Theo Luật Giao dịch điện tử, chữ ký điện tử của đối tác nước ngoài có được chấp nhận không?

Được — nhưng khoản 2 Điều 27 đặt trách nhiệm lên chính doanh nghiệp: tổ chức, cá nhân LỰA CHỌN và CHỊU TRÁCH NHIỆM về việc chấp nhận.

Khi ký hợp đồng với đối tác nước ngoài, doanh nghiệp Việt Nam thường nhận được tài liệu ký bằng chữ ký điện tử của các nhà cung cấp quốc tế. Điều 27 Luật Giao dịch điện tử 20/2023/QH15 quy định cách xử lý tình huống này.

Phạm vi áp dụng — khoản 1

Khoản 1 Điều 27 định nghĩa: chữ ký điện tử nước ngoài, chứng thư chữ ký điện tử nước ngoài được chấp nhận trong giao dịch quốc tế là chữ ký điện tử nước ngoài, chứng thư chữ ký điện tử nước ngoài của tổ chức, cá nhân nước ngoài không hiện diện tại Việt Nam, có hiệu lực trên thông điệp dữ liệu gửi đến tổ chức, cá nhân Việt Nam.

Ba điều kiện cấu thành:

• Chủ thể — tổ chức, cá nhân nước ngoài không hiện diện tại Việt Nam;
• Đối tượng — thông điệp dữ liệu gửi đến tổ chức, cá nhân Việt Nam;
• Bối cảnh — giao dịch quốc tế.

Điều kiện "không hiện diện tại Việt Nam" là điểm phân biệt quan trọng. Doanh nghiệp nước ngoài có chi nhánh, văn phòng đại diện tại Việt Nam thì không thuộc phạm vi Điều 27 và cần dùng chữ ký theo quy định chung.

Quyền lựa chọn và trách nhiệm — khoản 2

Khoản 2 Điều 27 quy định ngắn gọn nhưng có sức nặng: tổ chức, cá nhân lựa chọn và chịu trách nhiệm về việc chấp nhận chữ ký điện tử nước ngoài, chứng thư chữ ký điện tử nước ngoài trên thông điệp dữ liệu trong giao dịch quốc tế.

Cách tiếp cận này linh hoạt: Nhà nước không lập danh sách các nhà cung cấp chữ ký điện tử nước ngoài được công nhận, mà để doanh nghiệp tự quyết định.

Nhưng đi kèm là trách nhiệm. Nếu về sau phát sinh tranh chấp và chữ ký bị đặt vấn đề, doanh nghiệp Việt Nam là bên đã lựa chọn chấp nhận nó.

Việc cần làm trước khi chấp nhận

Từ nguyên tắc trên, quy trình thận trọng cho doanh nghiệp:

• Xác minh danh tính người ký qua kênh độc lập — không chỉ dựa vào thông tin trong chứng thư;
• Kiểm tra hiệu lực chứng thư tại thời điểm ký, không phải tại thời điểm nhận;
• Tìm hiểu tổ chức phát hành chứng thư — có uy tín, có được công nhận ở nước sở tại hay không;
• Lưu giữ toàn bộ dữ liệu kiểm tra chữ ký, không chỉ lưu tài liệu đã ký;
• Thỏa thuận trước trong hợp đồng khung về loại chữ ký được chấp nhận — vận dụng khoản 2 Điều 36 về quyền thỏa thuận yêu cầu kỹ thuật;
• Với giao dịch giá trị lớn, cân nhắc thêm biện pháp xác nhận — chẳng hạn yêu cầu xác nhận qua kênh liên lạc đã biết trước.

Điểm cuối đáng nhấn mạnh trong bối cảnh các vụ giả mạo thư điện tử doanh nghiệp ngày càng tinh vi. Chữ ký điện tử hợp lệ về mặt kỹ thuật vẫn có thể do người mạo danh sử dụng nếu họ chiếm được quyền kiểm soát.

Chữ ký điện tử chuyên dùng bảo đảm an toàn — Điều 25

Khoản 2 Điều 23 Luật 20/2023/QH15 quy định chữ ký điện tử chuyên dùng bảo đảm an toàn hoặc chữ ký số có giá trị pháp lý tương đương chữ ký của cá nhân trong văn bản giấy. Vậy làm sao để chữ ký chuyên dùng đạt mức "bảo đảm an toàn"?

Khoản 2 Điều 25 trả lời: chữ ký điện tử chuyên dùng bảo đảm an toàn là chữ ký điện tử chuyên dùng được cơ quan có thẩm quyền cấp chứng nhận chữ ký điện tử chuyên dùng bảo đảm an toàn.

Khoản 3 Điều 25 quy định trường hợp cần đăng ký: trường hợp cơ quan, tổ chức sử dụng chữ ký điện tử chuyên dùng để giao dịch với tổ chức, cá nhân khác hoặc có nhu cầu công nhận chữ ký điện tử chuyên dùng bảo đảm an toàn thì đăng ký để được cấp chứng nhận.

Hai tình huống kích hoạt nhu cầu đăng ký:

• Dùng để giao dịch với bên ngoài — không chỉ dùng nội bộ;
• Có nhu cầu được công nhận ở mức bảo đảm an toàn.

