Xác thực sinh trắc học SIM từ 15/4/2026: Ai được miễn, ai bị khóa số và lộ trình xử lý cụ thể

Thông tư 08/2026/TT-BKHCN được Bộ trưởng Bộ Khoa học và Công nghệ Nguyễn Mạnh Hùng ký ban hành ngày 31/3/2026, căn cứ trên Luật Viễn thông số 24/2023/QH15, Luật Căn cước số 26/2023/QH15, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 163/2024/NĐ-CP. Thông tư cụ thể hóa khoản 2 Điều 18 của Nghị định 163 về xác thực thông tin thuê bao, đưa quản lý từ mô hình "khai là tin" sang mô hình đối soát trực tiếp với Cơ sở dữ liệu quốc gia về dân cư, Cơ sở dữ liệu căn cước và sinh trắc học khuôn mặt.

Đẩy mạnh chuẩn hoá sim viễn thông 'khắc tinh' của tội phạm công nghệ

Mục tiêu trực tiếp là triệt tiêu tình trạng SIM không chính chủ, SIM đăng ký bằng giấy tờ giả, SIM được mua bán kích hoạt hàng loạt phục vụ nhắn tin rác, lừa đảo qua điện thoại và các hành vi vi phạm pháp luật khác. Khi mỗi số điện thoại gắn với một danh tính số duy nhất và được đối chiếu bằng ảnh khuôn mặt sống, việc dùng danh tính người khác để sở hữu SIM về lý thuyết sẽ trở nên khó khăn hơn rất nhiều.

Bốn trường thông tin và bốn cách xác thực

Theo Điều 4 của Thông tư 08/2026/TT-BKHCN, mỗi thuê bao di động phải được xác thực đủ bốn trường dữ liệu gồm số định danh cá nhân, họ chữ đệm và tên, ngày tháng năm sinh, và dữ liệu sinh trắc học ảnh khuôn mặt. Quá trình xác thực được thực hiện qua một trong bốn phương thức gồm trực tuyến trên ứng dụng định danh quốc gia VNeID, trực tuyến qua ứng dụng của chính doanh nghiệp viễn thông, trực tiếp tại điểm giao dịch do nhà mạng trực tiếp sở hữu, hoặc trực tiếp tại điểm do đơn vị khác thiết lập theo hợp đồng ủy quyền của nhà mạng.

Với công dân Việt Nam, doanh nghiệp phải sử dụng dịch vụ xác thực điện tử hoặc đối chiếu với dữ liệu trên thẻ căn cước, bảo đảm trùng khớp cả bốn trường trên với Cơ sở dữ liệu quốc gia về dân cư hoặc Cơ sở dữ liệu căn cước. Trường hợp người dùng sở hữu căn cước công dân không gắn chip điện tử và không thể thực hiện xác thực điện tử, nhà mạng phải tiến hành đối chiếu thông tin trực tiếp, thực hiện cuộc gọi ghi hình, và với SIM thứ hai trở đi phải xác thực qua mã OTP gửi đến SIM đã đăng ký trước đó.

Với người nước ngoài, xác thực được đối soát qua Cơ sở dữ liệu quốc gia về xuất nhập cảnh, kiểm tra hộ chiếu còn thời hạn sử dụng hoặc tài khoản định danh điện tử theo từng trường hợp cụ thể được quy định tại Điều 6 của Thông tư.

Ai được miễn xác thực?

Đây là thông tin quan trọng nhất mà đại đa số người dùng cần nắm rõ trước khi lo lắng không cần thiết, bởi thực tế cho thấy một phần lớn thuê bao hiện nay hoàn toàn thuộc diện được miễn xác thực lại theo quy định chuyển tiếp của Thông tư.

