Sáng ngày 4/11/2026, tại Hội trường Diên Hồng, Quốc hội tiến hành thảo luận đối với dự thảo luật Định danh và xác thực điện tử, luật An ninh dữ liệu. Bà Triệu Thị Ngọc Diễm đã có phát biểu góp ý đối với dự thảo luật Định danh và xác thực điện tử. Trong đó, tập trung vào các nội dung như: (1) Các hành vi bị nghiêm cấm (Điều 6); (2) Cơ chế tạm dừng, khôi phục hiệu lực danh tính điện tử và mã định danh (Điều 17); (3) Nhật ký xác thực, chứng cứ điện tử và truy vết danh tính điện tử (Điều 16, Điều 28 và Điều 31); (4) Cơ chế "Tiền kiểm" an ninh mạng đối với Tổ chức cung cấp dịch vụ định danh và xác thực điện tử (Điều 36 và Khoản 5 Điều 43).

Đại biểu Quốc hội Triệu Thị Ngọc Diễm phát biểu trong phiên thảo luận tại hội trường sáng 04-11. Ảnh PV

Nội dung góp ý chi tiết chi sau:

Tôi đánh giá rất cao tinh thần tiếp thu của Ban soạn thảo đối với các góp ý của đại biểu Quốc hội trong phiên thảo luận tổ về dự thảo luật Định danh và xác thực điện tử qua Báo cáo số 2289/BC-CCA ngày 03/11/2026 của Bộ Công an. Tôi cho rằng các quy định trong dự thảo luật đã tạo nền tảng pháp lý cho chuyển đổi số toàn diện, bảo đảm an toàn, đưa định danh và xác thực điện tử trở thành “chìa khóa” xác lập niềm tin trên không gian số.

Tôi xin góp ý một số nội dung cụ thể như sau:

1. Về các hành vi bị nghiêm cấm (Điều 6)

- (1) Tại Khoản 2 Điều 6: Tôi cho rằng phạm vi hành vi “Thu thập, sử dụng, tiết lộ, chia sẻ trái phép dữ liệu định danh điện tử” chưa đủ bao quát. Đề nghị bổ sung cụm từ "yếu tố xác thực điện tử" vào phạm vi bảo vệ, đồng thời diễn đạt thành: "Thu thập, sử dụng, tiết lộ, chia sẻ trái phép dữ liệu định danh điện tử và yếu tố xác thực điện tử" vào khoản 2. Bởi lí do: Tại khoản 5 Điều 3 có nêu yếu tố xác thực điện tử bao gồm nhóm yếu tố tri thức, sở hữu và đặc trưng (sinh trắc học, vật lý, kỹ thuật số). Thực tế tội phạm mạng thường xuyên thu thập, mua bán dữ liệu khuôn mặt, giọng nói, mã OTP của người dân để vượt qua bước xác thực dù không trực tiếp sửa đổi dữ liệu gốc trong hệ thống. Do đó, bổ sung cụm “yếu tố xác thực điện tử” vừa đảm bảo đầy đủ 3 nhóm yếu tố được dùng để xác nhận danh tính điện tử của đối tượng, vừa phù hợp với thực tế đang diễn ra.

- (2) Tại Khoản 6 Điều 6, đề nghị xem xét, bổ sung thêm hành vi "Sản xuất, phát tán, mua bán, cung cấp công cụ, phần mềm, thiết bị chuyên dùng để giả mạo yếu tố sinh trắc học hoặc vô hiệu hóa quy trình xác thực điện tử". Thực tiễn cho thấy đã xuất hiện các nhóm đối tượng chuyên viết phần mềm can thiệp như: camera ảo (Virtual Camera), cung cấp dịch vụ Deepfake vượt qua bước nhận diện sinh trắc học (Liveness Detection) của ngân hàng và ví điện tử để bán cho các đường dây lừa đảo.

2. Về cơ chế tạm dừng, khôi phục hiệu lực danh tính điện tử và mã định danh (Điều 17)

Thực tế thời gian qua cho thấy: Các vụ việc tấn công chiếm quyền điều khiển tài khoản (Account Take over), lừa đảo chiếm đoạt tài sản hoặc phát tán mã độc qua danh tính điện tử diễn ra trên không gian mạng với tốc độ tính bằng giây. Nếu thực hiện theo trình tự hành chính thông thường sẽ không kịp thời ngăn chặn hậu quả. Do đó, tôi xin kiến nghị bổ sung vào Điều 17 một khoản quy định về "Tạm dừng hiệu lực khẩn cấp". Cho phép hệ thống tự động tạm dừng hoặc lực lượng chuyên trách bảo vệ an ninh mạng, cơ quan điều tra thực hiện lệnh phong tỏa/tạm dừng tức thời trên môi trường điện tử (trong thời hạn 24–48 giờ để xác minh) khi phát hiện danh tính điện tử đang bị chiếm quyền điều khiển hoặc đang được sử dụng làm công cụ thực hiện hành vi xâm phạm an ninh quốc gia, trật tự an toàn xã hội trên không gian mạng.

