1. Cơ sở pháp lý về chứng cứ điện tử

Nếu như trước đây chứng cứ chủ yếu tồn tại dưới dạng văn bản giấy, tài liệu lưu trữ hoặc vật chứng hữu hình thì hiện nay với các giao dịch, hợp đồng trên môi trường số, phần lớn dấu vết của giao dịch lại được lưu giữ dưới dạng dữ liệu điện tử. Tin nhắn trên các ứng dụng OTT, email, nhật ký truy cập hệ thống, dữ liệu máy chủ, lịch sử giao dịch ngân hàng, bản ghi camera, dữ liệu định vị, chữ ký số hay nhật ký xác thực tài khoản… đều có thể trở thành nguồn chứng cứ quan trọng khi phát sinh tranh chấp.

Trong pháp luật tố tụng dân sự, Điều 93 Bộ luật Tố tụng dân sự năm 2015 quy định chứng cứ là những gì có thật được giao nộp hoặc do Tòa án thu thập theo trình tự luật định để xác định tình tiết khách quan của vụ việc. Điều 94 xác định dữ liệu điện tử là một trong các nguồn chứng cứ. Khoản 3 Điều 95 tiếp tục ghi nhận thông điệp dữ liệu điện tử dưới các hình thức như thư điện tử, chứng từ điện tử và các hình thức tương tự theo pháp luật về giao dịch điện tử là nguồn chứng cứ hợp pháp.

Song song với đó, Luật Giao dịch điện tử năm 2023 khẳng định nguyên tắc không được phủ nhận giá trị pháp lý của thông tin chỉ vì thông tin được thể hiện dưới dạng thông điệp dữ liệu (Điều 8). Giá trị dùng làm chứng cứ của thông điệp dữ liệu được xác định căn cứ vào độ tin cậy của cách thức khởi tạo, gửi, nhận hoặc lưu trữ thông điệp dữ liệu; cách thức bảo đảm và duy trì tính toàn vẹn của thông điệp dữ liệu; cách thức xác định người khởi tạo, gửi, nhận thông điệp dữ liệu và các yếu tố phù hợp khác (khoản 2 Điều 11).

Ngoài ra, khoản 1 Điều 119 Bộ luật Dân sự năm 2015 quy định giao dịch dân sự được xác lập thông qua phương tiện điện tử theo pháp luật về giao dịch điện tử được coi là giao dịch bằng văn bản. Đây là cơ sở pháp lý quan trọng để công nhận hiệu lực của hợp đồng được xác lập, thực hiện trên môi trường điện tử.

Từ các quy định của Bộ luật Tố tụng dân sự năm 2015 và Luật Giao dịch điện tử năm 2023 có thể xác định một số tiêu chí để dữ liệu điện tử có giá trị là chứng cứ như sau:

Thứ nhất, tính xác thực của dữ liệu điện tử. Tính xác thực chính là tính khách quan của dữ liệu. Dữ liệu phải có thật và phải được khởi tạo, gửi, nhận thông điệp dữ liệu bởi chủ thể xác định. Chứng cứ là dữ liệu điện tử phải phản ánh đúng các sự kiện, hiện tượng đã diễn ra trong thực tế, không phải là kết quả của sự suy diễn, hư cấu hay giả mạo.