Nghĩa là: doanh nghiệp tự xây hệ thống ký điện tử và chỉ dùng trong nội bộ thì không bắt buộc đăng ký. Nhưng khi dùng chữ ký đó trong giao dịch với đối tác, cần đăng ký để chữ ký có giá trị tương đương chữ ký tay theo khoản 2 Điều 23.

Khoản 1 Điều 25 đặt một giới hạn: cơ quan, tổ chức tạo lập chữ ký điện tử chuyên dùng không được kinh doanh dịch vụ về chữ ký điện tử chuyên dùng.

Quy định này ngăn việc dùng cơ chế chữ ký chuyên dùng để lách điều kiện kinh doanh dịch vụ tin cậy tại Điều 28 và Điều 29. Muốn kinh doanh dịch vụ chứng thực chữ ký số thì phải theo con đường cấp phép chính thức.

Khoản 4 Điều 25 giao Chính phủ quy định chi tiết Điều này.

Chứng thư điện tử — điều kiện có giá trị pháp lý

Khoản 1 Điều 19 Luật 20/2023/QH15 quy định thông tin trong chứng thư điện tử có giá trị pháp lý khi đáp ứng đủ:

• Điểm a — chứng thư điện tử được ký bằng chữ ký số của cơ quan, tổ chức phát hành theo quy định của Luật này;
• Điểm b — thông tin trong chứng thư điện tử có thể truy cập và sử dụng được dưới dạng hoàn chỉnh;
• Điểm c — trường hợp pháp luật yêu cầu chỉ ra thời gian liên quan đến chứng thư điện tử thì chứng thư điện tử phải có dấu thời gian.

Khoản 2 Điều 19 quy định: chứng thư điện tử do cơ quan, tổ chức có thẩm quyền của nước ngoài cấp để được công nhận và sử dụng tại Việt Nam phải được hợp pháp hóa lãnh sự, trừ trường hợp được miễn theo quy định của pháp luật Việt Nam.

Cần phân biệt rõ: chữ ký điện tử nước ngoài theo Điều 27 được chấp nhận theo lựa chọn của doanh nghiệp; còn chứng thư điện tử do cơ quan có thẩm quyền nước ngoài cấp theo khoản 2 Điều 19 phải hợp pháp hóa lãnh sự. Đây là hai chế độ khác nhau.

Yêu cầu về hệ thống lưu trữ chứng thư điện tử — Điều 21

Khoản 1 Điều 21 quy định việc lưu trữ chứng thư điện tử phải tuân thủ quy định về lưu trữ thông điệp dữ liệu tại Điều 13 — tức bảo đảm truy cập được để tham chiếu, lưu trong khuôn dạng phù hợp, và lưu theo cách xác định được nguồn gốc khởi tạo, người gửi, người nhận, thời gian.

Khoản 2 Điều 21 bổ sung yêu cầu kỹ thuật cụ thể: hệ thống thông tin phục vụ lưu trữ, xử lý chứng thư điện tử phải đáp ứng yêu cầu bảo đảm an toàn thông tin mạng tối thiểu cấp độ 3.

Đây là ngưỡng đáng chú ý với doanh nghiệp có ý định tự xây hệ thống lưu trữ chứng thư điện tử — cấp độ 3 kéo theo bộ biện pháp bảo vệ tương ứng.

Chuyển giao chứng thư điện tử — Điều 20

Khoản 1 Điều 20 quy định trường hợp pháp luật cho phép chuyển giao quyền sở hữu đối với chứng thư điện tử, việc chuyển giao phải đáp ứng đủ:

• Điểm a — chứng thư điện tử khẳng định được chủ thể sở hữu và chỉ chủ thể này đang kiểm soát chứng thư điện tử đó;
• Điểm b — yêu cầu về giá trị như bản gốc tại Điều 10;
• Điểm c — hệ thống thông tin phục vụ việc chuyển giao phải đáp ứng an toàn thông tin mạng tối thiểu cấp độ 3;
• Điểm d — yêu cầu khác theo quy định của pháp luật có liên quan.

Điểm a xử lý một vấn đề đặc thù của môi trường số: dữ liệu có thể sao chép vô hạn, nên phải bảo đảm chỉ một chủ thể đang kiểm soát chứng thư tại một thời điểm.

Khoản 2 và khoản 3 Điều 20 xử lý trường hợp chuyển đổi hình thức với các loại giấy tờ chỉ được tồn tại dưới một hình thức duy nhất: khi chuyển từ giấy sang điện tử, văn bản giấy không còn giá trị pháp lý ngay khi việc chuyển đổi hoàn thành; và ngược lại, khi chuyển từ điện tử sang giấy, chứng thư điện tử không còn giá trị pháp lý.

Quy định này ngăn tình trạng cùng một giấy tờ tồn tại ở hai hình thức và bị sử dụng hai lần.

Đọc thêm cùng chủ đề

• Phát hiện dấu hiệu khủng bố mạng thì doanh nghiệp phải làm gì?
• Những hành vi nào bị cấm trong giao dịch điện tử?
• Bản sao số là gì và người triển khai chịu trách nhiệm ra sao?

Căn cứ pháp lý

• Luật 20/2023/QH15 Điều 27
• Luật 20/2023/QH15 Điều 25
• Luật 20/2023/QH15 Điều 23

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.