强制身份核验令同意权成为辩论焦点
越南拟议的《电子身份识别与认证法》将要求银行、医疗保健、加密资产和网络游戏等11个领域的在线交易进行国家数字身份核验。2026年11月4日，公安部长梁三光在回应立法者时表示，系统只会收集必要信息，须征得同意，且交易内容不会纳入同步的身份识别记录。
目录
提案还允许国家机构在国家数据库或专业数据库中已有完整、准确的信息时，自动创建数字身份。受该条款约束的个人和组织无需再次提交相同信息，也无需另行登记。
这两项安排让一个现实问题成为议会辩论的核心：当身份认证是使用服务的必要条件，而政府又能根据已掌握的信息创建身份时，人们该如何行使同意权？梁三光阐述了隐私保护措施，立法者则要求进一步明确信息收集的界限、加强技术提供商的责任，并制定规则区分日常活动与风险较高的交易。
该提案与《数据安全法》草案一同提交越南第十六届国会第二次会议审议。两项法案将共同确立数字身份的建立、身份核验及相关数据保护规则。
部长对隐私保护作出哪些承诺
负责牵头起草身份识别法案的梁三光告诉立法者，隐私保护既适用于收集的信息，也适用于身份识别系统之间的信息交换。他这样概述拟议的保障措施：
收集最少量的数据必须征得数据主体同意；交易内容不得同步；认证结果不得超出允许范围共享。
数据主体是其信息正被处理的人。通俗地说，梁三光的承诺意味着系统应只收集确认某人身份所需的信息，同时将交易详情排除在同步的身份识别数据之外。
梁三光还表示，个人数据处理的原则、条件、范围和目的仍将受现行个人数据保护法律约束。电子身份识别与认证必须遵守宪法，并保护个人、组织和国家机构的权利与利益。
同意机制仍是用户关心的核心问题。议会方面的说明并未明确，当拒绝收集数据会导致用户无法完成必须进行身份认证的交易时，用户可以作出哪些选择。
哪些服务需要进行身份认证？
第23条第5款将要求以下领域的交易通过国家电子身份认证，并与之关联：
- 证券。
- 电信。
- 银行。
- 邮政服务。
- 电子商务。
- 医疗保健。
- 支付中介服务。
- 数字钱包。
- 加密资产。
- 网络视频游戏。
- 域名注册、租赁和使用。
身份认证是核实服务使用者是否为其声称之人的过程。关联则是将服务账户或交易与该人的国家电子身份相连。对客户而言，该提案将使国家电子身份成为使用多种金融、商业和数字服务的必要条件。
部级部长和部级机构负责人还可指定其他领域的交易，只要这些交易风险较高或会产生重大法律义务。因此，该系统的适用范围可能超出法案列出的11个领域。
永隆省国会代表石福平建议按风险对交易分类。他举例说明了细分规则为何重要：预约医疗与查阅病历的敏感程度不同，正如查询银行账户与进行大额转账有所区别。
自动创建身份与国家身份识别的范围
第7条和第8条涉及哪些人或实体可以获得电子身份，以及国家机构将识别哪些类别。除个人和组织外，这些类别还包括地点、空间、与核心数据或重要数据相关的实体、经认证为拥有或使用被视为高风险商品的实体，以及涉及国家机密的实体。
政府将公布需由国家进行身份识别的实体名单，并制定实施时间表。对于第8条规定的特定实体，如果国家数据库或专业数据库中已有完整、准确的信息，相关机构将自动创建身份并发放国家识别码。
行政管理方面的好处很直接：组织或个人无需再次提供政府已经掌握的信息。隐私方面的争议则涉及类别范围的广度、与这些类别关联的信息，以及相关信息的使用规则。
10月25日的一份摘要还纳入了对事件、交易和行为的识别。财政部、司法部、工贸部和最高人民法院要求澄清这一扩展内容。由于提交国会的完整法案文本尚未公开，其是否保留在修订后的法案中尚不明确。
越南工商联合会在征求意见期间警告称，相关措辞可能使几乎所有普通商业和民事交易都落入身份识别义务范围。10月26日，国会国防、安全与对外事务委员会也警告称，若允许行业主管机构或服务提供商自行决定收集哪些数据字段，可能导致滥用和侵犯隐私。
另有一项法令已规定账户关联期限
拟议法律还将与现行的第320/2026号法令并行实施。该法令于2026年9月28日生效，要求某些电子交易账户与越南国家电子身份平台VNeID关联，并通过该平台完成身份认证。
两项措施各自列出11个领域，但名单并不相同。该法令涵盖教育、证券、电信、银行、电子商务、电子发票、交通、旅游、药品、医疗保健和越南社交网络。Facebook、TikTok和Zalo等平台上的账户也被列为须遵守关联要求的账户。
受该法令涵盖的服务账户须在2026年12月31日前完成关联。银行账户的期限则为2027年6月30日。社交网络未列入法案草案的11个领域，而草案明确纳入了加密资产、数字钱包、网络游戏和域名服务。
时间表涵盖了现行义务和拟议变更：
- 2026年7月：越南通过为期五年的国家数字化转型战略。
