Chữ ký điện tử xuyên biên giới: eIDAS giữa châu Âu...

Giới thiệu: tại sao công nhân xuyên biên giới lại là một vấn đề chiến lược vào năm 2026

Với sự gia tăng các giao dịch thương mại giữa Liên minh châu Âu và các nước Magreb — Ma Rốc, Algérie, Tunisia — câu hỏi về chữ ký điện tử xuyên biên giới eIDAS đã trở thành vấn đề trọng tâm đối với hàng nghìn doanh nghiệp. Vào năm 2025, khối lượng xuất khẩu của Pháp sang Magreb vượt quá 12 tỷ euro theo dữ liệu từ Bộ Tài chính Pháp, với một phần ngày càng tăng của các giao dịch này liên quan đến các hợp đồng số hóa. Tuy nhiên, công nhân pháp lý của chữ ký điện tử từ một bên ký Marốc hoặc Tunisia bởi tòa án Pháp hoặc Tây Ban Nha vẫn còn là một vấn đề đầy những điều bất ổn. Bài viết này khám phá khung pháp lý hiện hành, các cơ chế công nhân, những thách thức thực tiễn và các giải pháp hoạt động để bảo mật các hoạt động xuyên biên giới của bạn.

---

Quy tắc eIDAS và phạm vi địa lý: những gì các doanh nghiệp cần biết

eIDAS 1.0 và eIDAS 2.0: một tham vọng châu Âu trước hết

Quy tắc eIDAS số 910/2014 tạo thành nền tảng pháp lý của chữ ký điện tử trong Liên minh châu Âu. Nó định nghĩa ba cấp độ chữ ký — đơn giản, nâng cao (AdES) và có đủ tiêu chuẩn (QES) — và bắt buộc công nhân lẫn nhau giữa các quốc gia thành viên đối với chữ ký có đủ tiêu chuẩn. Trong thực tiễn, một chữ ký có đủ tiêu chuẩn do nhà cung cấp dịch vụ tin tưởng Đức (được ghi danh trên danh sách tin tưởng châu Âu hoặc "TSL") phát hành có thể hoàn toàn có giá trị trước tòa án Pháp.

Quy tắc eIDAS 2.0, được thông qua chính thức vào tháng 5 năm 2024 và có hiệu lực từng phần cho đến năm 2026, tăng cường khung pháp lý này bằng ví danh tính kỹ thuật số châu Âu (EUDIW), nhưng vẫn giữ cùng phạm vi địa lý: 27 quốc gia thành viên EU, cộng với Na Uy, Iceland và Liechtenstein (không gian EEE).

Hậu quả trực tiếp rất quan trọng: eIDAS không tạo ra bất kỳ nghĩa vụ công nhân tự động nào đối với chữ ký do các nhà cung cấp dịch vụ có trụ sở tại Ma Rốc, Algérie, Tunisia hoặc rộng hơn ở châu Phi subsahara phát hành. Công nhân xuyên biên giới ngoài EU dựa vào các cơ chế khác.

Danh sách tin tưởng (TSL): chìa khóa để công nhân châu Âu

Để một chữ ký điện tử được hưởng lợi từ sự suy định về hiệu lực pháp lý theo nghĩa của eIDAS, nhà cung cấp dịch vụ tin tưởng (PSCo) phải được ghi danh trên danh sách tin tưởng (Trusted Service List) được công bố bởi quốc gia thành viên của nó. Các danh sách này, có thể truy cập qua cổng thông tin của Ủy ban châu Âu, ghi danh hơn 300 nhà cung cấp có đủ tiêu chuẩn trên toàn bộ EU vào năm 2026.

Không có nhà cung cấp dịch vụ nào từ Ma Rốc, Algérie hoặc Tunisia được ghi danh trên các danh sách này. Do đó, chữ ký của họ không được hưởng lợi từ sự suy định tự động. Điều này không làm cho chúng vô hiệu lực — giá trị pháp lý của chữ ký điện tử có thể được thiết lập bằng những bằng chứng khác — nhưng giá trị có thể gây tranh chấp và có thể phải đối mặt với những thách thức.

eIDAS và các thỏa thuận lưỡng phương: con đường tương tác lẫn nhau

Liên minh châu Âu đã bắt đầu các cuộc thảo luận với một số quốc gia thứ ba để ký các thỏa thuận công nhân lẫn nhau về danh tính kỹ thuật số và chữ ký điện tử. Vào cuối năm 2025, không có thỏa thuận chính thức nào được ký kết với các nước Magreb, khác với những gì tồn tại giữa EU và một số nước châu Á hoặc Bắc Mỹ trong các bối cảnh khu vực.

