Trong xu hướng chuyển đổi số hiện nay, việc mở rộng hoạt động định danh và xác thực điện tử với sự tham gia của không chỉ nhà nước mà cả các tổ chức cung cấp dịch vụ đặt ra yêu cầu xác lập một chế độ trách nhiệm pháp lý cụ thể cho từng nhóm chủ thể. Dự thảo Luật Định danh và xác thực điện tử đã bước đầu xây dựng hệ thống nghĩa vụ từ điều kiện cung cấp dịch vụ, bảo đảm chất lượng và tính liên tục của hệ thống, giới hạn xử lý dữ liệu, lưu trữ nhật ký xác thực, thông báo sự cố, bồi thường thiệt hại đến trách nhiệm trong trường hợp sử dụng trí tuệ nhân tạo. Các quy định trong Dự thảo Luật cho thấy trách nhiệm của tổ chức cung cấp dịch vụ không chỉ phát sinh từ hợp đồng mà còn là trách nhiệm bảo đảm an toàn hệ thống, bảo vệ dữ liệu và duy trì niềm tin trong giao dịch điện tử.

Bài viết phân tích trên cơ sở Dự thảo Luật (bản ngày 04/7/2026) do Bộ Công an công bố lấy ý kiến từ ngày 13/7 đến ngày 02/8/2026. Qua các lần chỉnh lý, dự thảo trình Quốc hội khóa XVI tại Kỳ họp thứ 2 gồm 8 chương, 46 điều. Trách nhiệm pháp lý của tổ chức cung cấp dịch vụ được thể hiện ở những nội dung sau:

Thứ nhất, Dự thảo đặt ra điều kiện và cơ chế quản lý đối với tổ chức cung cấp dịch vụ.

Điều 37, Điều 38 của Dự thảo quy định trực tiếp về dịch vụ, điều kiện và cơ chế quản lý đối với tổ chức cung cấp dịch vụ định danh, xác thực điện tử. Theo đó, nhà cung cấp phải đáp ứng các yêu cầu về tư cách pháp lý, năng lực tài chính, hạ tầng công nghệ, nhân sự chuyên môn, quy trình nghiệp vụ, bảo vệ dữ liệu và các yêu cầu kỹ thuật; riêng dịch vụ xác thực dữ liệu trong cơ sở dữ liệu quốc gia, cơ sở dữ liệu chuyên ngành và Hệ thống định danh và xác thực điện tử chỉ do đơn vị sự nghiệp công lập hoặc doanh nghiệp nhà nước đáp ứng điều kiện cung cấp. Đối với dịch vụ định danh điện tử, dự thảo còn đặt cơ chế thông báo với Bộ Công an trước khi cung cấp dịch vụ về đối tượng thực hiện định danh, các trường thông tin của danh tính điện tử được cấp, hệ thống và phương án thực hiện. Đồng thời, quy định cũng xác định các điều kiện về bảo vệ dữ liệu người dùng, an ninh mạng, kết nối kỹ thuật với hệ thống và bảo hiểm trách nhiệm. Do đó, Điều 37 và Điều 38 của Dự thảo luật không chỉ là quy định về điều kiện gia nhập thị trường mà còn xác lập chuẩn trách nhiệm nghề nghiệp của nhà cung cấp. Từ đó, khi một tổ chức đã được trao quyền xử lý dữ liệu và cung cấp kết quả định danh, xác thực cho chủ thể khác sử dụng, năng lực kỹ thuật, nhân sự, quy trình kiểm soát và khả năng bảo đảm tài chính phải trở thành những điều kiện được duy trì trong suốt quá trình hoạt động.

Đặc biệt, quy định về nghĩa vụ mua bảo hiểm trách nhiệm đối với hoạt động cung cấp dịch vụ (điểm h khoản 1 Điều 38) cho thấy dự thảo đã bước đầu tính đến khả năng thiệt hại xảy ra trên quy mô lớn và yêu cầu phải có nguồn tài chính bảo đảm cho việc khắc phục hậu quả. Trách nhiệm của nhà cung cấp cũng không chấm dứt khi tổ chức ngừng hoạt động. Dự thảo yêu cầu tổ chức thông báo cho chủ thể danh tính điện tử, bên sử dụng dịch vụ xác thực và Bộ Công an chậm nhất 30 ngày trước ngày dự kiến chấm dứt; chuyển giao đầy đủ dữ liệu danh tính, mã định danh, nhật ký xác thực cho tổ chức tiếp nhận và bồi thường thiệt hại (nếu có). Trường hợp không thỏa thuận được việc chuyển giao, Bộ Công an chỉ định tổ chức tiếp nhận.

Thứ hai, Dự thảo Luật xác định trách nhiệm đối với việc đồng bộ và khai thác dữ liệu.