- 2026年9月28日：第320/2026号法令生效。
- 2026年10月25日和26日：一份草案摘要及国会委员会提出的关切，使身份识别的适用范围成为焦点。
- 2026年11月4日：国会讨论身份识别和数据安全法案。
- 2026年11月21日：国会会议计划闭幕，身份识别法案列为预期通过的措施之一。
- 2026年12月31日：受涵盖的服务账户须在此日期前完成关联。
- 2027年6月30日：银行账户须在此日期前完成关联。
立法者为何认为仅靠生物识别并不足够
胡志明市国会代表范仲仁警告称，人工智能的发展正在削弱人们对面部、声音和指纹可靠性的既有认知。他表示，生物识别仍有必要，但不应成为防范欺诈的唯一手段。
生物识别认证是通过与个人相关的身体特征或行为特征进行身份核验。人工智能工具能够模仿其中一些特征，令系统更难区分真实用户与使用伪造材料的人。
芹苴市国会代表苏爱旺呼吁明确人工智能认证系统出错时的责任归属。她表示，提案将最终责任归于依据认证结果作出决定的组织或个人，但与技术开发者或提供商之间的责任关系也需要加以明确。
另一位芹苴市国会代表赵氏玉艳建议明确禁止未经授权收集、使用、披露或共享身份识别数据和认证要素。她提到，犯罪分子可能交易面部数据、声音数据和一次性密码。她的建议针对的是可能被用于侵入他人账户的信息。
配套法案拟按风险程度采取相应保护
《数据安全法》草案将引入五个数据安全风险等级。控制者，即负责决定如何处理数据的组织或机构，将对风险进行分类并采取相应保护措施。监督工作将主要通过事后检查开展。
保护措施将覆盖数据的整个生命周期，从系统设计到信息销毁。梁三光表示，分类的目的是使义务与数据泄露可能造成的危害相匹配：对敏感程度较低的活动适用较宽松的要求，对可能造成更严重后果的数据暴露则采取更严格的保护。
这五个风险等级将与网络安全法规规定的信息系统五个等级相对应。第8条第4款将允许组织沿用现有的网络安全风险分类结果，避免对同一系统分别进行两次评估。
拟议的风险等级将与《数据法》对核心数据和重要数据的分类并行适用。风险等级将用于指导安全措施的选择，现有数据类别则继续有效。辩论还涉及公安部与国防部之间的职责划分、安全密码技术，以及旨在抵御未来量子计算机攻击的后量子密码技术。
人工智能数据和跨境传输将适用不同义务
数据安全法案将要求开发或使用人工智能的组织保护训练数据的来源及完整性，并保护由此生成的数据。法案将禁止数据投毒和未经授权的数据提取，并要求对自动化决策进行人工干预和监督。
数据投毒是指故意篡改用于训练人工智能系统的信息，可能导致系统生成不可靠或经过操纵的结果。对身份认证服务而言，这类信息的质量和安全性十分重要，因为自动化错误可能影响某人身份核验通过或被拒。
跨境数据传输和处理将根据风险适用不同程序。一级和二级数据无需履行本法规定的程序。处理三级数据的控制者将自行开展评估并留存记录。
涉及四级和五级数据的传输，须经主管部门评估并批准后方可进行。法案还涉及外国提出的数据请求、跨境运营的服务提供商所承担的义务，以及在现有投资和技术转让程序中使用数据安全评估。
VNeID的规模令具体规则影响重大
截至10月，VNeID已向越南公民发放8640万个电子身份账户。该平台拥有70多项功能，访问量超过5亿次，每日用户人数在300万至600万之间。
每日用户人数约相当于已发放账户总数的3.5%至6.9%。这些数据表明，该平台的注册用户基数极大，而在任意一天使用平台的人数相对较少；即使在拟议法律扩大其在基本交易中的作用之前，情况也是如此。
政府将身份识别措施定位为打击网络欺诈、保障数字基础设施安全，以及根据国家数字化转型战略减少行政工作量的工具。对用户而言，具体变化涉及服务访问、现有记录的处理，以及身份核验出错时的责任归属。
梁三光表示，起草机构将与负责国防、安全和对外事务的国会委员会合作，吸收国会代表的意见，并在法案定稿前向常务委员会报告。下一个立法节点是计划于11月21日闭幕的本次会议；无论围绕新提案的辩论结果如何，现行账户关联期限仍将照常生效。
要点
- 拟议的身份识别法将要求11个领域的交易通过国家数字身份认证，并授权将其他高风险交易纳入适用范围。
- 梁三光承诺只收集最低限度的数据、征得同意、限制认证结果的共享，并禁止同步交易内容。
- 国家机构可利用公共数据库中已有的完整、准确信息，自动创建特定身份。
- 另一项法令规定，受涵盖账户须在2026年12月31日前完成关联，银行账户的期限为2027年6月30日。
- 立法者要求加强人工智能服务提供商责任、生物识别防欺诈，以及防止未经授权使用身份识别信息的规则。
- 配套的数据安全法案拟设立五个风险等级、要求人工监督自动化决策，并对最高风险等级的数据传输实施更严格程序。
