Điều 36. Phát hành chứng thư chữ ký số công cộng bằng phương thức điện tử
1. Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng thực hiện phát hành chứng thư chữ ký số công cộng bằng phương thức điện tử phải xây dựng, ban hành, công khai quy trình, thủ tục phát hành chứng thư chữ ký số bằng phương thức điện tử phù hợp với quy định tại Điều này, pháp luật về giao dịch điện tử, các quy định pháp luật liên quan về an toàn thông tin, an ninh mạng, bảo vệ dữ liệu cá nhân, việc phát hành chứng thư chữ ký số công cộng bao gồm tối thiểu các bước như sau:
a) Thu thập thông tin về hồ sơ đề nghị phát hành chứng thư chữ ký số công cộng theo quy định tại Điều 34 của Nghị định này;
b) Thực hiện kiểm tra, đối chiếu và xác minh thông tin nhận biết tổ chức, cá nhân;
c) Cảnh báo cho tổ chức, cá nhân về các hành vi không được thực hiện trong quá trình phát hành và sử dụng chứng thư chữ ký số công cộng bằng phương thức điện tử;
d) Cung cấp cho tổ chức, cá nhân nội dung hợp đồng và thực hiện giao kết hợp đồng với tổ chức, cá nhân.
2. Tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng được quyết định biện pháp, hình thức, công nghệ để nhận biết và xác minh tổ chức, cá nhân phục vụ việc phát hành chứng thư chữ ký số công cộng bằng phương thức điện tử; chịu trách nhiệm về rủi ro phát sinh (nếu có) và phải đáp ứng các yêu cầu tối thiểu sau:
a) Có giải pháp, công nghệ để thu thập, kiểm tra, đối chiếu, bảo đảm sự khớp đúng giữa thông tin nhận biết tổ chức, cá nhân, dữ liệu sinh trắc học người đại diện theo pháp luật của tổ chức, cá nhân (là các yếu tố, đặc điểm sinh học gắn liền với người đại diện theo pháp luật của tổ chức, cá nhân thực hiện định danh, khó làm giả, có tỷ lệ trùng nhau thấp như vân tay, khuôn mặt, mống mắt, giọng nói và các yếu tố sinh trắc học khác) với các thông tin, yếu tố sinh trắc học tương ứng trên giấy tờ tùy thân của người đại diện theo pháp luật của tổ chức, cá nhân quy định tại khoản 2 Điều 34 của Nghị định này và bảo đảm được định danh đúng chủ thể và thực hiện xác thực danh tính theo quy định của pháp luật về định danh và xác thực điện tử;
b) Có biện pháp kỹ thuật để xác nhận việc tổ chức, cá nhân đã được định danh đồng ý với các nội dung tại hợp đồng;
c) Xây dựng quy trình quản lý, kiểm soát, đánh giá rủi ro, trong đó có biện pháp ngăn chặn các hành vi mạo danh, can thiệp, chỉnh sửa, làm sai lệch việc xác minh thông tin nhận biết tổ chức, cá nhân trước, trong và sau khi phát hành chứng thư chữ ký số cho thuê bao; trường hợp phát hiện có rủi ro, sai lệch hoặc có dấu hiệu bất thường giữa các thông tin nhận biết tổ chức, cá nhân với các yếu tố sinh trắc học của tổ chức, cá nhân hoặc phát hiện giao dịch đáng ngờ trong quá trình ký số, tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng phải kịp thời từ chối hoặc tạm ngưng chứng thư chữ ký số công cộng và tiến hành xác minh lại thông tin nhận biết tổ chức, cá nhân. Quy trình quản lý, kiểm soát rủi ro phải thường xuyên được rà soát, hoàn thiện dựa trên những thông tin, dữ liệu cập nhật trong quá trình cung ứng dịch vụ;
d) Lưu trữ, bảo quản đầy đủ, chi tiết theo thời gian đối với các thông tin, dữ liệu nhận biết tổ chức, cá nhân trong quá trình phát hành chứng thư chữ ký số công cộng và sử dụng dịch vụ chứng thực chữ ký số công cộng như: thông tin nhận biết tổ chức, cá nhân; các yếu tố sinh trắc học của người đại diện theo pháp luật của tổ chức, cá nhân; âm thanh, hình ảnh, bản ghi hình, ghi âm; số điện thoại thực hiện giao dịch; nhật ký giao dịch. Các thông tin, dữ liệu phải được lưu trữ an toàn, bảo mật, được sao lưu dự phòng, bảo đảm tính đầy đủ, toàn vẹn của dữ liệu để phục vụ cho công tác kiểm tra, đối chiếu, giải quyết tra soát, khiếu nại, tranh chấp và cung cấp thông tin khi có yêu cầu từ cơ quan quản lý nhà nước có thẩm quyền. Thời gian lưu trữ thực hiện theo quy định của pháp luật về lưu trữ, bảo vệ thông tin cá nhân.