Xác thực sinh trắc học trên cổng dịch vụ công và bảo vệ dữ liệu cá nhân

Xác thực sinh trắc học trong cổng dịch vụ công: bản chất pháp lý và mục tiêu quản lý

Trong môi trường dịch vụ công trực tuyến, xác thực sinh trắc học được sử dụng để chứng minh đúng danh tính người nộp hồ sơ, giảm giả mạo, tăng độ tin cậy của giao dịch điện tử và hỗ trợ liên thông dữ liệu giữa các hệ thống. Về mặt pháp lý, đây không chỉ là một giải pháp kỹ thuật mà còn là hoạt động xử lý dữ liệu cá nhân, vì dữ liệu dùng để xác thực gắn trực tiếp với một cá nhân cụ thể.

Cần phân biệt rõ giữa việc xác thực danh tính và việc thu thập, lưu trữ dài hạn dữ liệu sinh trắc học. Pháp luật cho phép áp dụng biện pháp xác thực phù hợp, nhưng việc xử lý dữ liệu sinh trắc học luôn phải đặt dưới khuôn khổ bảo vệ dữ liệu cá nhân và nguyên tắc kiểm soát chặt chẽ mục đích sử dụng.

Dữ liệu sinh trắc học được pháp luật bảo vệ ở mức cao

Theo khoản 1 Điều 2 Nghị định 13/2023/NĐ-CP, dữ liệu cá nhân là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể. Theo khoản 3 Điều 2 Nghị định 13/2023/NĐ-CP, dữ liệu cá nhân nhạy cảm là dữ liệu gắn liền với quyền riêng tư của cá nhân mà khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp tới quyền và lợi ích hợp pháp của cá nhân, trong đó có dữ liệu sinh trắc học.

Hệ quả pháp lý của việc xếp dữ liệu sinh trắc học vào nhóm nhạy cảm là rất rõ ràng: chủ thể dữ liệu được bảo vệ ở mức chặt hơn, còn bên xử lý dữ liệu phải đáp ứng nghĩa vụ cao hơn về minh bạch, bảo mật, giới hạn mục đích và an toàn hệ thống. Việc lấy sinh trắc học không được coi là thao tác hành chính đơn giản, mà là hoạt động xử lý dữ liệu có rủi ro cao đối với quyền riêng tư.

Người dân cần lưu ý gì trước khi xác thực sinh trắc học?

1. Chỉ cung cấp khi biết rõ mục đích xử lý

Người dân cần kiểm tra lý do hệ thống yêu cầu xác thực: phục vụ đăng nhập, nộp hồ sơ, ký số, đối chiếu danh tính hay xác minh giao dịch. Theo nguyên tắc bảo vệ dữ liệu cá nhân tại Nghị định 13/2023/NĐ-CP, dữ liệu phải được thu thập cho mục đích xác định, rõ ràng và hợp pháp; việc xử lý vượt quá mục đích đã công bố là không phù hợp.

2. Xem ai là bên thu thập và bên vận hành hệ thống

Người dân cần nhận diện chủ thể chịu trách nhiệm xử lý dữ liệu: cơ quan nhà nước, đơn vị cung cấp nền tảng, hay đơn vị trung gian kỹ thuật. Thông tin về chủ thể xử lý, phạm vi xử lý, thời gian lưu trữ và cách thức liên hệ phải được công khai hoặc thông báo trước khi thực hiện xác thực.

3. Không nhầm lẫn giữa xác thực tức thời và lưu trữ lâu dài

Trong nhiều trường hợp, hệ thống chỉ cần đối chiếu sinh trắc học để xác minh rồi trả kết quả, không nhất thiết phải giữ lại toàn bộ dữ liệu gốc. Người dân cần yêu cầu làm rõ dữ liệu nào được lưu, lưu bao lâu, có tạo bản sao sinh trắc học hay không và dữ liệu có được chia sẻ cho bên thứ ba hay không.

4. Kiểm tra cơ chế đồng ý và quyền rút lại đồng ý

Theo Nghị định 13/2023/NĐ-CP, việc xử lý dữ liệu cá nhân phải gắn với căn cứ xử lý phù hợp, trong đó có sự đồng ý của chủ thể dữ liệu khi pháp luật yêu cầu. Người dân cần đọc rõ nội dung chấp thuận, tránh xác nhận theo thói quen, và cần biết cách rút lại đồng ý hoặc yêu cầu dừng xử lý khi không còn nhu cầu sử dụng.