Tuy nhiên, có những sáng kiến khích lệ. Quan hệ đối tác chiến lược EU-Ma Rốc năm 2022 bao gồm một khía cạnh "chuyển đổi kỹ thuật số" mà đề cập rõ ràng đến khả năng tương tác của các danh tính kỹ thuật số. Tunisia, từ phía của nó, đã ban hành luật số 2000-83 ngày 9 tháng 8 năm 2000 về trao đổi và thương mại điện tử, được sửa đổi vào năm 2020, thừa nhận chữ ký điện tử nâng cao với điều kiện nó được tạo ra bằng chứng chỉ do nhà cung cấp dịch vụ được công nhân bởi ANCE (Cơ quan Chứng thực Điện tử Quốc gia). Ma Rốc có một khung pháp lý tương tự thông qua luật 53-05 liên quan đến trao đổi dữ liệu điện tử pháp lý và ANRT (Cơ quan Quy định Viễn thông Quốc gia).

---

Công nhân xuyên biên giới trong thực tiễn: cách thực hiện chữ ký ngoài biên giới

Nguyên tắc không phân biệt đối xử và những hạn chế của nó

Điều 25 của quy tắc eIDAS đặt ra một nguyên tắc cơ bản: chữ ký điện tử không thể bị từ chối làm bằng chứng tại tòa án chỉ vì nó ở dạng điện tử. Nguyên tắc này áp dụng ở tất cả các quốc gia thành viên đối với bất kỳ chữ ký nào, bao gồm những chữ ký do những người ký cư trú ngoài EU phát hành. Nói cách khác, một công ty Pháp có thể nộp cho tòa án thương mại một chữ ký điện tử từ đối tác Ma Rốc, và tòa án không thể từ chối nó một cách tự động vì nó không có đủ tiêu chuẩn theo nghĩa của eIDAS.

Nhưng thẩm phán có thể thay vào đó tự do đánh giá giá trị bằng chứng của nó, điều này mở ra cửa cho các tranh chấp. Gánh nặng chứng minh khi đó tính trên bên sử dụng chữ ký: phải chứng minh tính toàn vẹn của tài liệu, nhận dạng đáng tin cậy của người ký và không có thay đổi.

Các chiến lược hoạt động của các doanh nghiệp B2B

Chiến lược 1: neo chữ ký vào khung eIDAS phía châu Âu. Khi một công ty Pháp ký hợp đồng với đối tác Tunisia, nó có thể sử dụng một nền tảng châu Âu có tiêu chuẩn — như Certyneo, được chứng thực phù hợp với tiêu chí chữ ký điện tử nâng cao — để thu thập chữ ký của đối tác nước ngoài. Người ký Tunisia ký qua một quy trình nhận dạng mạnh mẽ (SMS OTP, xác minh tài liệu nhận dạng), và chữ ký được chứng thực phía xử lý và đánh dấu thời gian bởi cơ sở hạ tầng châu Âu. Giá trị pháp lý được neo vào droit pháp lý châu Âu.

Chiến lược 2: chữ ký có tiêu chuẩn thông qua uỷ quyền hoặc đại diện pháp lý EU. Trong một số lĩnh vực (tài chính, bất động sản, hợp đồng công cộng), các công ty Magreb có chi nhánh châu Âu làm cho các đại diện cư trú trong EU ký bằng chứng chỉ có tiêu chuẩn eIDAS, điều này đơn giản hóa công nhân.

Chiến lược 3: chữ ký kép và lưu trữ bằng chứng. Đối với các hợp đồng có giá trị cao, chữ ký kép — một chữ ký điện tử nâng cao phía châu Âu, một chữ ký tuân thủ luật địa phương phía Magreb — kết hợp với đánh dấu thời gian điện tử có tiêu chuẩn tạo thành an toàn pháp lý gia tăng. Đánh dấu thời gian có tiêu chuẩn eIDAS tạo bằng chứng về tiền dự tính có giá trị trước bất kỳ tòa án nào.

