2 Điều 8 Dự thảo tổ chức, doanh nghiệp phải đáp ứng điều kiện quy định tại Luật (Điều 39, 40) sẽ được cung cấp toàn bộ hoạt động định danh và xác thực điện tử. Nếu theo mô hình này, tổ chức, doanh nghiệp sẽ cạnh tranh với doanh nghiệp (đứng sau là Nhà nước) ở mô hình (1) khi cung cấp cùng một dịch vụ trên thị trường. Điều này có thể tạo ra sự bất bình đẳng trong cạnh tranh giữa các chủ thể kinh doanh.

VCCI kiến nghị hồ sơ chính sách xác định rõ cách thức các chủ thể được tham gia mô hình (1), đồng thời bổ sung nguyên tắc bảo đảm cạnh tranh bình đẳng giữa doanh nghiệp nhà nước và doanh nghiệp tư nhân trong phần thị trường được xã hội hóa, phù hợp với pháp luật cạnh tranh và cam kết quốc tế. 

• Về điều kiện và thủ tục cung cấp dịch vụ

Điều kiện cung cấp dịch vụ định danh và xác thực điện tử (Điều 39, Điều 40) được thiết kế khá đầy đủ, song nhiều tiêu chí còn mang tính định tính và được giao Chính phủ quy định chi tiết. Cộng đồng doanh nghiệp mong muốn các điều kiện này được xây dựng theo hướng minh bạch, định lượng được, tương xứng với mức độ rủi ro của từng loại dịch vụ, tránh tạo rào cản gia nhập thị trường quá mức cần thiết. Theo quy định tại khoản 2 Điều 8 Dự thảo, các doanh nghiệp cung cấp dịch vụ định danh điện tử sẽ được cấp “Giấy chứng nhận”. Tuy nhiên, Dự thảo lại không có quy định nào nhắc đến thủ tục này hoặc trao quyền cho Chính phủ quy định về vấn đề này.

Liên quan đến dịch vụ xác thực điện tử, Hồ sơ chính sách cũng như Dự thảo đang chưa làm rõ về cơ chế quản lý đối với lĩnh vực này là: cấp giấy phép kinh doanh hay là đáp ứng điều kiện kinh doanh mà không cần giấy phép? Đề nghị làm rõ ngay tại hồ sơ, Dự thảo cơ chế này để đảm bảo căn cứ rõ ang cho Chính phủ quy định chi tiết.

 Liên quan đến thủ tục thông báo về các đối tượng thực hiện định danh, trường thông tin trong danh tính điện tử được cấp, hệ thống và phương án thực hiện định danh điện tử trước khi cung cấp dịch vụ quy định tại khoản 3 Điều 39 cần đánh giá lại tính cần thiết. Bởi vì, trước khi cung cấp dịch vụ doanh nghiệp đã phải xin giấy chứng nhận đủ điều kiện (khoản 2 Điều 8), các điều kiện tổ chức cung cấp dịch vụ định danh điện tử đã xác định đầy đủ thông tin này rồi, việc yêu cầu phải thực hiện ang thủ tục thông báo trước khi cung cấp dịch vụ là quá mức cần thiết. Đề nghị bỏ quy định này.

• Về cung cấp dịch vụ xuyên biên giới và yêu cầu lưu trữ dữ liệu trong nước

Điều 41 Dự thảo yêu cầu tổ chức nước ngoài cung cấp dịch vụ tại Việt Nam phải thiết lập chi nhánh hoặc văn phòng đại diện và lưu trữ dữ liệu người dùng tại Việt Nam. VCCI nhận thấy yêu cầu về hiện diện thương mại và lưu trữ dữ liệu trong nước về cơ bản đã được đặt ra tại pháp luật về an ninh mạng, do đó việc Dự thảo kế thừa định hướng này là có cơ sở và nhằm bảo đảm chủ quyền dữ liệu, an ninh quốc gia. Chúng tôi chia sẻ với mục tiêu quản lý nói trên.

