- Chính phủ Canada đã đưa ra Dự luật C-22, tức ‘Lawful Access Act’, tăng cường nghĩa vụ hợp tác trong giám sát và nghe lén đối với các nhà mạng và nhà cung cấp dịch vụ Internet (ISP)
- Dù dự luật mới đã thu hẹp đáng kể quyền truy cập thông tin không cần trát, nó vẫn bao hàm nguy cơ xâm phạm quyền riêng tư nghiêm trọng khi yêu cầu xây dựng hạ tầng giám sát mạng viễn thông và lưu giữ siêu dữ liệu
- Dự luật gồm hai phần; nửa đầu là cải thiện quy trình truy cập dữ liệu, nửa sau quy định các yêu cầu công nghệ giám sát thông qua ‘Đạo luật Hỗ trợ Truy cập Thông tin được Ủy quyền (SAAIA)’
- SAAIA đưa vào khái niệm mới ‘nhà cung cấp dịch vụ điện tử (ESP)’, mở rộng phạm vi điều chỉnh tới cả các nền tảng toàn cầu như Google và Meta, đồng thời yêu cầu lưu giữ siêu dữ liệu tối đa 1 năm
- Dù chính phủ đã phần nào hạn chế truy cập không cần trát, các điều khoản tăng cường năng lực giám sát và nghĩa vụ giữ bí mật vẫn khiến lo ngại về suy yếu an ninh mạng và xâm phạm quyền tự do dân sự tiếp diễn
Tổng quan về Dự luật C-22
- Dự luật C-22 (Lawful Access Act) là đề xuất lập pháp mới của chính phủ Canada liên quan đến giám sát, được xem là phiên bản điều chỉnh sau tranh cãi quanh Dự luật C-2 trước đó
- C-2 từng cho phép truy cập thông tin cá nhân không cần trát, làm dấy lên tranh cãi về tính hợp hiến
- Vì vậy, chính phủ đã loại bỏ các điều khoản truy cập trong C-2 và đưa ra C-22 như một dự luật riêng
- C-22 xử lý hai lĩnh vực cốt lõi
- Quy trình để cơ quan thực thi pháp luật truy cập thông tin cá nhân do các nhà mạng nắm giữ (ISP, nhà mạng di động, v.v.)
- Việc xây dựng năng lực giám sát và theo dõi trên các mạng viễn thông tại Canada
Thay đổi trong quy trình truy cập dữ liệu
- Dự luật mới bãi bỏ quyền yêu cầu thông tin không cần trát trên diện rộng trước đây và thay bằng ‘quyền yêu cầu xác nhận dịch vụ (confirmation of service)’
- Cảnh sát chỉ có thể yêu cầu xác nhận một cá nhân cụ thể có phải là khách hàng của nhà mạng đó hay không
- Muốn tiếp cận thêm thông tin cá nhân thì phải có phê chuẩn của tòa án (production order)
- Những thay đổi này giới hạn phạm vi yêu cầu thông tin không cần trát vào phía nhà mạng và đòi hỏi giám sát tư pháp đối với việc truy cập dữ liệu cá nhân
- Dự luật cũng bao gồm các quy định riêng về cung cấp thông tin tự nguyện, tình huống khẩn cấp, yêu cầu từ cơ quan nước ngoài
- Tuy vậy, ngưỡng thấp là ‘có căn cứ hợp lý để nghi ngờ (reasonable grounds to suspect)’ vẫn bị xem là đáng lo ngại
Nội dung chính của SAAIA
- SAAIA, nửa sau của dự luật, áp đặt lên các nhà mạng nghĩa vụ xây dựng năng lực giám sát và theo dõi
- Họ phải hợp tác để chính phủ và cơ quan thực thi pháp luật có thể kiểm thử khả năng truy cập và nghe lén trên mạng viễn thông
- Mọi yêu cầu đều chịu nghĩa vụ giữ bí mật
- Dự luật đưa ra định nghĩa mới là ‘nhà cung cấp dịch vụ điện tử (ESP)’
- Bao gồm mọi nhà cung cấp dịch vụ điện tử cung cấp dịch vụ hoặc tiến hành hoạt động kinh doanh tại Canada
- Các nền tảng toàn cầu như Google và Meta cũng có thể bị bao gồm
- Các doanh nghiệp được chỉ định là ‘nhà cung cấp cốt lõi (core providers)’ sẽ có thêm nghĩa vụ
- Xây dựng và duy trì chức năng giám sát, lắp đặt và vận hành thiết bị, thông báo cho chính phủ, và lưu giữ siêu dữ liệu tối đa 1 năm, v.v.