Thứ hai, tính toàn vẹn và khả năng kiểm tra, đối chiếu của dữ liệu điện tử. Tính toàn vẹn không đòi hỏi dữ liệu phải hoàn toàn bất biến trong mọi trường hợp, mà yêu cầu nội dung thông tin không bị thay đổi ngoài những thay đổi phát sinh trong quá trình truyền gửi, lưu trữ và hiển thị thông thường. Đối với tin nhắn hội thoại, tính toàn vẹn không chỉ liên quan từng câu chữ mà còn bao gồm trình tự hội thoại và ngữ cảnh. Việc chỉ cung cấp một vài tin nhắn có lợi cho người xuất trình, trong khi loại bỏ nội dung trước và sau, có thể làm sai lệch ý nghĩa của toàn bộ trao đổi. Khả năng kiểm tra, đối chiếu chính là việc bên còn lại trong giao dịch và thậm chí cả bên thứ ba (như Tòa án, Cơ quan giám định,…) có khả năng kiểm tra nguồn gốc, cách thức hình thành và quá trình lưu giữ của dữ liệu được xuất trình. Bên cạnh việc giao nộp bản in hoặc ảnh chụp, người giao nộp cần bảo quản thiết bị gốc, xuất toàn bộ dữ liệu có liên quan, mô tả phương pháp trích xuất và đề nghị Tòa án trực tiếp xem xét thiết bị hoặc yêu cầu tổ chức quản lý hệ thống xác nhận. Thậm chí trong trường hợp có tranh chấp về tính xác thực, cần thông qua cơ quan có chuyên môn để trưng cầu giám định dữ liệu điện tử.

Thứ ba, tính liên quan của dữ liệu điện tử. Tính liên quan của dữ liệu chính là giá trị chứng minh của dữ liệu đó. Dữ liệu phải liên quan trực tiếp hoặc gián tiếp đến tình tiết cần chứng minh. Giá trị chứng minh của dữ liệu điện tử khá đặc thù bởi cần phối hợp với nhiều chứng cứ khác nhau để đi đến được một kết luận nào đó. Một lệnh chuyển tiền chứng minh việc chuyển tiền, nhưng chưa đương nhiên chứng minh đó là tiền vay. Nội dung chuyển khoản phải được đặt trong tổng thể thỏa thuận, email, tin nhắn, hóa đơn và hành vi thực hiện của các bên.

Thứ tư, tính hợp pháp của phương pháp thu thập dữ liệu điện tử. Chứng cứ phải được thu thập, giao nộp bởi chủ thể có thẩm quyền và theo trình tự pháp luật tố tụng quy định. Rõ ràng việc xâm nhập trái phép tài khoản, đánh cắp mật khẩu, cài đặt phần mềm theo dõi hoặc bí mật thu thập dữ liệu thuộc đời sống riêng tư không thể phù hợp để trở thành chứng cứ.

2. Thực tiễn sử dụng chứng cứ điện tử để giải quyết tranh chấp

Vấn đề pháp lý và thực tế đặt ra không chỉ là dữ liệu điện tử có được thừa nhận làm chứng cứ hay không. Câu hỏi khó hơn là dữ liệu nào đủ điều kiện trở thành chứng cứ; ai là người khởi tạo; dữ liệu có bị cắt ghép, sửa đổi hay không; phương pháp thu thập có hợp pháp không; Tòa án phải đánh giá giá trị chứng minh của dữ liệu theo tiêu chí nào. Việc Bộ luật Tố tụng dân sự năm 2015 mới dừng ở việc thừa nhận dữ liệu điện tử là nguồn chứng cứ, nhưng chưa quy định quy trình riêng cho việc xác định, thu thập, đánh giá, sử dụng cho loại dữ liệu này khiến việc áp dụng trên thực tế có nhiều lúng túng.

Xuất phát từ đặc tính phi vật chất, khả năng sao chép gần như không giới hạn và nguy cơ bị chỉnh sửa mà không để lại dấu vết trực quan khiến chứng cứ điện tử khác căn bản với tài liệu giấy thông thường. Trong thời đại trí tuệ nhân tạo tạo sinh, hình ảnh, giọng nói và video giả mạo ngày càng khó phân biệt bằng cảm quan thông thường. Chính vì vậy, khó khăn lớn nhất của chứng cứ điện tử không nằm ở việc thu thập mà ở việc chứng minh dữ liệu đó là thật. Một bức ảnh chụp màn hình có thể được chỉnh sửa chỉ trong vài phút; tin nhắn có thể bị xóa hoặc cắt ghép; email có thể bị giả mạo địa chỉ gửi; file ghi âm có thể được xử lý bằng trí tuệ nhân tạo để thay đổi nội dung; ngay cả dữ liệu camera cũng có thể bị can thiệp nếu không bảo đảm quy trình quản lý và lưu trữ…