Tuy vậy, từ thực tiễn của doanh nghiệp tham gia chuỗi giá trị toàn cầu, VCCI kính đề nghị Ban soạn thảo đánh giá, cân nhắc ang về phạm vi và cách thức áp dụng các yêu cầu này trong lĩnh vực định danh và xác thực điện tử, nhằm bảo đảm sự hài hòa với mục tiêu công nhận lẫn nhau danh tính điện tử và thúc đẩy giao dịch xuyên biên giới mà chính Dự thảo đang hướng tới. Trong quá trình đó, Ban soạn thảo có thể xem xét hướng thiết kế yêu cầu lưu trữ dữ liệu theo nguyên tắc phân loại dữ liệu và mức độ rủi ro, đồng thời rà soát tính tương thích với các cam kết của Việt Nam tại CPTPP, EVFTA về luồng dữ liệu xuyên biên giới, trên cơ sở vận dụng phù hợp các ngoại lệ an ninh quốc gia. Cách tiếp cận cân nhắc thấu đáo các yếu tố này sẽ giúp vừa bảo đảm yêu cầu quản lý, vừa duy trì sức hấp dẫn của môi trường đầu tư.

• Về Ứng dụng định danh quốc gia (VneID) và môi trường cạnh tranh

Dự thảo định hướng phát triển VneID với sáu nhóm chức năng cốt lõi, trong đó có cấp chữ ký số và tích hợp nền tảng thanh toán quốc gia (Điều 37). Cộng đồng doanh nghiệp ghi nhận giá trị tiện ích của một nền tảng dùng chung, song cũng bày tỏ quan ngại về nguy cơ một nền tảng do Nhà nước vận hành lấn sang các phân khúc dịch vụ mà khu vực tư nhân đã đầu tư và đang cung cấp hiệu quả, đặc biệt là dịch vụ chữ ký số công cộng. Việc Điều 49 bổ sung chữ ký điện tử định danh quốc gia có giá trị pháp lý tương đương chữ ký số cần được cân nhắc kỹ trong mối quan hệ với các tổ chức cung cấp dịch vụ chứng thực chữ ký số đã được cấp phép theo Luật Giao dịch điện tử, nhằm bảo đảm đối xử bình đẳng và không làm suy giảm động lực đầu tư của thị trường.

VCCI đề nghị bổ sung nguyên tắc VneID đóng vai trò hạ tầng nền tảng, ưu tiên kết nối, mở giao diện lập trình ứng dụng cho doanh nghiệp khai thác, hơn là trực tiếp cạnh tranh ở các lớp dịch vụ thương mại mà thị trường có thể đảm nhiệm. Cách tiếp cận này vừa phù hợp với định hướng xã hội hóa của Chính sách 3, vừa bảo vệ tính cạnh tranh lành mạnh.

• Về nghĩa vụ đồng bộ dữ liệu và phí khai thác dữ liệu

Dự thảo yêu cầu tổ chức cung cấp dịch vụ theo mô hình tự chủ phải đồng bộ mã định danh và thông tin danh tính về Cơ sở dữ liệu quốc gia tại nhiều thời điểm (Điều 13, Điều 33). Đây là nghĩa vụ kỹ thuật phát sinh chi phí thường xuyên, cần được quy định rõ về chuẩn kết nối, định dạng, trách nhiệm bảo đảm hạ tầng kết nối và cơ chế xử lý sự cố nhằm tránh dồn rủi ro vận hành cho doanh nghiệp. Bên cạnh đó, một phần dữ liệu trong Cơ sở dữ liệu quốc gia được hình thành từ chính dữ liệu do doanh nghiệp đồng bộ, đóng góp; do đó, chính sách phí khai thác, sử dụng dữ liệu (Điều 35) cần được xây dựng minh bạch, hợp lý, phản ánh đúng chi phí và tránh tạo gánh nặng cho hoạt động kinh doanh dựa trên dữ liệu.

• Về quy định đối với hệ thống trí tuệ nhân tạo

Điều 48 đặt ra nhiều nghĩa vụ đối với tổ chức sử dụng trí tuệ nhân tạo trong định danh, xác thực, bao gồm kiểm thử độc lập, giám sát liên tục, bảo đảm minh bạch và giải thích được kết quả. VCCI chia sẻ sự cần thiết phòng chống giả mạo sinh trắc học và gian lận công nghệ cao. Tuy vậy, để tránh chồng lấn và bảo đảm tính khả thi, các yêu cầu này cần được thiết kế đồng bộ với pháp luật về trí tuệ nhân tạo theo nguyên tắc phân loại rủi ro, không tạo ang một tầng tuân thủ riêng biệt làm ang chi phí cho doanh nghiệp công nghệ trong nước vốn đang là lực lượng nòng cốt phát triển các giải pháp này.

