Vietnam Pertahankan Perlindungan Privasi Ketika Rang Undang-Undang Perluas Pemeriksaan ID Digital Wajib

Pemeriksaan Identiti Wajib Meletakkan Persetujuan di Pusat Perbahasan

Rang Undang-Undang Vietnam mengenai Pengenalpastian dan Pengesahan Elektronik yang dicadangkan akan mewajibkan pemeriksaan ID digital kebangsaan bagi transaksi dalam 11 sektor, daripada perbankan dan penjagaan kesihatan hingga aset kripto dan permainan dalam talian. Menjawab soalan penggubal undang-undang pada 4 November 2026, Menteri Keselamatan Awam Lương Tam Quang berkata sistem itu hanya akan mengumpulkan maklumat yang diperlukan, memerlukan persetujuan dan tidak menyertakan kandungan transaksi dalam rekod pengenalpastian yang disegerakkan.

Cadangan itu juga akan membolehkan agensi kerajaan mewujudkan identiti digital secara automatik apabila pangkalan data kebangsaan atau khusus sudah mengandungi maklumat yang lengkap dan tepat. Orang ramai dan organisasi yang tertakluk pada peruntukan itu tidak perlu menyerahkan butiran yang sama sekali lagi atau mendaftar secara berasingan.

Kedua-dua ciri itu meletakkan satu persoalan praktikal di tengah-tengah perbahasan parlimen: bagaimana orang ramai boleh menggunakan hak untuk memberi persetujuan apabila pengesahan diperlukan untuk menggunakan sesuatu perkhidmatan dan identiti boleh diwujudkan berdasarkan maklumat yang sudah dimiliki kerajaan? Quang menggariskan perlindungan privasi, manakala penggubal undang-undang mahukan had pengumpulan yang lebih jelas, tanggungjawab lebih besar bagi penyedia teknologi dan peraturan yang membezakan aktiviti rutin daripada transaksi berisiko lebih tinggi.

Cadangan itu sedang dipertimbangkan bersama draf Rang Undang-Undang Keselamatan Data semasa sidang kedua Perhimpunan Kebangsaan ke-16. Kedua-dua rang undang-undang itu akan menetapkan peraturan bagi mewujudkan identiti digital, memeriksa siapa yang menggunakannya dan melindungi data berkaitan.

Jaminan Menteri Mengenai Privasi

Quang, yang mengetuai kementerian yang mengemukakan rang undang-undang pengenalpastian itu, memberitahu penggubal undang-undang bahawa perlindungan privasi akan terpakai pada maklumat yang dikumpulkan serta cara sistem pengenalpastian bertukar-tukar maklumat. Beliau menghuraikan perlindungan yang dicadangkan seperti berikut:

Pengumpulan data minimum mesti mendapat persetujuan subjek data; kandungan transaksi tidak boleh disegerakkan; dan hasil pengesahan tidak boleh dikongsi di luar skop yang dibenarkan.

Subjek data ialah orang yang maklumatnya sedang diproses. Dalam istilah mudah, jaminan Quang bermaksud sistem itu sepatutnya hanya mengumpulkan maklumat yang diperlukan untuk mengenal pasti seseorang, sementara butiran transaksi tidak dimasukkan dalam data pengenalpastian yang disegerakkan.

Quang turut berkata prinsip, syarat, skop dan tujuan yang mengawal pemprosesan data peribadi akan terus tertakluk pada undang-undang perlindungan data peribadi sedia ada. Pengenalpastian dan pengesahan elektronik perlu mematuhi Perlembagaan serta melindungi hak dan kepentingan individu, organisasi dan agensi kerajaan.

Mekanisme persetujuan kekal sebagai isu utama bagi pengguna. Penjelasan di parlimen tidak memperincikan pilihan yang ada kepada seseorang jika penolakan pengumpulan data menghalangnya daripada menyelesaikan transaksi yang memerlukan pengesahan.

Perkhidmatan Yang Memerlukan Pengesahan

Klausa 5 Perkara 23 akan mewajibkan transaksi dalam sektor berikut disahkan melalui dan dipautkan kepada identiti elektronik kebangsaan:

• Sekuriti.
• Telekomunikasi.
• Perbankan.
• Perkhidmatan pos.
• E-dagang.
• Penjagaan kesihatan.
• Pengantara pembayaran.
• Dompet digital.
• Aset kripto.
• Permainan video dalam talian.
• Pendaftaran, penyewaan dan penggunaan nama domain.

