Google cung cấp thông tin ngân hàng và thẻ tín dụng của một sinh viên làm báo theo yêu cầu của ICE

• Theo trát đòi hầu tòa (subpoena) do Cơ quan Thực thi Di trú và Hải quan Mỹ (ICE) ban hành, Google đã cung cấp thông tin cá nhân như số tài khoản ngân hàng và thẻ tín dụng của một sinh viên làm báo
• Người này là Amandla Thomas-Johnson, người từng tham gia cuộc biểu tình lên án các công ty cung cấp vũ khí cho Israel tại hội chợ việc làm của Đại học Cornell năm 2024 và sau đó bị cấm vào khuôn viên trường
• ICE đã yêu cầu Google cung cấp một phạm vi dữ liệu rất rộng, gồm tên người dùng, địa chỉ, dịch vụ che giấu IP, số điện thoại, thông tin thuê bao, thông tin thanh toán, và Google đã thực hiện mà không thông báo trước
• Electronic Frontier Foundation (EFF) và ACLU kêu gọi các công ty công nghệ lớn như Google, Amazon và Apple chống lại các yêu cầu từ chính phủ khi không có lệnh của tòa và thông báo cho người dùng
• Các chuyên gia cho rằng vụ việc này cho thấy sự cần thiết phải sửa đổi luật bảo vệ quyền riêng tư số và hạn chế sự hợp tác của Big Tech với chính phủ

---

Trát đòi của ICE và phản ứng của Google

• ICE đã ban hành trát đòi yêu cầu thông tin chi tiết liên quan đến tài khoản Gmail của Amandla Thomas-Johnson
  • Các mục được yêu cầu bao gồm tên người dùng, địa chỉ, lịch sử sử dụng dịch vụ, dịch vụ che giấu IP, số điện thoại, thông tin định danh thuê bao, số thẻ tín dụng và số tài khoản ngân hàng
  • ICE yêu cầu Google giữ bí mật vô thời hạn về sự tồn tại của trát đòi này
• Google chỉ gửi cho Thomas-Johnson một email ngắn cho biết họ đã cung cấp metadata cho Bộ An ninh Nội địa (DHS), và không có cơ hội phản ứng trước
• Thomas-Johnson xác nhận rằng tài khoản của anh có liên kết thông tin thanh toán để mua ứng dụng
• Luật sư phía Google cho biết họ chỉ cung cấp thông tin thuê bao cơ bản, nhưng toàn bộ phạm vi dữ liệu đã được cung cấp vẫn chưa rõ ràng

Bối cảnh của sinh viên làm báo và diễn biến vụ việc

• Thomas-Johnson đã tham gia khoảng 5 phút vào cuộc biểu tình phản đối các công ty cung cấp vũ khí cho Israel tại Đại học Cornell năm 2024, sau đó bị cấm vào khuôn viên trường
• Sau khi Tổng thống Donald Trump nhậm chức và ban hành sắc lệnh hành pháp nhắm vào các sinh viên biểu tình ủng hộ Palestine, anh đã phải ẩn náu cùng người bạn Momodou Taal
• Taal thông qua luật sư đã phản đối pháp lý thành công đối với các trát đòi gửi đến Google và Meta, nhưng Thomas-Johnson không có được cơ hội đó
• Hiện anh đang sống tại Dakar, Senegal, và cho biết yêu cầu thông tin của ICE nhằm mục đích truy vết và giam giữ mình