• Về kỹ thuật lập pháp và tính minh bạch chính sách

VCCI nhận thức rằng theo quy định của Luật Ban hành văn bản quy phạm pháp luật và định hướng đổi mới tư duy lập pháp hiện nay, luật chỉ tập trung quy định những vấn đề chung, lớn, mang tính nguyên tắc và ổn định lâu dài, còn những nội dung cụ thể, thường xuyên biến động sẽ được giao Chính phủ quy định chi tiết để bảo đảm tính linh hoạt. 

Trên tinh thần đó, VCCI kính đề nghị Ban soạn thảo lưu ý bảo đảm rằng những vấn đề có tính nguyên tắc, ảnh hưởng trực tiếp đến quyền, nghĩa vụ và chi phí tuân thủ của doanh nghiệp được thể hiện ngay trong Luật, đặc biệt là các tiêu chí, nguyên tắc xác định phạm vi các nghĩa vụ như đối tượng phải định danh bắt buộc, giao dịch bắt buộc xác thực, hay lĩnh vực bắt buộc chấp nhận chứng thư điện tử. Việc luật định các tiêu chí khung này giúp doanh nghiệp dự liệu được nghĩa vụ của mình, đồng thời định hướng cho việc xây dựng các văn bản dưới luật. Bên cạnh đó, để cộng đồng doanh nghiệp có thể đánh giá đầy đủ tác động, VCCI đề nghị trong quá trình soạn thảo, cơ quan chủ trì xây dựng và công bố đồng thời các dự thảo nghị định quy định chi tiết những nội dung cốt lõi để lấy ý kiến song song với dự thảo Luật.

•  Về điều khoản chuyển tiếp

Thời hạn 18 tháng để các tổ chức đang cung cấp dịch vụ đáp ứng điều kiện mới (Điều 50) có thể là thách thức đối với nhiều doanh nghiệp, đặc biệt khi phải đồng thời đầu tư hạ tầng, chuẩn hóa quy trình và thực hiện các nghĩa vụ liên kết, đồng bộ dữ liệu. VCCI đề nghị cân nhắc kéo dài và phân kỳ thời hạn chuyển tiếp theo nhóm nghĩa vụ và quy mô doanh nghiệp, đồng thời bổ sung các biện pháp hỗ trợ kỹ thuật cho doanh nghiệp nhỏ và vừa nhằm bảo đảm tính khả thi khi triển khai.

VCCI nhất trí với sự cần thiết ban hành Luật Định danh và xác thực điện tử và ủng hộ các định hướng chính sách tiến bộ của Hồ sơ. Để Luật thực sự trở thành đòn bẩy cho kinh tế số mà vẫn kiểm soát hợp lý chi phí tuân thủ và giữ vững môi trường cạnh tranh, VCCI trân trọng đề nghị Quý Bộ nghiên cứu, tiếp thu các ý kiến nêu trên, trọng tâm là làm rõ phạm vi nghĩa vụ định danh và liên kết theo nguyên tắc rủi ro, bảo đảm liên thông với mã định danh chuyên ngành hiện hành, xác định ranh giới rõ ang cho khu vực tư nhân tham gia, và bổ sung đánh giá chi phí tuân thủ ở cấp độ doanh nghiệp.

VCCI xin lưu ý rằng định danh và xác thực điện tử là lĩnh vực mới, có tính kỹ thuật cao và phạm vi tác động rộng tới nhiều ngành nghề, trong khi thời gian góp ý tương đối ngắn nên VCCI chưa có điều kiện tổ chức lấy ý kiến rộng rãi và chuyên sâu trong toàn bộ cộng đồng doanh nghiệp. Vì vậy, các nội dung nêu trên là những ý kiến góp ý bước đầu, mang tính sơ bộ. VCCI sẽ tiếp tục tổng hợp ý kiến của các hiệp hội, doanh nghiệp và sẵn sàng phối hợp với Quý Bộ tổ chức các hoạt động tham vấn chuyên sâu trong các giai đoạn tiếp theo của quá trình xây dựng dự án Luật.

Trân trọng cảm ơn sự hợp tác của Quý Bộ.