Kết thúc Chat Control: Nghị viện EU quyết định chấm dứt giám sát quy mô lớn

• Nghị viện châu Âu chấm dứt giám sát tin nhắn riêng tư (‘Chat Control’), qua đó khôi phục quyền riêng tư số cho liên lạc giữa cá nhân với nhau
• Điều khoản phân tích hình ảnh và văn bản tự động bị bác bỏ với cách biệt chỉ 1 phiếu, nên việc quét chat của Meta, Google, Microsoft và các công ty khác bị dừng lại
• Dù kết thúc giám sát, nghe lén có mục tiêu dựa trên lệnh của tòa án cùng việc quét bài đăng công khai và hệ thống người dùng báo cáo vẫn được duy trì
• Patrick Breyer của Pirate Party đánh giá quyết định này là “một chiến thắng mang tính lịch sử của xã hội dân sự”, đồng thời nhấn mạnh bảo vệ trẻ em dựa trên thiết kế bảo mật và xóa bỏ nội dung bất hợp pháp
• Cuộc bỏ phiếu lần này là sự bác bỏ rõ ràng đối với giám sát đại trà và đánh dấu sự chuyển hướng sang khuôn khổ bảo vệ trẻ em tôn trọng các quyền cơ bản

---

Nghị viện EU tuyên bố chấm dứt giám sát quy mô lớn bằng việc dừng ‘Chat Control’

• Nghị viện châu Âu đã quyết định chấm dứt giám sát tràn lan đối với tin nhắn riêng tư (‘Chat Control’)
  • Sau khi bác bỏ giám sát đại trà vào ngày 13/3, phe bảo thủ đã cố gắng yêu cầu bỏ phiếu lại nhưng không thành công
  • Điều khoản phân tích hình ảnh và văn bản tự động bị bác bỏ với cách biệt chỉ 1 phiếu, sau đó toàn bộ bản sửa đổi cũng không đạt đa số
  • Theo đó, từ ngày 4/4, quy định ngoại lệ tạm thời của EU hết hiệu lực, nên việc quét chat riêng tư của các công ty Mỹ như Meta, Google và Microsoft bị dừng lại
  • Quyền riêng tư số trong liên lạc giữa các cá nhân được khôi phục

Không phải khoảng trống pháp lý mà là sự chuyển hướng sang ‘bảo vệ trẻ em thực chất’

• Việc chấm dứt giám sát đại trà không tạo ra khoảng trống pháp lý
  • Theo một báo cáo gần đây, chỉ 36% các báo cáo hoạt động đáng ngờ do giám sát của các công ty Mỹ tạo ra xuất phát từ việc giám sát tin nhắn riêng tư
  • Mạng xã hội và dịch vụ đám mây đang đóng vai trò quan trọng hơn trong điều tra, và nghe lén có mục tiêu dựa trên lệnh của tòa án vẫn tiếp tục được cho phép
  • Việc quét định kỳ các bài đăng công khai, tệp được lưu trữ và hệ thống người dùng báo cáo cũng được duy trì

Đánh giá của Patrick Breyer và cảnh báo cho giai đoạn tiếp theo

• Cựu nghị sĩ châu Âu Patrick Breyer thuộc Pirate Party đánh giá quyết định lần này là “một chiến thắng mang tính lịch sử của xã hội dân sự”
  • Ông chỉ ra rằng “giám sát quy mô lớn là một hệ thống đầy sai sót và làm lãng phí nguồn lực điều tra”
  • Ông nhấn mạnh rằng bảo vệ trẻ em phải được thực hiện bằng ‘Security by Design’ và việc xóa bỏ nội dung bất hợp pháp từ gốc
  • Tuy nhiên, ông cảnh báo rằng các cuộc thảo luận về Chat Control 2.0 và bắt buộc xác minh độ tuổi trên messenger đang diễn ra, có thể đe dọa liên lạc ẩn danh

Nội dung của quy định tạm thời sắp hết hiệu lực

• Quy định tạm thời của EU (2021/1232) được ban hành năm 2021 sẽ hết hiệu lực vào ngày 3/4
  • Cho phép các công ty Mỹ như Meta tự nguyện quét tin nhắn riêng tư
  • Ba hình thức giám sát được cho phép
    • Quét hash đối với hình ảnh và video đã được biết đến
    • Phân tích tự động đối với hình ảnh và video mới
    • Phân tích văn bản tự động đối với chat riêng tư
  • Phân tích dựa trên AI có tỷ lệ dương tính giả cao và không nhận biết được ngữ cảnh, dẫn đến việc ngay cả các cuộc trò chuyện đồng thuận giữa thanh thiếu niên cũng có thể bị lộ