Vai trò của pháp luật quốc tế tư nhân

Do thiếu sự hài hòa hóa quốc tế, quy tắc Rome I (EC số 593/2008) về luật áp dụng cho các nghĩa vụ hợp đồng đóng một vai trò then chốt. Các bên có thể tự do lựa chọn luật áp dụng cho hợp đồng của họ. Một điều khoản "luật áp dụng: luật Pháp" trong hợp đồng Pháp-Ma Rốc tính toàn bộ tính hợp pháp hình thức của hợp đồng — và do đó của chữ ký của nó — sang luật Pháp (các điều 1366-1367 của Bộ luật dân sự). Kỹ thuật này, đơn giản nhưng hiệu quả, cho phép neo công nhân của chữ ký vào một khung pháp lý được biết đến và được thử nghiệm.

---

Những thách thức cụ thể của trao đổi châu Âu–Magreb–Châu Phi subsahara

Tính không đồng nhất của các khung pháp lý quốc gia

Nếu Ma Rốc và Tunisia có những luật pháp tương đối có cấu trúc trong vấn đề chữ ký điện tử, tình hình lại nhiều hơn là chia rẻ đối với Algérie và các nước châu Phi subsahara. Algérie đã thông qua luật số 15-04 ngày 1 tháng 2 năm 2015 liên quan đến chữ ký và chứng thực điện tử, tạo ra Cơ quan Chứng thực Quốc gia (ANC), nhưng triển khai hoạt động của các nhà cung cấp dịch vụ được công nhân vẫn còn hạn chế. Ở Tây Phi, những sáng kiến như khung tin tưởng kỹ thuật số của CEDEAO (Cộng đồng Kinh tế Các Quốc gia Tây Phi) đang được phát triển, nhưng không có tương đương hoạt động với eIDAS vào năm 2026.

Tính không đồng nhất này yêu cầu các công ty châu Âu phải phân tích từng nước, thậm chí từng ngành. Một giải pháp SaaS của chữ ký điện tử cho doanh nghiệp tích hợp sẵn quản lý dòng xuyên biên giới và đuôi kiểm toán tuân thủ các yêu cầu ETSI EN 319 102-1 mang lại một lợi thế đáng kể trong bối cảnh này.

Những thách thức về nhận dạng từ xa của những người ký nước ngoài

Nhận dạng đáng tin cậy của người ký là gót chân Achilles của chữ ký xuyên biên giới. Đối với chữ ký nâng cao theo nghĩa của eIDAS, người ký phải được "liên kết một cách duy nhất" đến chữ ký và có thể nhận dạng. Xác minh danh tính của người ký cư trú ở Casablanca hoặc Tunis mà không cần sử dụng danh tính kỹ thuật số châu Âu được công nhân buộc phải thực hiện các quy trình thay thế: xác minh tài liệu từ xa (quét CNI hoặc hộ chiếu sinh trắc học), sinh trắc học khuôn mặt, xác minh qua các cơ sở dữ liệu bên thứ ba.

Vào năm 2026, một số nền tảng châu Âu được chứng thực eIDAS tích hợp các mô-đun xác minh danh tính từ xa (Remote Identity Verification, RIV) tuân thủ các tiêu chuẩn ETSI TS 119 461, tương thích với tài liệu nhận dạng từ nhiều nước thứ ba bao gồm Ma Rốc và Tunisia (hộ chiếu ICAO 9303 có chip NFC có thể đọc được). Khả năng kỹ thuật này bây giờ là tiêu chí lựa chọn thiết yếu đối với những người mua B2B.

Chủ quyền dữ liệu và GDPR trong bối cảnh xuyên biên giới

Khi dữ liệu cá nhân của những công dân từ các nước thứ ba được xử lý bởi một nền tảng chữ ký điện tử châu Âu, GDPR áp dụng miễn là quá trình xử lý diễn ra ở EU hoặc nhắm vào những người trong EU. Các chuyển giao dữ liệu đến các quốc gia không có quyết định về tính đầy đủ — như Algérie hoặc Senegal — phải được quy định bởi các điều khoản hợp đồng tiêu chuẩn (CCT) được Ủy ban châu Âu thông qua, hoặc các cơ chế khác của điều 46 của GDPR. Ràng buộc này phải được dự đoán trước trong các hợp đồng tiểu thương được ký với các nhà cung cấp dịch vụ SaaS.