3. Về Nhật ký xác thực, chứng cứ điện tử và truy vết danh tính điện tử (Điều 16, Điều 28 và Điều 31)

Để dữ liệu nhật ký xác thực (Log) thực sự chuyển hóa thành chứng cứ điện tử hợp pháp phục vụ điều tra hình sự và xử phạt vi phạm hành chính về an ninh mạng, tôi xin có 3 kiến nghị:

- (1) Đối với “mọi hoạt động xác thực phải được ghi nhận đầy đủ vào nhật kí xác thực và lưu trữ” (Tại Khoản 2 Điều 28): Đề nghị bổ sung quy định rõ các trường thông tin kỹ thuật tối thiểu phải có trong nhật ký xác thực để phục vụ truy vết tội phạm (gồm: Mã định danh, thời gian chuẩn đồng bộ quốc gia, địa chỉ IP nguồn, thông tin định danh thiết bị đầu cuối/Device ID, phương thức và mức độ xác thực).

- (2) Đối với mô hình xác thực độc lập (Tại Điểm b Khoản 2 Điều 28): Cần quy định rõ tần suất đồng bộ nhật ký xác thực về Hệ thống định danh và xác thực điện tử của Bộ Công an phải theo thời gian thực (real-time) hoặc định kỳ trong ngày, tránh việc tổ chức lưu trữ cục bộ lâu ngày dẫn đến nguy cơ bị can thiệp, xóa dấu vết khi xảy ra sự cố an ninh mạng.

- (3) Đối với Dữ liệu về kết quả xác thực (Tại Khoản 3 và Khoản 4 Điều 28): Đề nghị bổ sung yêu cầu nhật ký xác thực khi lưu trữ và trích xuất phải được áp dụng chữ ký số và dấu thời gian (Timestamp) của hệ thống quản lý để bảo đảm tính toàn vẹn, chống chối bỏ, giúp cơ quan tiến hành tố tụng và cơ quan có thẩm quyền xử phạt hành chính sử dụng trực tiếp làm chứng cứ mà không phát sinh thủ tục giám định lại.

4. Về cơ chế "Tiền kiểm" an ninh mạng đối với Tổ chức cung cấp dịch vụ định danh và xác thực điện tử (Điều 36 và Khoản 5 Điều 43)

Khoản 5 Điều 43 khẳng định: "Kinh doanh dịch vụ định danh điện tử" là ngành nghề kinh doanh có điều kiện của Luật Đầu tư 2015.

Định danh và xác thực điện tử là hạ tầng cốt lõi của an ninh quốc gia và trật tự an toàn trên không gian mạng. Việc chỉ yêu cầu tổ chức cung cấp dịch vụ định danh và xác thực điện tử phải "thông báo cho Bộ Công an ... trước khi cung cấp dịch vụ" tại khoản 3 Điều 36 là cơ chế hậu kiểm, không tương xứng với tính chất của ngành nghề kinh doanh có điều kiện tại khoản 5 Điều 43.

Do đó, tôi xin đề nghị sửa đổi Khoản 3 Điều 36 theo hướng áp dụng cơ chế "Tiền kiểm", theo đó, quy định: Tổ chức cung cấp dịch vụ định danh và xác thực điện tử phải được Bộ Công an thẩm định hệ thống kỹ thuật, phương án bảo đảm an ninh mạng và cấp Giấy chứng nhận đủ điều kiện (hoặc Giấy phép hoạt động) trước khi chính thức cung cấp dịch vụ.

Đồng thời, tại Khoản 5 Điều 43: hiện chỉ ghi bổ sung ngành nghề "Kinh doanh dịch vụ định danh điện tử", trong khi Chương V và khoản 1 Điều 36 điều chỉnh cả 02 loại hình là "Dịch vụ định danh điện tử" và "Dịch vụ xác thực điện tử". Do đó, tôi xin kiến nghị bổ sung cụm từ “xác thực điện tử” vào khoản 5 Điều 43 và điều chỉnh thành: "Kinh doanh dịch vụ định danh và xác thực điện tử" để tránh lỗ hổng pháp lý đối với các tổ chức chỉ cung cấp dịch vụ xác thực trung gian.

Khả Tú