Điều 34 của dự thảo quy định trực tiếp về phạm vi dữ liệu được đồng bộ trong hệ thống định danh và xác thực điện tử, theo đó dữ liệu được thu thập, cập nhật, đồng bộ vào Cơ sở dữ liệu quốc gia về định danh và xác thực điện tử, bao gồm: mã định danh, danh tính điện tử, loại đối tượng được định danh, cơ quan, tổ chức tạo lập danh tính điện tử, trạng thái hiệu lực của danh tính điện tử, lịch sử thực hiện hoạt động định danh và xác thực điện tử. Trong đó, cơ quan, tổ chức thực hiện hoạt động định danh có trách nhiệm đồng bộ dữ liệu về Cơ sở dữ liệu quốc gia về định danh và xác thực điện tử trong các trường hợp sau: Khi tạo lập danh tính điện tử; Khi có thay đổi thông tin danh tính điện tử; Khi tạm dừng, chấm dứt hiệu lực danh tính điện tử; Trong vòng 24 giờ kể từ khi chủ thể danh tính điện tử thực hiện xác thực điện tử. Chính phủ được giao quy định chi tiết điều này. Đây là quy định có ý nghĩa quan trọng đối với trách nhiệm của tổ chức cung cấp dịch vụ vì quy định xác định phạm vi dữ liệu mà tổ chức buộc phải đồng bộ. Về nguyên tắc, định danh, xác thực chỉ đòi hỏi những dữ liệu đủ để xác định đối tượng và kiểm chứng giao dịch, không mặc nhiên trao quyền cho nhà cung cấp thu thập toàn bộ nội dung của giao dịch. Do đó, trách nhiệm pháp lý cần được xác định theo nguyên tắc: tổ chức chỉ được thu thập, đồng bộ và lưu giữ lượng dữ liệu cần thiết cho mục đích định danh, xác thực; việc mở rộng phạm vi xử lý dữ liệu ngoài mục đích này phải có căn cứ pháp luật tương ứng, phù hợp với yêu cầu hạn chế dữ liệu ở mức cần thiết của pháp luật về bảo vệ dữ liệu cá nhân.

Tuy nhiên, dự thảo mới liệt kê các nhóm dữ liệu phải đồng bộ mà chưa loại trừ rõ dữ liệu về nội dung giao dịch, cũng chưa quy định thời hạn lưu trữ tối đa đối với dữ liệu tập trung, nhất là dữ liệu về lịch sử thực hiện hoạt động định danh và xác thực điện tử. Khi các nội dung này được bổ sung, quy định về đồng bộ dữ liệu mới thực sự tạo ra ranh giới rõ ràng giữa quyền khai thác dữ liệu phục vụ hoạt động kinh doanh với nghĩa vụ bảo vệ quyền riêng tư và dữ liệu của người sử dụng.

Thứ ba, Dự thảo luật quy định trách nhiệm của tổ chức cung cấp dịch vụ.

Điều 43 Dự thảo quy định về trách nhiệm của tổ chức cung cấp dịch vụ định danh và xác thực điện tử, theo đó, tổ chức cung cấp dịch vụ định danh và xác thực điện tử có trách nhiệm: Bảo đảm chất lượng, tính liên tục và an toàn của dịch vụ; bảo vệ dữ liệu người dùng; Không thu thập, xử lý dữ liệu danh tính ngoài phạm vi dịch vụ được phép và mục đích đã thông báo với người dùng; Lưu trữ nhật ký xác thực, báo cáo cơ quan nhà nước có thẩm quyền theo quy định; Thông báo kịp thời cho cơ quan nhà nước có thẩm quyền và người dùng bị ảnh hưởng khi xảy ra sự cố ảnh hưởng đến tính toàn vẹn, bảo mật dữ liệu danh tính hoặc kết quả xác thực; Khi chấm dứt hoặc tạm ngừng cung cấp dịch vụ, phải thông báo trước cho người dùng và cơ quan nhà nước có thẩm quyền, bảo đảm người dùng có đủ thời gian và điều kiện chuyển sang dịch vụ thay thế hoặc khôi phục quyền kiểm soát dữ liệu danh tính; Tuân thủ quy định của pháp luật về an toàn thông tin mạng, an ninh mạng, giao dịch điện tử và bảo vệ dữ liệu cá nhân; Chịu trách nhiệm trước pháp luật về việc cung cấp dịch vụ định danh điện tử, xác thực điện tử của mình; bồi thường thiệt hại cho bên sử dụng dịch vụ, chủ thể danh tính điện tử theo quy định của pháp luật dân sự; Niêm yết công khai phí cung cấp dịch vụ.