Trên thực tế, tranh chấp liên quan các giao dịch được thực hiện trên môi trường số trong hoạt động ngân hàng thường phát sinh do xung đột từ việc khách hàng phủ nhận giao dịch, phủ nhận OTP, phủ nhận chữ ký điện tử,… Mặc dù ngân hàng đã thực hiện các nghĩa vụ theo chỉ lệnh phát sinh từ tài khoản khách hàng như giải ngân, chuyển tiền, phong tỏa,… nhưng khách hàng vẫn phủ nhận giao dịch vì cho rằng các chỉ lệnh này không đúng với ý chí của khách hàng với nhiều lý do như tài khoản bị hack, thiết bị bị chiếm đoạt, bị lợi dụng, lừa đảo, hoặc do nhầm lẫn, thiếu hiểu biết, thiếu kỹ năng công nghệ, chưa tiếp cận hợp đồng mẫu... Đối mặt với những xung đột nêu trên, những chứng cứ thường được ngân hàng sử dụng để bảo vệ quyền lợi của mình như: Hợp đồng tín dụng điện tử; dữ liệu eKYC; thông tin xác thực OTP hoặc Smart OTP; nhật ký đăng nhập Internet Banking/Mobile Banking; dữ liệu Core Banking; lệnh giải ngân điện tử; sao kê tài khoản điện tử; thư điện tử, tin nhắn xác nhận giao dịch; dữ liệu ghi âm cuộc gọi chăm sóc khách hàng, nhật ký hệ thống; IP; Device ID, hồ sơ mở tài khoản,… Các dữ liệu này ngân hàng cung cấp nhằm chứng minh cho việc thực hiện giao dịch của khách hàng và/hoặc khách hàng phải là người chịu trách nhiệm đối với các giao dịch phát sinh từ tài khoản khách hàng.

Việc Tòa án đánh giá giá trị chứng minh của dữ liệu được xuất trình, thu thập trong quá trình tố tụng không chỉ mang ý nghĩa lý luận mà đã phát sinh ngày càng phổ biến trong thực tiễn xét xử. Điển hình là Bản án phúc thẩm số 79/2024/DS-PT ngày 03/7/2024 của Tòa án nhân dân tỉnh BN về tranh chấp hợp đồng cung ứng dịch vụ ngân hàng số. Trong vụ án này, nguyên đơn cho rằng mình bị các đối tượng giả danh cơ quan nhà nước lừa đảo, dẫn đến việc chuyển số tiền rất lớn từ tài khoản mở tại ngân hàng và yêu cầu ngân hàng bồi thường thiệt hại do cho rằng ngân hàng không bảo đảm an toàn trong quá trình cung ứng dịch vụ. Ngược lại, ngân hàng cho rằng toàn bộ các giao dịch đều được thực hiện đúng quy trình, thông qua tài khoản đã đăng ký, sử dụng đúng tên đăng nhập (User), mật khẩu và mã xác thực Smart OTP hợp lệ nên được coi là giao dịch hợp pháp theo điều kiện sử dụng dịch vụ đã được khách hàng chấp thuận. Tại Bản án phúc thẩm này, Hội đồng xét xử nhận định: “[12] Theo điều khoản sử dụng ngân hàng điện tử và phương thức xác thực dành cho khách hàng cá nhân mà V ban hành thì: Khi thực hiện dịch vụ chuyển tiền qua ứng dụng VCB digibank, bà C phải tiến hành đăng nhập trên hệ thống bằng User (người dùng) mà bà C đã đăng ký sử dụng với ngân hàng; mật khẩu đăng nhập do khách hàng tự thiết lập và mã OTP được khởi tạo thành công trên thiết bị điện thoại bà C đã đăng ký với ngân hàng (chỉ điện thoại của bà C mới tạo được các mã OTP này và mã OTP được bà C xác nhận và gửi thành công đến hệ thống ngân hàng). Một giao dịch được thực hiện hợp lệ phải đảm bảo các yếu tố bảo mật trên. Theo nguyên tắc bảo mật này, chỉ bà C mới có quyền được biết các mật khẩu đăng nhập cũng như mã OTP để thực hiện các giao dịch chuyển tiền. Vì vậy, việc bà C tự hoặc bị chiếm quyền đăng nhập vào hệ thống bằng User và mật khẩu do chính bà C tự thiết lập và xác nhận giao dịch bằng mã OTP, đã thể hiện ý chí thực hiện giao dịch của bà C và các giao dịch này được coi là hợp lệ, đúng quy định của pháp luật cũng như quy định của nội bộ V. Do đó, việc chuyển số tiền 11.900.000.000 đồng trên là phù hợp với điều khoản sử dụng ngân hàng điện tử và phương thức xác thực dành cho khách hàng cá nhân mà V ban hành. Ngân hàng V không được tự mình áp dụng các biện pháp nghiệp vụ khẩn cấp khi không có yêu cầu của khách hàng là phù hợp với Quy định số 1867/QĐ-VCB-DVNHDT ngày 16/10/2019 của Ngân hàng V”.