Phản ứng của các tổ chức dân sự và chỉ trích các công ty công nghệ

• EFF và chi nhánh ACLU Bắc California đã gửi thư tới các công ty lớn như Google, Amazon, Apple, Discord, Meta, Microsoft và Reddit, yêu cầu họ không tuân thủ các trát đòi tương tự từ DHS trong tương lai nếu không có lệnh của tòa
  • Bức thư nhấn mạnh rằng các công ty phải thông báo trước cho người dùng để bảo đảm cơ hội ứng phó pháp lý
  • Đồng thời, thư cũng kêu gọi họ chống lại lệnh bịt miệng (gag order) để thông báo cho người dùng về việc trát đòi đã được ban hành
• Bức thư cho rằng chính phủ đang lặp đi lặp lại việc yêu cầu dữ liệu từ các công ty công nghệ để xác định danh tính những người chỉ trích, đồng thời chỉ ra rằng các công ty đã không bảo vệ được quyền riêng tư và tự do biểu đạt của người dùng trước hoạt động giám sát bất hợp pháp
• Trong một vụ việc khác liên quan đến Meta, từng có yêu cầu tiết lộ danh tính những người dùng ghi lại hoạt động thực thi di trú, nhưng các người dùng đó đã được thông báo trước và có thể khởi kiện để phản ứng

Các vấn đề pháp lý và chính sách

• Giáo sư Lindsay Nash của Cardozo Law chỉ trích Google vì đã không thông báo trước, qua đó tước đi cơ hội để cá nhân thực thi quyền bảo vệ thông tin của mình
• Stored Communications Act và Điều 5 của Đạo luật Ủy ban Thương mại Liên bang (FTC Act) điều chỉnh việc các công ty công nghệ chia sẻ dữ liệu, nhưng việc này có cấu thành hành vi đánh lừa người tiêu dùng hay không vẫn còn gây tranh cãi
• Giáo sư Neil Richards (Đại học Washington tại St. Louis) giải thích rằng nếu công ty thông tin sai lệch về cách họ xử lý dữ liệu, điều đó có thể bị coi là hành vi thương mại mang tính lừa dối
  • Ông dẫn vụ Cambridge Analytica làm ví dụ, cho rằng vấn đề minh bạch trong thu thập và chia sẻ dữ liệu đã là đối tượng tranh chấp pháp lý suốt nhiều thập kỷ

Cần cải cách quyền riêng tư dữ liệu

• Chính sách quyền riêng tư công khai của Google nêu rõ rằng công ty có thể cung cấp thông tin theo yêu cầu hợp pháp từ chính phủ, đồng thời cho biết họ có thể từ chối các yêu cầu quá mức hoặc có vấn đề về thủ tục
• Tuy nhiên, theo báo cáo minh bạch của Google, số yêu cầu cung cấp thông tin người dùng từ chính phủ trong 10 năm qua đã lên tới hàng triệu vụ và tăng mạnh trong 5 năm gần đây
  • Tỷ lệ các yêu cầu này mà người dùng được thông báo trước hoặc sau vẫn không rõ ràng
• Giáo sư Richards nhấn mạnh cần sửa luật để nâng chuẩn tiếp cận dữ liệu số của chính phủ và ban hành quy định hạn chế Big Tech chia sẻ thông tin
• Ông đánh giá rằng trong một năm gần đây, mối quan hệ giữa Big Tech và chính phủ đã trở nên chặt chẽ hơn, với xu hướng thân thiện hơn với quyền lực nhà nước

Phản ứng của nhà báo và bối cảnh tự do báo chí

• Thomas-Johnson bày tỏ cú sốc khi cho biết vụ việc này là lần anh trực tiếp trải nghiệm cấu trúc giám sát mà trước đây chỉ quan sát từ bên ngoài với tư cách nhà báo
• Anh nói rằng chúng ta cần suy nghĩ lại về ý nghĩa của sự phản kháng trong thời đại mà chính phủ và Big Tech có thể truy vết, giam giữ và hủy hoại chúng ta
• Phát biểu của anh được xem là dịp để nhìn lại vai trò của các công ty công nghệ tại giao điểm giữa tự do báo chí và giám sát số
• Theo phần cập nhật cuối bài, nhóm pháp lý của anh vẫn chưa xác định được toàn bộ phạm vi thông tin mà Google đã cung cấp cho ICE

[GN⁺]

