Các tiết lộ khổng lồ về Facebook và Cambridge Analytica tiếp tục cung cấp tin tức gây sốc về quyền riêng tư của bạn. Nhưng trong chu kỳ tin tức bị Facebook thống trị, chính phủ Mỹ đã lén lút thông qua một văn bản luật pháp làm suy yếu quyền riêng tư trên toàn cầu.
Luật CLOUD Act loại bỏ mọi bảo vệ cho dữ liệu nước ngoài, cho phép cơ quan chính phủ lựa chọn nơi lấy dữ liệu của bạn. Nó cũng thay đổi căn bản cách cảnh sát truy cập dữ liệu do các công ty tư nhân nắm giữ, như Facebook, Google, v.v.
Vậy, Luật CLOUD Act là gì và nó đang phá hủy quyền riêng tư của bạn như thế nào?
Luật CLOUD Act Giải Thích
Luật CLOUD Act được thông qua với ít sự chú ý khi các lập pháp gia gắn nó vào cuối dự luật chi tiêu chính trị 1,3 nghìn tỷ USD bắt buộc phải thông qua. Việc gắn vào cuối một dự luật khổng lồ khác đã ngăn cản CLOUD Act bị thảo luận nghiêm túc, nghĩa là một số lớn công dân chưa bao giờ nghe nói đến nó, let alone hiểu nó thay đổi quyền riêng tư dữ liệu như thế nào.
Luật CLOUD (Clarifying Overseas Use of Data) là một loạt luật pháp cho phép cơ quan thực thi pháp luật Mỹ truy cập dữ liệu được lưu trữ ở nước ngoài và ngược lại. Đây là bản cập nhật cho Luật Quyền Riêng Tư Truyền Thông Điện Tử (ECPA) hiện hành, được thông qua năm 1986. Chính phủ và nhiều công ty công nghệ tin rằng các luật này không còn phù hợp với truyền thông kỹ thuật số hiện đại. Và ECPA có lẽ đúng là vậy, vì năm 1986 chỉ có từ 2.000 đến 30.000 hệ thống kết nối với ARPANET, tiền thân của internet.
Vậy, tại sao một thay đổi luật pháp ảnh hưởng xa xôi lại lướt qua dưới radar? Dưới đây là một số sự kiện và thông tin chính cho bạn.
1. Loại Bỏ Bảo Vệ Dữ Liệu Nước Ngoài
Cơ quan thực thi pháp luật có thể yêu cầu dữ liệu của bạn, bất kể vị trí lưu trữ. Các công ty lưu trữ không thể từ chối cung cấp dữ liệu dựa trên cơ sở đó.
"Nhà cung cấp dịch vụ truyền thông điện tử hoặc dịch vụ tính toán từ xa phải tuân thủ [...] bất kể truyền thông, hồ sơ, hoặc thông tin khác đó nằm trong hay ngoài Hoa Kỳ."
Cho đến tuần trước, yêu cầu dữ liệu cần một hiệp định hỗ trợ pháp lý lẫn nhau (MLAT) với chính phủ khác. MLAT định nghĩa chia sẻ dữ liệu giữa hai quốc gia, bao gồm loại dữ liệu và bối cảnh yêu cầu. MLAT phải qua Thượng viện với phê chuẩn hai phần ba.
Luật CLOUD Act thay đổi điều này, cho phép chính phủ thiết lập quan hệ "hành chính" (executive agreements) với các quốc gia khác, vượt qua luật MLAT hiện có. Kết quả là bất kỳ cơ quan nào cũng có thể yêu cầu bất kỳ công ty công nghệ nào bàn giao dữ liệu người dùng, bất kể vị trí.
Năm 2013, Bộ Tư pháp Mỹ ban hành lệnh yêu cầu Microsoft bàn giao dữ liệu của một khách hàng bị nghi ngờ hoạt động bất hợp pháp. Khách hàng đó, tuy nhiên, là người Ireland, sống tại Ireland, và dữ liệu của họ được lưu trữ trên máy chủ tại... bạn đoán đúng, Ireland. Microsoft đưa vụ kiện lên Tối cao Pháp viện, lập luận lệnh của DOJ là vượt quyền vì khách hàng không phải công dân Mỹ.
Luật CLOUD Act bỏ qua toàn bộ tình huống này, cho phép DOJ yêu cầu dữ liệu, ép buộc Microsoft tuân thủ. Thực tế, DOJ đã yêu cầu Tối cao Pháp viện "bãi bỏ" vụ kiện, trích dẫn việc đưa ra luật mới.
2. Hoạt Động Hai Chiều
Cũng như Luật CLOUD Act cho phép cơ quan thực thi pháp luật Mỹ thu thập dữ liệu nước ngoài, nó cho phép lực lượng cảnh sát nước ngoài làm tương tự. Thực tế, nó làm mờ ranh giới hơn nữa (với việc thu thập dữ liệu tràn lan dưới các chương trình cơ quan chính phủ).