5. Theo dõi dấu hiệu lạm dụng hoặc yêu cầu vượt mức cần thiết

Yêu cầu cung cấp sinh trắc học chỉ hợp lý khi tương xứng với tính chất của thủ tục. Nếu một thủ tục đơn giản lại đòi thu thập quá nhiều thông tin, hoặc yêu cầu chụp, quét, lưu trữ không giải thích rõ, người dân cần dừng thao tác và yêu cầu làm rõ căn cứ pháp lý, mục đích và chính sách bảo vệ dữ liệu.

Những nghĩa vụ cốt lõi của cơ quan, tổ chức khi thu thập sinh trắc học

Cơ quan, tổ chức xử lý dữ liệu phải tuân thủ nguyên tắc tối thiểu hóa, chỉ thu thập những dữ liệu cần thiết cho mục đích đã xác định. Dữ liệu sinh trắc học là dữ liệu nhạy cảm nên yêu cầu về an toàn hệ thống, phân quyền truy cập, ghi nhật ký xử lý, mã hóa và kiểm soát rò rỉ phải được đặt ở mức cao hơn so với dữ liệu thông thường.

Việc triển khai xác thực sinh trắc học trên cổng dịch vụ công cũng phải bảo đảm minh bạch về chính sách xử lý dữ liệu, có đầu mối tiếp nhận yêu cầu của người dân và có quy trình xử lý sự cố an toàn thông tin. Nếu dữ liệu bị dùng sai mục đích hoặc chia sẻ không đúng thẩm quyền, rủi ro pháp lý không chỉ thuộc về đơn vị vận hành mà còn ảnh hưởng trực tiếp đến niềm tin vào dịch vụ công số.

Rủi ro pháp lý thường gặp và cách tự bảo vệ

Rủi ro phổ biến nhất là việc người dùng đồng ý trong trạng thái thiếu thông tin, dẫn đến việc dữ liệu bị lưu vượt quá nhu cầu thực tế. Rủi ro tiếp theo là lộ lọt dữ liệu sinh trắc học, bởi khác với mật khẩu, sinh trắc học gắn với cơ thể con người nên gần như không thể thay thế nếu bị xâm phạm.

Để tự bảo vệ, người dân nên chỉ thực hiện xác thực trên nền tảng chính thống, kiểm tra kỹ tên miền, ứng dụng, thông báo quyền truy cập và chính sách xử lý dữ liệu. Khi phát hiện dấu hiệu bất thường, cần lưu lại bằng chứng, ngừng cung cấp dữ liệu, liên hệ bộ phận hỗ trợ và yêu cầu giải thích bằng văn bản nếu cần thiết.

Kết luận

Xác thực sinh trắc học trên cổng dịch vụ công là xu hướng kỹ thuật gắn với chuyển đổi số hành chính, nhưng không làm giảm yêu cầu bảo vệ dữ liệu cá nhân. Theo Nghị định 13/2023/NĐ-CP, dữ liệu sinh trắc học thuộc nhóm dữ liệu cá nhân nhạy cảm, vì vậy việc thu thập và xử lý phải có mục đích rõ ràng, tối thiểu cần thiết và an toàn nghiêm ngặt.

Đối với người dân, nguyên tắc quan trọng nhất là chỉ cung cấp dữ liệu khi đã biết rõ ai thu thập, dùng vào việc gì, lưu bao lâu và có quyền kiểm soát ra sao. Đối với cơ quan, tổ chức, trách nhiệm trung tâm là bảo đảm tính hợp pháp, minh bạch và an toàn của toàn bộ vòng đời dữ liệu.

Tài liệu tham khảo

• Nghị định số 13/2023/NĐ-CP ngày 17/4/2023 về bảo vệ dữ liệu cá nhân.
• Cổng thông tin điện tử Chính phủ, Nghị định số 13/2023/NĐ-CP.
• Cổng Dịch vụ công quốc gia.
• Cổng Thông tin điện tử Bộ Công an về định danh và xác thực điện tử.
• Trang thông tin xây dựng chính sách của Chính phủ về triển khai thủ tục hành chính điện tử và dữ liệu sinh trắc học.