Quy định này là căn cứ để xác định hành vi vi phạm của tổ chức cung cấp dịch vụ, bởi trách nhiệm pháp lý chỉ phát sinh khi chủ thể không thực hiện hoặc thực hiện không đầy đủ một nghĩa vụ đã được pháp luật xác định. Như vậy, quy định tại Điều 43 đã tạo cơ sở pháp lý để xác định trách nhiệm của tổ chức cung cấp dịch vụ khi không thực hiện hoặc thực hiện không đầy đủ các nghĩa vụ về chất lượng, an toàn, bảo vệ dữ liệu, thông báo sự cố và bồi thường thiệt hại. Trách nhiệm bồi thường được dẫn chiếu về pháp luật dân sự: trong quan hệ với bên sử dụng dịch vụ, thiệt hại được giải quyết theo Điều 360 Bộ luật Dân sự năm 2015 về trách nhiệm bồi thường thiệt hại do vi phạm nghĩa vụ; đối với chủ thể danh tính điện tử không có quan hệ hợp đồng với nhà cung cấp, căn cứ áp dụng là Điều 584 Bộ luật Dân sự năm 2015 về căn cứ phát sinh trách nhiệm bồi thường thiệt hại ngoài hợp đồng.

Tuy vậy, vi phạm trong lĩnh vực định danh, xác thực có mức độ nguy hiểm rất khác nhau: hành vi chậm báo cáo hoặc vi phạm thủ tục không thể được đánh giá giống với hành vi cố ý làm lộ dữ liệu, giả mạo hoặc làm sai lệch kết quả xác thực, hay để hệ thống mất an toàn gây hậu quả nghiêm trọng. Điều 43 mới dừng ở việc liệt kê nghĩa vụ và dẫn chiếu sang pháp luật về an toàn thông tin mạng, an ninh mạng, giao dịch điện tử và bảo vệ dữ liệu cá nhân. Vì vậy, việc phân hóa trách nhiệm theo tính chất, mức độ vi phạm và việc phân định phạm vi áp dụng giữa các văn bản này cần tiếp tục được làm rõ, để tránh tình trạng một hành vi đồng thời bị điều chỉnh không thống nhất bởi nhiều đạo luật.

Thứ tư, Dự thảo luật đã xác định trách nhiệm đối với kết quả định danh, xác thực sử dụng trí tuệ nhân tạo.

Điều 45 của Dự thảo đã xác định trách nhiệm đối với kết quả định danh, xác thực sử dụng trí tuệ nhân tạo như sau: (1) Tổ chức cung cấp dịch vụ định danh và xác thực điện tử có sử dụng trí tuệ nhân tạo phải triển khai và duy trì biện pháp kỹ thuật phòng chống giả mạo sinh trắc học và hình ảnh giả tạo bằng công nghệ đáp ứng tiêu chuẩn do cơ quan nhà nước có thẩm quyền quy định. Các biện pháp này phải được cập nhật phù hợp với sự phát triển của các phương thức tấn công mới; (2) Hệ thống trí tuệ nhân tạo sử dụng trong hoạt động định danh và xác thực điện tử phải đáp ứng các yêu cầu sau: Được kiểm thử, đánh giá độc lập về độ chính xác, độ tin cậy, độ thiên lệch và khả năng chống tấn công đối kháng trước khi đưa vào sử dụng; Có cơ chế giám sát liên tục, phát hiện và xử lý kịp thời các sai lệch, sự cố trong quá trình vận hành; Bảo đảm tính minh bạch, có thể giải thích được kết quả; lưu trữ đầy đủ nhật ký quyết định để phục vụ kiểm tra, đối soát và truy vết khi có khiếu nại; Tuân thủ quy định pháp luật về trí tuệ nhân tạo và pháp luật chuyên ngành có liên quan; (3) Khi xảy ra sự cố tấn công giả mạo bằng trí tuệ nhân tạo dẫn đến xác thực sai danh tính, tổ chức cung cấp dịch vụ phải thông báo ngay cho cơ quan quản lý nhà nước có thẩm quyền và chủ thể bị ảnh hưởng theo quy định về ứng phó sự cố an toàn thông tin mạng; (4) Tổ chức, cá nhân quản lý hệ thống trí tuệ nhân tạo chịu trách nhiệm về tính chính xác kỹ thuật của hệ thống theo cam kết dịch vụ. Tổ chức, cá nhân sử dụng kết quả định danh và xác thực từ hệ thống trí tuệ nhân tạo chịu trách nhiệm cuối cùng về quyết định của mình trên cơ sở kết quả đó.

Quy định của dự thảo đã tạo cơ sở pháp lý cho việc phân bổ trách nhiệm trong hệ thống trí tuệ nhân tạo, theo đó, chủ thể quản lý hệ thống chịu trách nhiệm về tính chính xác kỹ thuật, còn chủ thể sử dụng kết quả chịu trách nhiệm về quyết định của mình trên cơ sở kết quả đó.