Neema Singh Guiliani, cố vấn lập pháp của ACLU, xác nhận dự luật cho phép "các quốc gia nghe lén trên lãnh thổ Mỹ lần đầu tiên, bao gồm các cuộc hội thoại mà mục tiêu nước ngoài có thể có với người ở Mỹ, mà không tuân thủ yêu cầu của Luật Nghe Lén." Những mục tiêu truyền thông đó bao gồm Facebook, Google, Snapchat, máy chủ email riêng tư, hội thoại nhắn tin tức thì, và mọi thứ ở giữa. (Xem hướng dẫn quyền riêng tư Facebook của chúng tôi.)
Dưới đây là ví dụ về cách nó có thể hoạt động (tóm tắt từ bài viết EFF liên kết):
- Cảnh sát London muốn điều tra tin nhắn Slack riêng tư của một đối tượng Anh bị nghi ngờ gian lận ngân hàng.
- Theo Luật CLOUD Act, cảnh sát London có thể đến Slack và yêu cầu lịch sử tin nhắn của người dùng.
- Slack phải tuân thủ yêu cầu, mà không cần xem xét tư pháp hoặc yêu cầu thông báo cho cơ quan thực thi pháp luật Mỹ; lệnh truy nã có nguyên nhân hợp lý không được yêu cầu.
- Slack bàn giao lịch sử tin nhắn của đối tượng Anh cho cảnh sát London; nhật ký tin nhắn chứa tin nhắn riêng tư với công dân Mỹ.
- Cảnh sát London chia sẻ chi tiết tin nhắn Slack với cơ quan thực thi pháp luật Mỹ; tin nhắn sau đó được dùng chống lại mục tiêu Mỹ trong nước — tất cả mà không cần một lệnh truy nã duy nhất (cơ bản phá hủy Điều khoản Thứ Tư).
Các Điều Khoản Thu Thập Dữ Liệu
Tuy nhiên, có một số điều khoản trong Luật CLOUD Act nhằm ngăn chặn loại thu thập dữ liệu này. Ví dụ, các hành vi sau bị cấm:
- Nhắm mục tiêu trực tiếp dữ liệu của công dân Mỹ bởi chính phủ nước ngoài sử dụng Luật CLOUD Act.
- Yêu cầu quốc gia có hiệp định hành chính nhắm mục tiêu vào một công dân Mỹ cụ thể.
- Cụ thể nhắm mục tiêu dữ liệu của công dân nước ngoài để đồng thời thu thập dữ liệu về công dân Mỹ.
- "Phân tán dữ liệu của người Mỹ" trừ khi có bằng chứng tội phạm nghiêm trọng.
Dù có các điều khoản này, đảm bảo việc sử dụng đúng và thực thi các quy tắc này là khó khăn. Một thay đổi muộn trong Luật CLOUD Act buộc Bộ trưởng Tư pháp Mỹ phải báo cáo Quốc hội để biện minh việc sử dụng hiệp định hành chính, cung cấp một điều khoản khác.
3. Rút Ngắn Thời Gian Xử Lý Yêu Cầu Dữ Liệu
Mặc dù mở ra khả năng hầu như bất kỳ ai cũng có thể bị yêu cầu dữ liệu, Luật CLOUD Act chắc chắn làm nhanh quá trình thu thập dữ liệu. Đôi khi, hoàn thành yêu cầu MLAT có thể mất nhiều tháng. Đôi khi dữ liệu đã lỗi thời hoặc vô dụng khi yêu cầu được xử lý. Việc giảm thời gian xử lý dữ liệu có thể cho phép cảnh sát phá án nhanh hơn, thậm chí ngăn chặn một số vụ việc.
4. Quy Trình Khiếu Nại Hẹp
Luật CLOUD Act cũng có cửa khiếu nại cực kỳ hẹp cho các nhà cung cấp nội dung và dịch vụ. Chỉ có hai điều khoản trong Luật CLOUD Act cho phép công ty công nghệ kháng nghị yêu cầu dữ liệu.
- Nếu người đó không phải công dân Mỹ và không cư trú tại Mỹ, và
- Việc tiết lộ dữ liệu khiến nhà cung cấp rủi ro vi phạm luật pháp tại nước cư trú của họ.
Từ "và" ở đây khá quan trọng. Một khiếu nại sẽ cần đáp ứng cả hai tiêu chí này trước khi được xem xét.
Điểm thứ hai là vấn đề lớn cho công ty công nghệ. Dữ liệu không luôn nằm trên lãnh thổ Mỹ. Trong nhiều trường hợp, nó chưa bao giờ đặt chân tới đó. Nhưng các công ty công nghệ bây giờ bị kẹt giữa chính phủ Mỹ và nước chủ lưu trữ nước ngoài. Vì vậy, các công ty công nghệ có điều khoản trong Luật CLOUD Act để chặn các yêu cầu sẽ gây hại cho họ, miễn là công ty kháng nghị trong vòng 14 ngày.