Pengesahan bermaksud memeriksa sama ada seseorang yang menggunakan perkhidmatan ialah individu yang didakwanya. Pemautan menghubungkan akaun perkhidmatan atau transaksi kepada identiti elektronik kebangsaan orang itu. Bagi pelanggan, cadangan ini akan menjadikan identiti berkenaan sebahagian daripada akses kepada pelbagai aktiviti kewangan, komersial dan digital.

Menteri dan ketua agensi bertaraf kementerian juga boleh menetapkan transaksi dalam sektor lain jika transaksi itu berisiko tinggi atau mewujudkan kewajipan undang-undang yang besar. Oleh itu, skop sistem boleh melangkaui 11 sektor yang disenaraikan dalam rang undang-undang.

Thạch Phước Bình, seorang timbalan dari Vĩnh Long, mencadangkan supaya transaksi dikelaskan mengikut tahap risikonya. Contoh yang diberikannya menunjukkan pentingnya perincian: membuat janji temu perubatan mempunyai tahap sensitiviti yang berbeza daripada membuka rekod perubatan, sebagaimana menyemak akaun bank berbeza daripada membuat pindahan wang dalam jumlah besar.

Identiti Automatik dan Skop Pengenalpastian Kerajaan

Perkara 7 dan 8 menyentuh pihak atau perkara yang boleh menerima identiti elektronik serta kategori yang akan dikenal pasti oleh agensi kerajaan. Kategori itu melangkaui individu dan organisasi, merangkumi lokasi, ruang, entiti yang berkaitan dengan data teras atau penting, entiti yang disahkan memiliki atau menggunakan barangan yang dianggap berisiko tinggi, dan entiti yang melibatkan rahsia negara.

Kerajaan akan mengeluarkan senarai entiti yang tertakluk pada pengenalpastian oleh kerajaan serta menetapkan jadual pelaksanaannya. Bagi entiti tertentu di bawah Perkara 8, agensi akan mewujudkan identiti secara automatik dan mengeluarkan kod pengenalan kebangsaan apabila pangkalan data kebangsaan atau khusus sudah mengandungi maklumat yang lengkap dan tepat.

Manfaat pentadbiran itu jelas: organisasi atau individu tidak perlu memberikan maklumat yang sudah dimiliki kerajaan. Perbahasan privasi pula berkisar pada keluasan kategori, maklumat yang dikaitkan dengannya dan peraturan yang mengawal penggunaannya.

Ringkasan bertarikh 25 Oktober turut merangkumi pengenalpastian peristiwa, transaksi dan tingkah laku. Kementerian Kewangan, Kementerian Kehakiman, Kementerian Industri dan Perdagangan serta Mahkamah Agung Rakyat meminta penjelasan mengenai peluasan itu. Kedudukannya dalam rang undang-undang yang disemak masih tidak pasti kerana teks penuh yang dikemukakan kepada Perhimpunan Kebangsaan belum diumumkan kepada umum.

Dewan Perniagaan VCCI memberi amaran semasa rundingan bahawa perkataan dalam draf itu boleh menyebabkan hampir setiap transaksi komersial dan sivil biasa tertakluk pada kewajipan pengenalpastian. Pada 26 Oktober, Jawatankuasa Pertahanan Negara, Keselamatan dan Hal Ehwal Luar Negeri Perhimpunan Kebangsaan turut memberi amaran bahawa membenarkan agensi sektor atau penyedia perkhidmatan memilih medan data yang dikumpulkan boleh membawa kepada penyalahgunaan dan pelanggaran privasi.

Peraturan Berasingan Sudah Menetapkan Tarikh Akhir Pemautan Akaun

Rang undang-undang yang dicadangkan itu wujud bersama peraturan sedia ada, iaitu Dekri 320/2026, yang berkuat kuasa pada 28 September 2026. Dekri itu mewajibkan akaun transaksi elektronik tertentu dipautkan dan disahkan melalui VNeID, platform pengenalpastian elektronik kebangsaan Vietnam.

Kedua-dua langkah menyenaraikan 11 sektor, tetapi senarainya berbeza. Dekri itu merangkumi pendidikan, sekuriti, telekomunikasi, perbankan, e-dagang, invois elektronik, pengangkutan, pelancongan, farmaseutikal, penjagaan kesihatan dan rangkaian sosial Vietnam. Akaun di platform termasuk Facebook, TikTok dan Zalo juga dinyatakan tertakluk pada syarat pemautannya.

Tarikh akhir pemautan akaun perkhidmatan yang terlibat ialah 31 Disember 2026. Akaun bank mempunyai tarikh akhir yang lebih lewat, iaitu 30 Jun 2027. Rangkaian sosial tiada dalam senarai 11 sektor draf rang undang-undang itu, manakala aset kripto, dompet digital, permainan dalam talian dan perkhidmatan nama domain dinyatakan secara khusus.