Ma Rốc được hưởng lợi kể từ năm 2018 từ quyết định đầy đủ của Ủy ban châu Âu liên quan đến chế độ bảo vệ dữ liệu của nó (luật 09-08), điều này đơn giản hóa các chuyển giao đến nước này. Tunisia đang làm việc để có được quyết định tương tự, nhưng nó chưa được chính thức hóa vào ngày xuất bản bài viết này.

Khung pháp luật áp dụng cho chữ ký điện tử xuyên biên giới

Chữ ký điện tử xuyên biên giới liên quan đến một kỳ phức tạp của một số lớp chuẩn mực mà phải được thành thạo trước bất kỳ triển khai nào.

Luật pháp châu Âu sáng lập

Quy tắc (EU) số 910/2014 của Quốc hội châu Âu và Hội đồng ngày 23 tháng 7 năm 2014 (eIDAS) tạo thành văn bản tham chiếu. Điều 3 của nó định nghĩa ba cấp độ chữ ký điện tử. Điều 25 §1 đặt ra nguyên tắc không phân biệt đối xử (hiệu lực pháp lý không từ chối chỉ vì điều kiện điện tử), trong khi Điều 25 §2 cấp cho chữ ký có tiêu chuẩn hiệu lực tương đương với chữ ký bằng tay, với suy định về tính toàn vẹn và xác thực. Điều 25 §3 làm rõ rằng chữ ký có tiêu chuẩn dựa trên chứng chỉ từ nước thứ ba có thể được công nhân nếu nó là đối tượng của một thỏa thuận công nhân được ký kết bởi EU với nước đó.

Quy tắc (EU) 2024/1183 (eIDAS 2.0) sửa đổi đáng kể quy tắc năm 2014 bằng cách giới thiệu Ví Danh Tính Kỹ thuật Số Châu Âu (EUDI Wallet), các quy tắc tăng cường đối với PSCo có tiêu chuẩn và một nghĩa vụ đối với các quốc gia thành viên để đề xuất danh tính kỹ thuật số cho công dân của họ vào cuối năm 2026.

Luật pháp Pháp

Các điều 1366 và 1367 của Bộ luật dân sự đặt ra khung công nhân quốc gia: điều 1366 công nhân tài liệu điện tử như bằng chứng trong cùng mức độ với tài liệu giấy dưới các điều kiện nhận dạng và tính toàn vẹn; điều 1367 đặc tính chữ ký điện tử đáng tin cậy là sử dụng một quy trình nhận dạng đảm bảo mối liên kết của nó với hành động. Sắc lệnh số 2017-1416 ngày 28 tháng 9 năm 2017 liên quan đến chữ ký điện tử làm rõ các điều kiện của suy định về độ tin cậy tham chiếu đến eIDAS.

Tiêu chuẩn kỹ thuật ETSI

Sự tuân thủ kỹ thuật của chữ ký xuyên biên giới dựa vào các tiêu chuẩn ETSI EN 319 132 (XAdES), EN 319 122 (CAdES) và EN 319 142 (PAdES) đối với các định dạng chữ ký, và ETSI EN 319 102-1 để xác thực. Tiêu chuẩn ETSI TS 119 461 điều chỉnh xác minh danh tính từ xa của những người ký. Các tiêu chuẩn này áp dụng bất kể quốc tịch của người ký miễn là nền tảng là châu Âu.

Luật pháp quốc tế tư nhân

Quy tắc Rome I (EC số 593/2008) cho phép lựa chọn luật áp dụng. Điều 11 của nó điều chỉnh tính hợp pháp hình thức của hợp đồng: một hợp đồng là hợp pháp hình thức nếu nó tuân thủ luật của nơi kết luận hoặc luật áp dụng cho vấn đề cơ bản. Kết hợp một điều khoản lựa chọn luật Pháp với việc sử dụng một nền tảng tuân thủ eIDAS là phương pháp an toàn nhất đối với các hợp đồng Pháp-Magreb.