Theo khoản 1 và khoản 2 Điều 10 của Thông tư 08/2026/TT-BKHCN, những thuê bao đã đăng ký bằng tài khoản định danh điện tử mức độ 2 hoặc đã sử dụng thẻ căn cước hoặc căn cước công dân có gắn chip điện tử để đăng ký và xác thực thông tin thuê bao, đồng thời đã được ứng dụng VNeID xác nhận trực tiếp rằng bản thân đang sử dụng số thuê bao đó, thì Thông tư cho phép hoàn toàn không phải thực hiện lại thủ tục xác thực thông tin thuê bao và không phải bổ sung xác thực sinh trắc học khuôn mặt từ đầu.

Nói cách khác, những người dùng thuộc nhóm này đã hoàn thành nghĩa vụ pháp lý từ trước khi Thông tư có hiệu lực và hệ thống quản lý nhà nước đã ghi nhận đầy đủ thông tin của họ thông qua VNeID, nên không cần lặp lại bất kỳ bước nào.

Ngoại lệ duy nhất áp dụng với nhóm được miễn là khi họ thay đổi thiết bị đầu cuối, tức là chuyển SIM sang điện thoại khác, lúc đó hệ thống sẽ yêu cầu xác thực lại sinh trắc học khuôn mặt theo quy định tại Điều 8 của Thông tư (Điều 8 có hiệu lực từ 15/6/2026).

Tóm lại, người dùng đã đăng ký SIM bằng VNeID mức 2 hoặc căn cước công dân gắn chip và đã được VNeID xác nhận chính chủ đang dùng số đó thì gần như không cần thực hiện thêm bất kỳ thủ tục nào, chỉ cần ghi nhớ một điều duy nhất là mỗi lần chuyển sang điện thoại mới, họ phải chủ động thực hiện xác thực lại khuôn mặt trong vòng 30 ngày kể từ khi nhà mạng phát hiện sự thay đổi thiết bị, nếu không chiều gọi đi sẽ bị tạm dừng theo đúng lộ trình luật định.

Ai phải xác thực bổ sung?

Khoản 3 Điều 10 của Thông tư quy định các thuê bao di động cá nhân H2H đã đăng ký bằng chứng minh nhân dân 9 chữ số và đã được chính thuê bao xác nhận qua ứng dụng VNeID rằng bản thân đang trực tiếp sử dụng số thuê bao đó. Với nhóm thuê bao cụ thể này, nhà mạng chủ động chịu trách nhiệm hoàn tất việc cập nhật lại thông tin thuê bao và bổ sung xác thực sinh trắc học ảnh khuôn mặt trong vòng 60 ngày kể từ ngày nhà mạng nhận được thông tin xác nhận từ VNeID, chứ không phải thuê bao tự tìm đến làm thủ tục mà không có bất kỳ thông báo nào từ phía nhà mạng.

Với nhóm thuê bao cá nhân không thuộc ba trường hợp đã nêu ở trên, khoản 5 Điều 10 quy định một lộ trình bốn bước. Trong vòng 30 ngày kể từ ngày Thông tư có hiệu lực, nhà mạng gửi thông báo yêu cầu thuê bao cập nhật và xác thực sinh trắc học khuôn mặt. Trong vòng 60 ngày kể từ ngày Thông tư có hiệu lực, nhà mạng tạm dừng cung cấp dịch vụ chiều đi (gọi điện thoại, gửi tin nhắn SMS đến số khác) và tiếp tục gửi thông báo. Từ thời điểm bị tạm dừng chiều đi, thuê bao có thêm 60 ngày để hoàn thành cập nhật thông tin và bổ sung xác thực sinh trắc học khuôn mặt. Sau thời hạn 60 ngày đó mà thuê bao vẫn không thực hiện, nhà mạng buộc phải tạm dừng cả hai chiều và thông báo sẽ thanh lý hợp đồng; việc chấm dứt cung cấp dịch vụ viễn thông hoàn toàn diễn ra sau 5 ngày kể từ ngày tạm dừng hai chiều nếu cá nhân hoặc tổ chức vẫn không thực hiện.

Đổi điện thoại mới có phải xác thực lại khuôn mặt không?