Jadual masa itu merangkumi kewajipan sedia ada dan perubahan yang dicadangkan:

• Julai 2026: Vietnam menerima pakai strategi transformasi digital kebangsaan bagi tempoh lima tahun.
• 28 September 2026: Dekri 320/2026 berkuat kuasa.
• 25 dan 26 Oktober 2026: Ringkasan draf dan kebimbangan jawatankuasa parlimen menumpukan perhatian pada skop pengenalpastian.
• 4 November 2026: Perhimpunan Kebangsaan membahaskan rang undang-undang pengenalpastian dan keselamatan data.
• 21 November 2026: Sidang parlimen dijadualkan berakhir, dengan rang undang-undang pengenalpastian disenaraikan antara langkah yang dijangka diluluskan.
• 31 Disember 2026: Akaun perkhidmatan yang terlibat perlu dipautkan sebelum tarikh akhir.
• 30 Jun 2027: Tarikh akhir pemautan terpakai kepada akaun bank.

Mengapa Penggubal Undang-Undang Mahukan Lebih Daripada Pemeriksaan Biometrik

Phạm Trọng Nhân, seorang timbalan dari Bandar Raya Ho Chi Minh, memberi amaran bahawa kemajuan kecerdasan buatan melemahkan andaian tentang kebolehpercayaan wajah, suara dan cap jari. Beliau berkata biometrik masih diperlukan, tetapi tidak sepatutnya menjadi satu-satunya kaedah untuk mencegah penipuan.

Pengesahan biometrik memeriksa ciri fizikal atau tingkah laku yang dikaitkan dengan seseorang. Alat AI boleh meniru sesetengah ciri itu, sekali gus menyukarkan sistem membezakan pengguna tulen daripada individu yang mengemukakan bahan palsu.

Tô Ái Vang, seorang timbalan dari Cần Thơ, meminta tanggungjawab yang lebih jelas apabila sistem pengesahan AI menghasilkan keputusan yang salah. Beliau berkata cadangan itu meletakkan tanggungjawab muktamad pada organisasi atau individu yang membuat keputusan menggunakan hasil tersebut, sementara hubungan dengan pembangun atau penyedia teknologi juga perlu diberi perhatian.

Triệu Thị Ngọc Diễm, seorang lagi timbalan dari Cần Thơ, mencadangkan larangan nyata terhadap pengumpulan, penggunaan, pendedahan atau perkongsian data pengenalpastian dan faktor pengesahan tanpa kebenaran. Beliau menyebut risiko penjenayah memperdagangkan data wajah, data suara dan kata laluan sekali guna. Cadangannya menyentuh maklumat yang boleh digunakan untuk mengakses akaun orang lain.

Rang Undang-Undang Pengiring Akan Menyelaraskan Perlindungan Dengan Risiko

Draf Rang Undang-Undang Keselamatan Data akan memperkenalkan lima tahap risiko keselamatan data. Pengawal data, iaitu organisasi atau badan yang bertanggungjawab menentukan cara data diproses, akan mengelaskan risiko dan menerapkan perlindungan yang bersesuaian. Pengawasan kebanyakannya akan dijalankan melalui pemeriksaan selepas keputusan itu dibuat.

Perlindungan akan meliputi seluruh kitaran hayat data, daripada reka bentuk sistem hingga pemusnahan maklumat. Quang berkata tujuan pengelasan adalah untuk menyelaraskan kewajipan dengan kemudaratan yang boleh ditimbulkan oleh kebocoran, supaya aktiviti yang kurang sensitif tertakluk pada keperluan lebih ringan, manakala pendedahan yang lebih berbahaya menerima perlindungan lebih kukuh.

Lima tahap itu akan sepadan dengan lima tahap sistem maklumat di bawah undang-undang keselamatan siber. Klausa 4 Perkara 8 akan membolehkan organisasi menggunakan semula hasil pengelasan risiko keselamatan siber sedia ada, sekali gus mengelakkan dua penilaian berasingan terhadap sistem yang sama.

Tahap risiko yang dicadangkan akan beroperasi bersama kategori data teras dan penting di bawah Undang-Undang Data. Tahap itu akan menjadi panduan dalam memilih langkah keselamatan, sementara kategori sedia ada akan terus terpakai. Perbahasan itu turut menyentuh pembahagian tanggungjawab antara kementerian keselamatan awam dan pertahanan negara, kriptografi keselamatan serta kriptografi pascakuantum, yang direka untuk menahan serangan menggunakan komputer kuantum pada masa hadapan.