Nhưng ngay cả vậy, yêu cầu không chết. Công ty công nghệ và chính phủ Mỹ bước vào một quy trình comity phức tạp, nơi tòa án cân bằng giữa yêu cầu dữ liệu của chính phủ so với sự gián đoạn/hành vi phạm pháp luật bị ép buộc lên công ty công nghệ.
5. Điều Khoản Về Mã Hóa Và Tự Do Dân Sự
Luật CLOUD Act cho phép thu thập dữ liệu từ nhiều dịch vụ. Nhưng, như một chút tốt cho quyền riêng tư, các hiệp định hành chính không thể ép buộc bất kỳ chính phủ nào giải mã dữ liệu. Trong một số trường hợp, giải mã dữ liệu cực kỳ khó khăn, và chính phủ có thể không muốn tốn thời gian cho những nguồn dữ liệu đó (như WhatsApp hay Telegram).
Một sửa đổi trong văn bản Luật CLOUD Act yêu cầu Bộ trưởng Ngoại giao và Bộ trưởng Tư pháp Mỹ phải đảm bảo bất kỳ quốc gia nào ký hiệp định hành chính "cung cấp các biện pháp bảo vệ thực chất và thủ tục mạnh mẽ cho quyền riêng tư và tự do dân sự." Khía cạnh này cố gắng bảo vệ quyền của công dân Mỹ khỏi hậu quả của luật pháp, bao gồm:
- Bảo vệ khỏi can thiệp tùy tiện và trái pháp luật vào quyền riêng tư.
- Quyền được xét xử công chính.
- Tự do ngôn luận, kết tập, và tập hội hòa bình.
- Cấm bắt giữ và giam cầm tùy tiện.
- Cấm tra tấn và đối xử tàn nhẫn, không nhân đạo, hoặc hạ thấp nhân phẩm.
Tuy nhiên, những người hoài nghi sẽ chỉ ra rằng dù các điều khoản này "bảo vệ" tự do dân sự, đã có nhiều ví dụ về các cơ quan chính phủ khác (không chỉ tại Mỹ) vi phạm các quy tắc đó. Vậy điều gì bảo chứng các điều khoản, trong phần này hay nơi khác, sẽ bảo vệ công dân khỏi thu thập dữ liệu thêm? Câu trả lời đơn giản: bạn phải tin tưởng cơ quan thực thi pháp luật và chính phủ làm điều đúng đắn.
Sự Ủng Hộ Của Công Ty Công Nghệ
Luật CLOUD Act nhận được sự ủng hộ của nhiều công ty công nghệ lớn. Luật pháp bản thân tạo ra một đường ranh rõ ràng giữa cách chính phủ Mỹ và chính phủ nước ngoài có thể truy cập dữ liệu, cả trong nước lẫn nước ngoài.
Một thư được ký bởi Apple, Microsoft, Google, Facebook, và Oauth nêu rõ Luật CLOUD Act "khuyến khích đối thoại ngoại giao, nhưng cũng trao cho ngành công nghệ hai quyền luật định rõ ràng để bảo vệ người tiêu dùng và giải quyết xung đột luật pháp nếu chúng nảy sinh. Luật pháp cung cấp cơ chế thông báo cho chính phủ nước ngoài khi yêu cầu pháp lý liên quan đến cư dân của họ, và khởi động thách thức pháp lý trực tiếp khi cần thiết."
Các công ty này đã lâu vận động cho sự rõ ràng được ghi vào luật, đặc biệt khi các luật cũ đã lỗi thời. Và, nếu bạn bước lùi lại từ các vấn đề quyền riêng tư đè bẹp, điều đó có lý, cho cả người tiêu dùng và công ty công nghệ.
Tác Động Của Luật CLOUD Act Lên Quyền Riêng Tư Của Bạn
Luật CLOUD Act có phá hủy hoàn toàn quyền riêng tư của bạn không? Tùy vào những gì bạn đọc. Hơn nữa, tùy vào bạn tin ai.
ACLU, EFF, và Quỹ Tự Do Báo Chí công khai phản đối Luật CLOUD Act. Họ lập luận đó là bước đi nguy hiểm, về cơ bản không thể đảo ngược, dẫn đến sự thiếu an ninh dữ liệu vĩnh viễn. Không chỉ vậy, cả ACLU và EFF đều lưu ý rằng dù luật pháp này có tác động toàn cầu, nó "chưa bao giờ được trao sự chú ý xứng đáng trong Quốc hội."
Luật CLOUD Act đại diện cho một thay đổi căn bản trong quyền riêng tư dữ liệu của Mỹ. Nó được trôi cùng với dự luật chi tiêu bắt buộc phải thông qua để tránh một lần nữa chính phủ đóng cửa. Và bạn thậm chí không được tiếng nói.