Điều 8 của Thông tư, có hiệu lực từ ngày 15/6/2026, quy định về xác thực khi thuê bao có hoạt động thay đổi thiết bị đầu cuối. Trong thời gian tối đa 2 giờ kể từ khi hệ thống phát hiện thiết bị thay đổi so với máy đã gắn SIM trước đó, nhà mạng phải triển khai rà soát, tạm dừng chiều gọi đi và yêu cầu thuê bao xác thực lại sinh trắc học khuôn mặt.

Thuê bao có 30 ngày kể từ ngày bị tạm dừng chiều đi để hoàn thành xác thực lại. Nếu hết 30 ngày mà không thực hiện, nhà mạng tạm dừng cả hai chiều và thông báo sẽ thanh lý hợp đồng. Việc chấm dứt hoàn toàn dịch vụ xảy ra sau 5 ngày kể từ thời điểm đó.

Hệ thống xác thực khuôn mặt khi đổi máy phải đáp ứng tiêu chuẩn kỹ thuật với tỷ lệ từ chối sai dưới 5% và tỷ lệ chấp nhận sai dưới 0,01% theo tiêu chuẩn FIDO Biometric Requirement, áp dụng với tập mẫu tối thiểu 10.000 mẫu. Ngoài ra, hệ thống phải có khả năng phát hiện tấn công giả mạo thông tin sinh trắc học bằng hình ảnh tĩnh, video hoặc mặt nạ 3D theo chuẩn Presentation Attack Detection (PAD) dựa trên NIST Special Publication 800-63B, ISO 30107 hoặc FIDO Biometric Requirements.

Thông tư bắt buộc doanh nghiệp viễn thông lưu giữ đầy đủ, chính xác mọi thông tin và tài liệu chứng minh đã triển khai giải pháp xác thực trong suốt thời gian thuê bao hoạt động, trừ khi pháp luật có quy định khác. Điều này giúp tăng khả năng truy vết khi có vi phạm, nhưng đồng thời hình thành những kho dữ liệu sinh trắc học quy mô lớn tập trung tại các nhà mạng, trở thành mục tiêu hấp dẫn với tội phạm mạng.

Nhà mạng phải đầu tư cho hạ tầng xác thực sinh trắc học, tích hợp với VNeID và Cơ sở dữ liệu dân cư, xây dựng quy trình vận hành phát hiện thay đổi thiết bị theo thời gian gần thực và thực thi lộ trình khóa dịch vụ đúng tiến độ theo quy định. Cục Viễn thông có trách nhiệm định kỳ 6 tháng kiểm tra, đánh giá việc thực hiện của các doanh nghiệp và xử lý vi phạm theo thẩm quyền hoặc báo cáo lên cấp có thẩm quyền.

Người dùng đã đăng ký SIM bằng căn cước gắn chip hoặc tài khoản định danh VNeID mức 2 và đã được VNeID xác nhận đang sử dụng số đó thì không cần làm gì thêm, ngoại trừ mỗi lần đổi điện thoại sang máy khác. Người dùng đăng ký SIM bằng chứng minh nhân dân 9 chữ số cần theo dõi thông báo từ nhà mạng sau ngày 15/4 và chủ động hoàn tất xác thực sinh trắc học khuôn mặt trong vòng 60 ngày kể từ ngày nhà mạng gửi thông báo yêu cầu, tránh để bị tạm dừng chiều gọi đi rồi mới xử lý. Quy định về xác thực khi đổi thiết bị theo Điều 8 chính thức có hiệu lực từ ngày 15/6/2026, tức là sau gần hai tháng so với phần lớn các điều khoản còn lại.

Câu hỏi về cân bằng giữa siết chặt quản lý và bảo đảm quyền riêng tư dữ liệu cá nhân sẽ không có câu trả lời hoàn hảo ngay lập tức. Điều quan trọng là cơ chế giám sát độc lập, chế tài xử lý nghiêm minh hành vi lộ lọt và mua bán dữ liệu, cùng với quyền của người dùng được thông báo kịp thời khi xảy ra sự cố bảo mật phải được vận hành song song với chính sách xác thực này.

Theo tạp chí Điện tử và Ứng dụng