Data AI dan Pemindahan ke Luar Negara Tertakluk pada Kewajipan Berbeza

Rang undang-undang keselamatan data akan mewajibkan organisasi yang membangunkan atau menggunakan AI melindungi asal usul dan integriti data latihan serta data yang dihasilkan daripadanya. Rang undang-undang itu akan melarang peracunan data dan pengekstrakan tanpa kebenaran, serta memperuntukkan campur tangan dan pengawasan manusia terhadap keputusan automatik.

Peracunan data bermaksud merosakkan dengan sengaja maklumat yang digunakan untuk melatih sistem AI, yang berpotensi menyebabkan sistem itu menghasilkan keputusan yang tidak boleh dipercayai atau dimanipulasi. Bagi perkhidmatan pengenalpastian, kualiti dan keselamatan maklumat itu penting kerana kesilapan automatik boleh menentukan sama ada seseorang diterima atau ditolak.

Pemindahan dan pemprosesan rentas sempadan akan tertakluk pada prosedur berbeza mengikut tahap risiko. Data tahap satu dan dua akan dikecualikan daripada prosedur di bawah undang-undang ini. Pengawal yang mengendalikan data tahap tiga akan menjalankan penilaian sendiri dan menyimpan rekod.

Pemindahan data tahap empat dan lima memerlukan penilaian serta kelulusan pihak berkuasa yang berwibawa sebelum diteruskan. Rang undang-undang itu turut menangani permintaan data oleh pihak asing, kewajipan penyedia perkhidmatan yang beroperasi merentas sempadan dan penggunaan penilaian keselamatan data dalam prosedur pelaburan serta pemindahan teknologi sedia ada.

Skala VNeID Menjadikan Perincian Penting

Menjelang Oktober, VNeID telah mengeluarkan 86.4 juta akaun identiti elektronik kepada warga Vietnam. Platform itu mempunyai lebih daripada 70 ciri, merekodkan lebih 500 juta kunjungan dan menarik antara tiga juta hingga enam juta pengguna sehari.

Angka pengguna harian itu bersamaan kira-kira 3.5% hingga 6.9% daripada jumlah akaun yang telah dikeluarkan. Angka itu menggambarkan platform dengan pangkalan pendaftaran yang sangat besar, tetapi kumpulan pengguna harian yang lebih kecil, sebelum peranan platform dalam transaksi penting diperluas melalui undang-undang yang dicadangkan.

Kerajaan menyifatkan langkah pengenalpastian itu sebagai alat untuk memerangi penipuan dalam talian, menjamin infrastruktur digital dan mengurangkan beban pentadbiran di bawah strategi transformasi digital kebangsaannya. Bagi pengguna, perubahan nyata menyentuh akses kepada perkhidmatan, pengendalian rekod sedia ada dan tanggungjawab apabila pemeriksaan identiti tidak berjalan dengan betul.

Quang berkata agensi penggubal akan bekerjasama dengan jawatankuasa Perhimpunan Kebangsaan yang bertanggungjawab terhadap pertahanan, keselamatan dan hubungan luar untuk memasukkan pandangan timbalan serta melaporkan kepada Jawatankuasa Tetap sebelum memuktamadkan rang undang-undang itu. Pencapaian perundangan seterusnya ialah penutupan sidang yang dijadualkan pada 21 November; tarikh akhir pemautan akaun sedia ada tetap berkuat kuasa tanpa mengira perbahasan mengenai cadangan baharu itu.

Perkara Utama

• Rang undang-undang pengenalpastian yang dicadangkan akan mewajibkan pengesahan ID digital kebangsaan bagi transaksi dalam 11 sektor, dengan kuasa untuk menambah transaksi lain yang berisiko tinggi.
• Quang menjanjikan pengumpulan data minimum, persetujuan, had perkongsian hasil pengesahan dan larangan menyegerakkan kandungan transaksi.
• Agensi kerajaan boleh mewujudkan identiti tertentu secara automatik menggunakan maklumat lengkap dan tepat yang sudah disimpan dalam pangkalan data awam.
• Dekri berasingan menetapkan tarikh akhir pemautan akaun pada 31 Disember 2026, dan 30 Jun 2027 bagi akaun bank.
• Penggubal undang-undang meminta peraturan lebih kukuh mengenai tanggungjawab penyedia AI, penipuan biometrik dan penggunaan maklumat pengenalpastian tanpa kebenaran.
• Rang undang-undang keselamatan data pengiring mencadangkan lima tahap risiko, pengawasan manusia terhadap keputusan automatik dan prosedur lebih ketat bagi pemindahan data pada tahap risiko tertinggi.