Thứ năm, Dự thảo tạo cơ sở pháp lý cho việc bảo đảm quyền lợi của chủ thể danh tính điện tử đi cùng trách nhiệm.

Điều 44 Dự thảo Luật quy định về quyền và nghĩa vụ của chủ thể danh tính điện tử, theo đó: (1) Quyền của chủ thể danh tính điện tử gồm: Được đăng ký, cấp, quản lý và sử dụng danh tính điện tử theo quy định của pháp luật; Được bảo đảm an toàn, bảo mật thông tin danh tính điện tử và dữ liệu cá nhân trong quá trình tạo lập, xác thực và sử dụng danh tính điện tử; Kiểm soát việc sử dụng danh tính điện tử của mình; quyết định phạm vi, đối tượng và thời hạn chia sẻ thông tin danh tính để thực hiện giao dịch điện tử, thủ tục hành chính, dịch vụ công và các giao dịch hợp pháp khác; Được yêu cầu cập nhật, chỉnh sửa thông tin danh tính điện tử khi có sai sót hoặc thay đổi theo quy định; Được thông báo kịp thời khi dữ liệu danh tính điện tử của mình bị xâm phạm; Khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại khi quyền lợi bị xâm phạm theo quy định của pháp luật; (2) Chủ thể danh tính điện tử có các nghĩa vụ sau: Cung cấp thông tin trung thực, chính xác, đầy đủ trong quá trình đăng ký và sử dụng danh tính điện tử; cập nhật kịp thời khi có thay đổi; Bảo vệ thông tin danh tính điện tử, phương tiện xác thực; Thông báo ngay cho tổ chức cung cấp dịch vụ xác thực điện tử khi mất kiểm soát phương tiện xác thực hoặc phát hiện có người sử dụng trái phép danh tính điện tử của mình hoặc lý do khác có thể gây mất an toàn sử dụng dịch vụ.

Đây là quy định có ý nghĩa quan trọng bởi chủ thể danh tính điện tử thường ở vị trí bất lợi về chứng cứ, do có thể rơi vào trường hợp biết giao dịch hoặc kết quả xác thực đã xảy ra sai sót nhưng không thể tự xác định lỗi nằm ở cơ sở dữ liệu, thuật toán, thiết bị xác thực hay hệ thống trung gian. Do đó, việc quy định rõ ràng về quyền cũng như nghĩa vụ tự bảo vệ của chủ thể danh tính điện tử cũng giúp các chủ thể này bảo vệ quyền và lợi ích hợp pháp của mình tốt hơn cũng như xác định trách nhiệm pháp lý của chủ thể cung cấp dịch vụ thuận lợi hơn. Để quyền khiếu nại, khởi kiện và yêu cầu bồi thường được thực hiện trên thực tế, chủ thể danh tính điện tử cần được tiếp cận nhật ký xác thực mà tổ chức cung cấp dịch vụ phải lưu trữ theo Điều 43 và nhật ký quyết định của hệ thống trí tuệ nhân tạo theo Điều 45; danh mục quyền tại Điều 44 chưa ghi nhận trực tiếp quyền này. Tại phiên họp thẩm tra chính thức ngày 30/9/2026, Ủy ban Quốc phòng, An ninh và Đối ngoại của Quốc hội cũng đề nghị phân biệt quyền sở hữu với quyền quản lý, sử dụng danh tính điện tử, bổ sung quy định về ủy quyền và quyền yêu cầu xóa dữ liệu không còn cần thiết.

Có thể thấy, Dự thảo Luật Định danh và xác thực điện tử đã từng bước hình thành một chế độ trách nhiệm pháp lý tương đối toàn diện đối với tổ chức cung cấp dịch vụ trên các phương diện: đặt ra điều kiện tham gia và duy trì hoạt động; xác định phạm vi đồng bộ dữ liệu; xác định nghĩa vụ và trách nhiệm bồi thường thiệt hại; phân bổ trách nhiệm nói chung và đối với hệ thống trí tuệ nhân tạo nói riêng. Từ đó, dự thảo góp phần mở rộng xã hội hóa dịch vụ nhưng vẫn bảo đảm an toàn pháp lý và niềm tin của người sử dụng trong môi trường số. Những vấn đề còn để ngỏ, gồm giới hạn dữ liệu được đồng bộ, việc phân hóa trách nhiệm theo mức độ vi phạm và cơ chế phân bổ rủi ro khi hệ thống trí tuệ nhân tạo xác thực sai, cần tiếp tục được hoàn thiện trong quá trình Quốc hội xem xét, thông qua dự án Luật tại Kỳ họp thứ 2, Quốc hội khóa XVI./.

Phạm Thị Hồng Nghĩa - Khoa Luật, Học viện ANND.