Từ vụ án trên có thể nhận thấy, trọng tâm của tranh chấp không còn nằm ở việc các bên có giao kết hợp đồng hay không, mà chuyển sang việc đánh giá giá trị chứng minh của chứng cứ điện tử. Hội đồng xét xử không chỉ xem xét hợp đồng mở tài khoản và đăng ký dịch vụ ngân hàng điện tử mà còn đánh giá đồng thời các dữ liệu điện tử phát sinh trong quá trình giao dịch như phương thức xác thực OTP, thông tin đăng nhập, số điện thoại đã đăng ký, điều khoản sử dụng dịch vụ và dữ liệu ghi nhận trên hệ thống ngân hàng. Cách tiếp cận này cho thấy chứng cứ điện tử không được đánh giá một cách độc lập mà phải được xem xét trong tổng thể các chứng cứ và trong mối liên hệ với quy trình của hệ thống thanh toán điện tử.

Theo Bản án, Hội đồng xét xử cho rằng khách hàng đã ký Giấy đề nghị mở tài khoản, đăng ký sử dụng dịch vụ VCB Digibank và lựa chọn phương thức xác thực Smart OTP; đồng thời không chứng minh được việc ngân hàng vi phạm quy trình mở tài khoản hoặc cung ứng dịch vụ. Tòa án cũng nhấn mạnh rằng, các giao dịch được thực hiện thông qua đúng User, mật khẩu và mã OTP hợp lệ trên thiết bị đã đăng ký. Từ đó, Hội đồng xét xử coi đây là căn cứ quan trọng để xác định giao dịch được thực hiện theo đúng quy trình của ngân hàng. Như vậy, Hội đồng xét xử đánh giá rằng, khi giao dịch được thực hiện đúng quy trình xác thực bằng User, mật khẩu và OTP trên thiết bị đã đăng ký thì về nguyên tắc, giao dịch được coi là hợp lệ, trừ khi khách hàng chứng minh được có lỗi của ngân hàng hoặc hệ thống bảo mật.