Lưu giữ siêu dữ liệu và các quy định ngoại lệ
- Nghĩa vụ lưu giữ siêu dữ liệu là điều khoản không có trong C-2 và mới được thêm vào ở C-22
- Tuy nhiên, nội dung liên lạc, lịch sử duyệt web và hoạt động mạng xã hội được loại khỏi phạm vi lưu giữ
- Có điều khoản ngoại lệ liên quan đến lỗ hổng hệ thống (systemic vulnerability)
- Nếu chức năng giám sát tạo ra lỗ hổng bảo mật hoặc cản trở việc khắc phục, doanh nghiệp có thể không phải tuân theo quy định đó
- Tuy nhiên, vẫn có lo ngại rằng các ngoại lệ này không đủ để ngăn việc làm suy yếu bảo mật
- Cũng có ý kiến cho rằng các thay đổi có thể được triển khai trong bí mật mà không công khai
Lo ngại về giám sát, an ninh và chia sẻ dữ liệu quốc tế
- SAAIA làm phát sinh nhiều vấn đề như lỗ hổng an ninh mạng, tính bí mật, chi phí và cơ chế giám sát
- Một số điều khoản được phân tích là nhằm phục vụ hợp tác chia sẻ thông tin quốc tế với Nghị định thư bổ sung thứ hai của Công ước Budapest (2AP) và CLOUD Act của Mỹ
- Kết quả là, dù Dự luật C-22 đã hạn chế truy cập không cần trát, đánh giá chung vẫn cho rằng nguy cơ xâm phạm quyền riêng tư và quyền tự do dân sự còn rất lớn do củng cố hạ tầng giám sát và thu thập siêu dữ liệu quy mô lớn
1 bình luận
Ý kiến trên Hacker News
Tôi nghĩ có lẽ nên tạo một agent giám sát tự động gửi cảnh báo cho các nghị sĩ và phe đối lập ngay khi có dự luật mới được đệ trình, để ngăn tình trạng các chính trị gia liên tục đưa ra những dự luật xâm phạm quyền riêng tư
Đọc nguyên văn dự luật thì có ghi là cần có lệnh khám xét (
warrant). Nhưng xem điều khoản mới được thêm vào thì thẩm phán có thể quyết định không giao bản sao lệnh cho đương sự nếu “xét thấy hợp lý trong những hoàn cảnh cụ thể”. Điều này có vẻ là một kẽ hở mang tính chủ quan có thể lách qua quyền tự do dân sựTóm tắt cho người bận: Bill C‑22 (2026) của Canada là dự luật sửa luật để cơ quan điều tra có thể tiếp cận dữ liệu số nhanh hơn và rõ ràng hơn. Nó mở rộng quyền thu thập thông tin thuê bao, dữ liệu truyền dẫn và dữ liệu theo dõi từ nhà mạng, nhà cung cấp dịch vụ trực tuyến và doanh nghiệp nước ngoài, đồng thời tạo ra khung pháp lý để các nhà cung cấp dịch vụ điện tử hỗ trợ hợp tác điều tra
warrantless)’. Lý do chính phủ muốn thúc đẩy quyền này là vì Canada là nước duy nhất trong khối Five Eyes chưa có quyền như vậySự hợp tác của các nước Five Eyes (hoặc 9, 14 Eyes) đã kéo dài từ thời Chiến tranh Lạnh, nhưng chưa được cập nhật cho phù hợp với những thay đổi địa chính trị và công nghệ hiện nay. Trong lúc hợp tác còn đang được tăng cường thì cử tri lại ngày càng nghi ngờ tương lai của liên minh với Mỹ. Tôi mong lãnh đạo các nước thẳng thắn hơn về áp lực từ bên ngoài. Giữ im lặng về ảnh hưởng từ đồng minh nhưng chỉ lên án ảnh hưởng từ các nước không phải đồng minh là một mối đe dọa đối với dân chủ
Đọc nguyên văn dự luật thì nó có vẻ tương tự quyền truy cập hợp pháp mà cơ quan an ninh ở các nền dân chủ phương Tây khác đang có. Nếu không tưởng tượng theo hướng phản địa đàng quá mức, tôi muốn biết cụ thể vấn đề nằm ở đâu
Dự luật tuyên bố “không trao thêm quyền lực mới”, nhưng thực tế lại ghi rõ rằng nếu không lưu giữ metadata tối đa 1 năm thì có thể bị phạt tiền hoặc phạt tù
Là một công dân Canada, tôi thấy bực bội khi chính phủ cứ tiếp tục thúc đẩy những dự luật giám sát đã nhiều lần bị bác bỏ.
Tôi không hiểu vì sao họ lại muốn kết nối trực tiếp hạ tầng giám sát cấp quốc gia vào backbone của ISP.
Điều đó chẳng khác gì cảnh sát theo dõi tôi mà không có cáo buộc nào, rồi ghi lại tôi đã nói chuyện với ai và vào lúc nào.
Hơn nữa, nếu dữ liệu kiểu này được lưu bởi nhà thầu tư nhân, nguy cơ rò rỉ hoặc bị lôi vào kiện tụng dân sự sẽ tăng mạnh.
Theo dự luật, một thuật ngữ mới là “electronic service provider” xuất hiện, và có vẻ họ muốn nó bao trùm không chỉ nhà mạng mà cả các nền tảng như Google, Meta.
Tòa án Tối cao Canada trước đây đã thể hiện lập trường tiêu cực với việc cung cấp thông tin cá nhân không cần lệnh.
Quyền điều tra hiện có vốn đã đủ, nên tôi không hiểu tại sao còn muốn biến các nền tảng thành cơ quan hỗ trợ điều tra.
Đây là kiểu cấu trúc chỉ thường thấy ở các quốc gia độc tài, nơi nguy cơ lạm dụng quá lớn và có hại cho dân chủ
Không giống những nước khác hay viện cớ như “bảo vệ trẻ em” hay “xác minh độ tuổi”, chính phủ Canada đơn giản là công khai thúc đẩy một hệ thống giám sát quy mô lớn. Chỉ những lúc thế này họ mới hành động nhanh mà không vướng quan liêu
Chỉ hai giờ sau khi đăng, gần một nửa số bình luận đã bị chỉ trích là phản ứng cực đoan.
Việc cứ tiếp tục thúc đẩy các dự luật giám sát kiểu này chỉ vì lý do “phòng khi cần” thật đáng thất vọng.
Thà để chính bên lưu trữ nội dung tự kiểm duyệt nội dung công khai còn hơn, dù cách đó cũng có tác dụng phụ riêng, chẳng hạn phải xác định loại nội dung nào cần bị báo cáo
Những chính phủ từng tự hào về tự do và quy trình công bằng giờ dường như đang biến thành chế độ giám sát giam giữ chính người dân của mình