Ý kiến trên Hacker News

• Chia sẻ liên kết đến bài gốc (archive)

• Tôi nghĩ việc công ty nộp dữ liệu khách hàng khi có lệnh khám xét hoặc trát đòi hợp lệ là điều chấp nhận được
  Vấn đề là cấu trúc đã cho phép DHS lạm dụng trát đòi hành chính (administrative subpoena)
  Loại này được ban hành mà không có thẩm tra của thẩm phán, và cũng không nhắm vào tội phạm
  Trước đây nó từng giúp tăng hiệu quả điều tra, nhưng giờ đã trở thành công cụ để ICE tiến hành bắt giữ hàng loạt mà không có giám sát tư pháp
  Cuối cùng, vấn đề còn lớn hơn quyền riêng tư là việc Quốc hội đang để mặc “hệ thống tư pháp trong bóng tối” này tồn tại

  • Cả hai điều đều có thể đúng. Đây vừa là vấn đề quyền riêng tư, vừa là vấn đề thể chế
  • Sự không hoàn hảo của con người luôn có thể ảnh hưởng đến thủ tục pháp lý
    Việc đoán xem các cơ quan nhà nước có “đang làm đúng trong tuần này không” là vô ích
    Họ luôn tìm cách vượt giới hạn, và không bao giờ thấy đủ
  • Không thể coi tình huống này là “hệ thống đang vận hành đúng như thiết kế”
    Trong một quốc gia tự do, người ta không nên bị truy lùng vì những lý do vô căn cứ
  • Nếu trát đòi hành chính không có thẩm tra của thẩm phán, thì có lẽ đó cũng là tin xấu đối với chế định thẩm phán sơ bộ (magistrate)
  • Ngay cả trong “thời kỳ tốt đẹp”, loại cơ chế này vẫn là một dạng lạm dụng quyền lực nhà nước
    Chỉ là phần lớn mọi người không trực tiếp chịu hại nên không cảm nhận được vấn đề
    Nó giống với hiện tượng thái độ bảo vệ tự do ngôn luận thay đổi tùy theo bên nào đang cầm quyền

• Tôi thắc mắc vì sao tiêu đề lại bị đổi
  Tiêu đề ban đầu là “Google Fulfilled ICE Subpoena Demanding Student Journalist’s Bank and Credit Card Numbers”
  Xem quy định của HN

  • Có lẽ người đăng ban đầu dùng tiêu đề gốc, nhưng nguồn đã được chỉnh sửa sau đó
    Liên kết archive ghi là “GOOGLE HANDED ICE STUDENT JOURNALIST’S BANK AND CREDIT CARD NUMBERS”

• Google công bố thống kê yêu cầu từ chính phủ qua báo cáo minh bạch
  Vài năm trước tôi cũng từng nằm trong một National Security Letter (NSL) của FBI
  Sau khi thời hạn giữ kín kết thúc, tôi đã được Google thông báo

  • Tôi tò mò không biết vì sao anh nhận NSL, và liệu việc đó có dẫn đến khám xét hay truy tố gì không
  • Tôi muốn hỏi liệu anh có thể giải thích mình đã bị đưa vào danh sách đó như thế nào, sau đó đã xảy ra chuyện gì, và anh có phản ứng pháp lý gì không

• Tôi thắc mắc liệu thông tin thanh toán này có phải là lịch sử chi tiêu thực tế hay chỉ là dữ liệu từ quy trình xác minh thẻ tín dụng để xác nhận độ tuổi trên YouTube
  Nói cách khác, đây có thể là thông tin được thu thập trong quá trình xác minh độ tuổi của YouTube để xác định có hiển thị nội dung người lớn hay không

• Để lại một bình luận châm biếm kiểu “Hãy nhớ tải bằng lái xe và giấy tờ tùy thân lên để giữ an toàn cho trẻ em”

• Hệ thống ngân hàng tập trung, internet tập trung, quyền lực tập trung — đặt ra câu hỏi mỉa mai rằng liệu trong cấu trúc như vậy có gì có thể sai hay không

