Ký nhầm, lộ token, bị ký giả: ai chịu trách nhiệm khi chữ ký số bị dùng sai?

Chữ ký số mạnh ở chỗ nó gắn chặt với người giữ khoá bí mật. Nhưng chính điều đó tạo ra câu hỏi khó chịu: nếu ai đó khác đã dùng token của bạn, nếu bạn ký nhầm một bản chưa sửa, hoặc nếu đối tác chấp nhận một chữ ký đã bị thu hồi, thì ai là người phải chịu hậu quả?

Bài viết đi qua 6 tình huống thường gặp, chỉ ra căn cứ pháp lý chính và việc doanh nghiệp nên làm để không rơi vào thế phải giải thích sau khi sự đã rồi.

Ba bên, ba nghĩa vụ

Điều 16 còn nêu rõ người nhận chịu trách nhiệm về việc chấp nhận chứng thư khi không kiểm tra theo quy định, hoặc khi đã biết hay được thông báo chứng thư của người ký đang bị tạm dừng, đã bị thu hồi hoặc đã hết hạn. Nói cách khác, luật không để toàn bộ rủi ro nằm ở một phía.

Điều 45: quyền và trách nhiệm của thuê bao

Khi doanh nghiệp mua chữ ký số, doanh nghiệp trở thành thuê bao của tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng. Ngoài hợp đồng dịch vụ, Điều 45 Nghị định 23/2025/NĐ-CP liệt kê quyền và trách nhiệm của thuê bao, trong đó có những nghĩa vụ ít người để ý.

6 tình huống và ai chịu trách nhiệm

1. Ký nhầm bản chưa sửa

Người ký chịu trách nhiệm về văn bản mình đã ký. Chữ ký số không "gỡ" được: nếu đã gửi đi, cách xử lý là thoả thuận với bên kia huỷ bản đã ký, ký lại bản đúng, hoặc lập văn bản sửa đổi, phụ lục. Trong nội bộ, trách nhiệm còn chia cho người soạn và người kiểm tra; với cơ quan, tổ chức nhà nước, Điều 12 Nghị định 30/2020/NĐ-CP quy định người đứng đầu đơn vị soạn thảo chịu trách nhiệm về nội dung, người được giao kiểm tra chịu trách nhiệm về thể thức.

2. Nhân viên dùng token của giám đốc ký văn bản không được phép

Với bên ngoài, chữ ký trên văn bản vẫn là chữ ký của người đứng tên chứng thư. Việc để người khác cầm token và biết PIN là vi phạm nghĩa vụ giữ an toàn khoá bí mật của thuê bao, và doanh nghiệp sẽ phải chứng minh ngược lại trong một tình thế rất bất lợi. Với nhân viên, doanh nghiệp xử lý theo nội quy, hợp đồng lao động và pháp luật có liên quan.

3. Token bị đánh cắp, bị dùng để ký giả

Mốc quan trọng là thời điểm phát hiện và thời điểm thông báo. Thuê bao phải thông báo cho tổ chức cung cấp dịch vụ trong 24 giờ khi phát hiện dấu hiệu khoá bị lộ, bị đánh cắp hoặc bị sử dụng trái phép. Sau khi chứng thư bị tạm dừng hoặc thu hồi, trạng thái được công bố để người nhận kiểm tra; người nhận nào vẫn chấp nhận chữ ký sau khi đã biết hoặc được thông báo thì phải chịu trách nhiệm về việc chấp nhận đó.

4. Đối tác không kiểm tra chữ ký trước khi chấp nhận

Nếu đối tác nhận một văn bản ký bằng chứng thư đã hết hạn hoặc đã bị thu hồi mà không kiểm tra, rồi thực hiện theo văn bản đó, Điều 16 Nghị định 23/2025/NĐ-CP đặt trách nhiệm lên chính người nhận. Điều này áp dụng cả cho doanh nghiệp bạn khi là bên nhận: hãy kiểm tra mọi văn bản ký số trước khi hành động theo nó.

5. Người ký không có thẩm quyền

Chữ ký số chứng minh ai đã ký, không chứng minh người đó có quyền ký. Nếu người ký không có quyền đại diện hoặc vượt phạm vi đại diện, hệ quả được xử lý theo Điều 142, 143 Bộ luật Dân sự 2015; người giao dịch với họ mà biết hoặc phải biết điều này thì bị hạn chế quyền đòi bồi thường.

6. Ký bằng chứng thư đã hết hạn

Điều 15 Nghị định 23/2025/NĐ-CP yêu cầu người ký kiểm tra trạng thái chứng thư trước khi ký và không ký khi kết quả không có hiệu lực; Nghị định cũng yêu cầu phần mềm ký số kiểm tra hiệu lực chứng thư trước khi ký. Chữ ký tạo bằng chứng thư hết hạn sẽ không được coi là hợp lệ khi người nhận kiểm tra, và bên ký thường phải ký lại.

Khi nào chứng thư bị tạm dừng, thu hồi?

Khi tạm dừng hay thu hồi, tổ chức cung cấp dịch vụ phải thông báo ngay cho thuê bao và công bố trên cơ sở dữ liệu về chứng thư. Chứng thư tạm dừng được phục hồi khi không còn căn cứ tạm dừng hoặc khi hết thời hạn tạm dừng theo yêu cầu; chứng thư đã thu hồi thì không phục hồi, muốn ký tiếp phải được cấp chứng thư mới.

Theo Điều 43, tổ chức cung cấp dịch vụ phải công khai và duy trì 24 giờ mỗi ngày, 7 ngày mỗi tuần trên trang thông tin điện tử của mình danh sách chứng thư có hiệu lực, bị tạm dừng, bị thu hồi của thuê bao, cập nhật trong vòng 24 giờ khi có thay đổi. Phần mềm kiểm tra chữ ký dựa vào thông tin trạng thái này để xác định chứng thư của người ký còn hiệu lực hay không. GoSign là nền tảng trình ký, không cấp, tạm dừng hay thu hồi chứng thư; các yêu cầu về chứng thư, doanh nghiệp làm việc trực tiếp với nhà cung cấp đã ký hợp đồng.

Phòng từ trước: 7 việc giúp bạn luôn trả lời được "ai đã làm gì"

1. 1Mỗi người ký số có chứng thư riêng; không dùng chung token và PIN.
2. 2Ban hành quy chế sử dụng chữ ký số nội bộ: ai giữ thiết bị, ai được ký loại văn bản nào.
3. 3Có quy trình báo sự cố 24 giờ: ai phát hiện báo ai, ai liên hệ tổ chức cấp chứng thư.
4. 4Tách bước soạn, kiểm tra, duyệt và ký thành các bước riêng, người riêng.
5. 5Lưu lịch sử xử lý: ai duyệt, ai từ chối, ai ký, lúc nào.
6. 6Kiểm tra mọi văn bản ký số nhận được trước khi hành động theo nó.
7. 7Theo dõi ngày hết hạn chứng thư và gia hạn trước hạn.

GoSign giúp phân định trách nhiệm thế nào?

Trên GoSign, mỗi bước trong luồng trình ký được gán cho một người cụ thể: người phê duyệt, người ký nháy, người ký ảnh, người ký số. Hồ sơ lưu lại ai đã xử lý, ai từ chối kèm lý do, ai trao đổi gì. Khi lãnh đạo vắng mặt, uỷ quyền có thời hạn cho phép người khác xử lý thay trong khoảng thời gian xác định, thay vì đưa token và PIN. Văn bản đã ký có nút "Kiểm tra chữ ký" để đối chiếu, và nhật ký hoạt động giúp truy lại các thao tác khi cần.

Ảnh thật