Thực tế, không phải dễ dàng để Tòa án có những nhận định và hướng giải quyết nêu trên. Hiện nay, pháp luật chưa có các quy định cụ thể và cả hệ thống án lệ của Việt Nam cũng chưa có tình huống, giải pháp pháp lý trực tiếp về tiêu chí công nhận, loại trừ hoặc đánh giá giá trị chứng minh của dữ liệu điện tử trong vụ án dân sự. Điều đó dẫn đến nguy cơ cùng một loại dữ liệu nhưng được các Tòa án đánh giá khác nhau như nơi chấp nhận ảnh chụp màn hình nếu phù hợp với lời khai và chứng cứ khác; nơi yêu cầu vi bằng; nơi yêu cầu xác nhận của nhà cung cấp dịch vụ; nơi lại không chấp nhận vì không có thiết bị gốc.... Từ đó xác định nghĩa vụ chứng minh, cung cấp các chứng cứ của các đương sự cũng khác nhau. Chính vì vậy, không ít thẩm phán còn nhiều lúng túng, không đồng nhất trong việc giải quyết các vụ việc liên quan giao dịch điện tử.

3. Một số kiến nghị hoàn thiện pháp luật

Có thể thấy, chứng cứ điện tử sẽ ngày càng giữ vai trò quan trọng trong hoạt động tố tụng khi nền kinh tế số tiếp tục phát triển. Bên cạnh việc hoàn thiện các quy định của pháp luật về giao dịch điện tử, Việt Nam cần xây dựng các hướng dẫn thống nhất trong tố tụng về việc thu thập, bảo quản, niêm phong, phục hồi, giám định và đánh giá dữ liệu điện tử. Để nâng cao hiệu quả giải quyết tranh chấp phát sinh từ các giao dịch điện tử trong bối cảnh chuyển đổi số, cần tập trung hoàn thiện pháp luật theo ba định hướng sau:

Thứ nhất, cần bổ sung quy định chuyên biệt về chứng cứ điện tử trong Bộ luật Tố tụng dân sự, trong đó quy định rõ tiêu chí đánh giá tính xác thực, tính toàn vẹn và độ tin cậy của dữ liệu điện tử. Đơn cử trong hoạt động ngân hàng, pháp luật chưa quy định cụ thể tiêu chí đánh giá giá trị chứng minh của các loại dữ liệu thường gặp như OTP, dữ liệu eKYC, nhật ký hệ thống, dữ liệu Core Banking hoặc sao kê điện tử... Trên thực tế, đây lại là những chứng cứ được sử dụng phổ biến nhất khi phát sinh tranh chấp trong hoạt động tại ngân hàng.

Thứ hai, cần xây dựng quy trình, thủ tục thống nhất về thu thập, sao lưu, bảo quản và xuất trình dữ liệu điện tử do các khâu thu giữ, trích xuất, sao chép, niêm phong, chuyển giao, bảo quản và phục hồi chưa có chuẩn tố tụng thống nhất; đồng thời quy định trách nhiệm của các tổ chức trong việc lưu giữ và cung cấp dữ liệu phục vụ hoạt động tố tụng.

Thứ ba, cần khuyến khích và hướng dẫn doanh nghiệp đầu tư hệ thống lưu trữ đạt chuẩn, tăng cường sử dụng chữ ký số, dấu thời gian điện tử (timestamp), cơ chế xác thực đa yếu tố và các giải pháp bảo đảm tính toàn vẹn của dữ liệu nhằm nâng cao giá trị chứng minh của chứng cứ điện tử, đặc biệt trong hoạt động ngân hàng.

Việc tiếp tục hoàn thiện pháp luật theo hướng xây dựng cơ chế riêng đối với chứng cứ điện tử sẽ góp phần bảo đảm tính minh bạch, an toàn pháp lý và nâng cao hiệu quả giải quyết tranh chấp trong nền kinh tế số. Bên cạnh đó, sự xuất hiện của trí tuệ nhân tạo tạo ra một thách thức mới đối với hoạt động chứng minh cũng đặt ra yêu cầu nâng cao năng lực chuyên môn của những người tiến hành tố tụng và cả những người tham gia tố tụng để thích ứng với đặc thù của thời đại số.