• Tôi thắc mắc liệu Google có nghĩa vụ pháp lý phải giao nộp hay không

  • Nếu là trát đòi từ tòa án thông thường thì là ‘có’, nhưng nếu là trát đòi hành chính thì phải chấp nhận rủi ro pháp lý
    Việc xem xét tư pháp diễn ra sau đó. Nếu Google cho rằng yêu cầu là vô lý thì có thể phản đối trước tòa, nhưng trong lúc đó họ либо phải tuân thủ, либо phải từ chối và chấp nhận nguy cơ bị xử vì khinh mạn tòa án
  • Theo tài liệu của ACLU, không có nghĩa vụ pháp lý nào cả
    Tức là Google đã tự nguyện giao thông tin
    Trát đòi hành chính không có hiệu lực cưỡng chế pháp lý, và để khám xét nơi ở thì bắt buộc phải có lệnh khám xét có chữ ký của thẩm phán
  • Về mặt pháp lý, doanh nghiệp cần có chữ ký của thẩm phán mới được giao tài liệu
    Có vẻ trong vụ này DHS tự mình ban hành, và vấn đề là nó được tiến hành không có phê chuẩn của thẩm phán
    Việc Google vừa giao một phần thông tin vừa thông báo cho đương sự là biện pháp để tạo cơ hội phản ứng pháp lý
    Đặc biệt nếu yêu cầu này nhằm trả đũa người tham gia biểu tình, thì đó là mối đe dọa nghiêm trọng đối với nhà nước pháp quyền
  • Cũng có ý kiến cho rằng chính câu hỏi “có nghĩa vụ pháp lý hay không” đã trở nên vô nghĩa trong một quốc gia đang ngả dần sang chủ nghĩa độc đoán

• Trong tình huống như vậy, người dùng có cách nào tự bảo vệ mình không?

  • Tốt nhất là không dùng sản phẩm của các đại công ty công nghệ Mỹ
    Apple có thể khá hơn Google một chút, nhưng rốt cuộc nếu là công ty Mỹ thì ICE vẫn có thể tiếp cận
  • Trong những trường hợp như thế này, dù không phải Google thì chính phủ vẫn có thể lấy thông tin từ các công ty khác (tiện ích, cửa hàng, v.v.)
    Những dữ liệu do chính phủ cấp hoặc phê chuẩn (thanh toán, danh tính, v.v.) rốt cuộc vẫn không thể tránh được
    Điều quan trọng là phải coi Google hay các dịch vụ đám mây là những hệ thống mà chính phủ có thể truy cập, và không đưa thông tin nhạy cảm lên đó
    Đám mây suy cho cùng chỉ là máy tính của người khác
  • Khuyến nghị tránh dịch vụ tập trung, và nếu có thể thì tự lưu trữ (self-hosting)
    Chẳng hạn như tự vận hành mail, danh bạ, kho lưu trữ, v.v.
  • Đưa ra một hướng dẫn thực hành quyền riêng tư đơn giản
    • Không dùng mạng xã hội
    • Cài Linux trên PC, GrapheneOS trên điện thoại
    • Tự host dịch vụ đám mây
    • Dùng Signal hoặc Matrix/XMPP tự vận hành
    • SIM dùng một lần, thanh toán bằng tiền mặt hoặc tiền mã hóa
    • Dùng bí danh cho mọi thứ ngoài các việc liên quan đến chính phủ
    • Sử dụng Tor, VPN, trình chặn quảng cáo
  • Khuyên rằng thay vì cố gắng “opt-out” khỏi việc thu thập dữ liệu, tốt hơn là chặn ngay từ đầu việc thu thập hoặc đơn giản là không dùng dịch vụ

• Tiêu đề nên viết là “Google handed over these things”
  Nếu không thì dễ gây nhầm nghĩa, như thể Google là bên nhận chứ không phải bên giao