Những nghĩa vụ GDPR

Quy tắc (EU) 2016/679 (GDPR), các điều 44 đến 49, điều chỉnh chuyển giao dữ liệu cá nhân quốc tế. Các công ty sử dụng các giải pháp đám mây chữ ký phải xác minh vị trí của các máy chủ và sự tồn tại của các điều khoản hợp đồng tiêu chuẩn (CCT, quyết định Ủy ban 2021/914) đối với bất kỳ xử lý nào liên quan đến dữ liệu của những người ký cư trú ngoài EEE, trong một quốc gia không có quyết định về tính đầy đủ.

Rủi ro pháp lý được xác định

Rủi ro chính là tranh chấp tính hợp pháp hình thức của một hợp đồng ký dưới dạng điện tử trước tòa án nước ngoài không công nhân khung eIDAS. Rủi ro bổ sung là hủy bỏ một phần vì thiếu nhận dạng của người ký. Cuối cùng, chuyển giao dữ liệu không tuân thủ GDPR tiếp xúc công ty với các hình phạt có thể đạt tới 4% doanh thu năm toàn cầu hàng năm.

Các trường hợp sử dụng: chữ ký xuyên biên giới châu Âu–Magreb trong thực tiễn

Trường hợp 1: một công ty tư vấn châu Âu và những nhà thầu độc lập ở Magreb

Một công ty tư vấn công nghệ thông tin của khoảng mười lăm nhân viên, có trụ sở ở Pháp, sử dụng khoảng hai mươi nhà tư vấn độc lập cư trú ở Ma Rốc và Tunisia cho các dự án phát triển phần mềm. Mỗi dự án tạo ra một hợp đồng dịch vụ từ 2 đến 6 tháng, kèm theo một Công khai Công việc Chi tiết — mà một mô hình SOW có cấu trúc có thể hữu ích — và các sửa đổi thường xuyên.

Trước khi triển khai một giải pháp chữ ký điện tử xuyên biên giới, chu kỳ ký mất trung bình 8 đến 12 ngày (gửi bưu điện hoặc email, in ấn, quét, gửi lại). Bằng cách triển khai một nền tảng tuân thủ eIDAS với mô-đun xác minh danh tính từ xa tương thích với hộ chiếu Ma Rốc và Tunisia (đọc NFC ICAO 9303), thời gian được rút ngắn xuống dưới 48 giờ trong 85% các trường hợp. Giảm chi phí hành chính liên quan đến quản lý tài liệu được ước tính từ 40 đến 60% theo các chuẩn mực ngành được công bố bởi công ty tư vấn McKinsey Digital (2024). Luật Pháp được chỉ định là luật áp dụng trong mỗi hợp đồng, và đánh dấu thời gian có tiêu chuẩn đảm bảo bằng chứng về tiền dự tính có giá trị.

Trường hợp 2: một tập đoàn công nghiệp Pháp-Magreb quản lý các hợp đồng nhà cung cấp xuyên biên giới

Một tập đoàn công nghiệp có kích thước trung bình (ETI) hoạt động trong lĩnh vực chế biến nông sản có các trạm sản xuất ở Pháp và Ma Rốc, và cung cấp từ các nhà cung cấp dịch vụ địa phương hóa ở Algérie và Tunisia. Khối lượng hàng năm của các hợp đồng khung, đơn đặt hàng và sửa đổi vượt quá 400 tài liệu cần có chữ ký hình thức từ các đại diện pháp lý nước ngoài.

Bộ phận pháp lý đã triển khai một chiến lược neo kép: mặt khác, một điều khoản hệ thống về luật Pháp áp dụng cho tất cả các hợp đồng nhà cung cấp; mặt khác, sử dụng độc quyền một nền tảng SaaS được chứng thực eIDAS để thu thập chữ ký, với đuôi kiểm toán hoàn chỉnh (IP, dấu thời gian, dấu vân tay tài liệu SHA-256). Những người ký Algérie, để những người xác minh NFC không phải luôn có sẵn, là đối tượng của xác minh tài liệu tăng cường thủ công thông qua tải lên CNI và xác nhận đại lý. Tỷ lệ tranh chấp hợp đồng đã giảm từ 12% xuống dưới 1% trong hai năm tài chính liên tiếp, theo báo cáo nội bộ của bộ phận pháp lý. Giải pháp cũng tích hợp lưu trữ đi