Kết quả nghiên cứu: công nghệ Chat Control thiếu độ tin cậy

• Các nhà nghiên cứu an ninh CNTT phân tích thuật toán PhotoDNA và đánh giá rằng nó “không đáng tin cậy”
  • Có thể né tránh việc phát hiện ảnh bất hợp pháp chỉ bằng các biến đổi đơn giản của ảnh, chẳng hạn thêm viền
  • Ngược lại, ảnh vô hại có thể bị báo cáo nhầm cho cảnh sát do dương tính giả

Báo cáo đánh giá của EU chỉ ra thất bại của Chat Control

• Độc quyền dữ liệu: 99% báo cáo đến từ Meta, trên thực tế doanh nghiệp tư nhân đang làm vai trò của cảnh sát
• Quá tải dữ liệu sai lệch: theo BKA của Đức, 48% chat bị công khai không liên quan đến tội phạm
• Hình sự hóa thanh thiếu niên: khoảng 40% các cuộc điều tra ở Đức là các trường hợp chia sẻ hình ảnh giữa thanh thiếu niên
• Bị vô hiệu hóa do mã hóa lan rộng: sau khi mã hóa đầu cuối trở nên phổ biến, số báo cáo giảm 50%
• Không có hiệu quả bảo vệ trẻ em: không có tương quan giữa giám sát và các bản án có tội thực tế

Kiểm chứng thông tin sai lệch: phản bác các lập luận của phe ủng hộ giám sát

• “Nghị viện phải chịu trách nhiệm về việc đàm phán đổ vỡ”

  • Sự thật: bên làm đổ vỡ đàm phán là Hội đồng EU
  • Theo các tài liệu bị rò rỉ, các quốc gia thành viên đã từ chối thỏa hiệp vì lo ngại tạo tiền lệ cho Chat Control 2.0
  • Trưởng đoàn đàm phán của Nghị viện, Birgit Sippel, chỉ trích rằng “các quốc gia thành viên đã cố ý chấp nhận việc quy định hết hiệu lực”

• “Không có giám sát thì không thể điều tra”

  • Sự thật: nghe lén có mục tiêu vẫn khả thi
  • Liên đoàn Điều tra viên Hình sự Đức (BDK) cảnh báo rằng “giám sát quy mô lớn chỉ tạo ra một trận lũ thông tin không có manh mối thực chất”
  • BKA đang từ chối có hệ thống các yêu cầu gỡ bỏ tài liệu bất hợp pháp

• “Công nghệ quét rất chính xác”

  • Sự thật: theo thư ngỏ của các nhà nghiên cứu CNTT, tồn tại tỷ lệ lỗi từ 13–20%
  • Trong hàng chục tỷ trường hợp, tài liệu bất hợp pháp thực sự chỉ chiếm 0.0000027%
  • Ủy ban Bảo vệ Dữ liệu Đức (DSK) cảnh báo rằng “giám sát tràn lan xâm phạm cốt lõi của bí mật liên lạc”

• “Các nạn nhân yêu cầu giám sát”

  • Sự thật: các nạn nhân thực tế phản đối giám sát và đang tiến hành hành động pháp lý
  • Nạn nhân Alexander Hanff cho biết “xâm phạm quyền riêng tư là một dạng tổn hại thứ cấp”
  • Một nạn nhân ở Bayern đang kiện Meta
  • Tổ chức Mỹ Thorn đã chi khoản tiền lớn để bán phần mềm quét và vận động hành lang tại EU

Hướng đi tiếp theo: không phải giám sát mà là ‘Security by Design’

• Nghị viện châu Âu ủng hộ chuyển từ cách tiếp cận lấy giám sát làm trung tâm sang lấy phòng ngừa kỹ thuật làm trung tâm
  1. Tăng cường mặc định bảo mật và cơ chế bảo vệ để ngăn chặn cyber grooming
  2. Duy trì nghe lén có mục tiêu dựa trên phê duyệt của tòa án
  3. Buộc Trung tâm Bảo vệ Trẻ em EU chủ động tìm kiếm và gỡ bỏ ngay lập tức
     • Tài liệu bất hợp pháp phải được loại bỏ tận gốc khỏi Internet và dark web
     • Cần chấm dứt thái độ “không thuộc thẩm quyền” của các cơ quan điều tra

Vận động hành lang và thổi phồng nỗi sợ hãi sai lệch

• Việc thúc đẩy Chat Control được dẫn dắt bởi các nhóm lobby và doanh nghiệp công nghệ có nguồn tài trợ từ nước ngoài
  • Thorn của Mỹ vừa bán phần mềm liên quan vừa tiến hành hoạt động vận động hành lang tại Brussels với quy mô hàng trăm nghìn euro
  • Ngành công nghệ đã liên kết với một số tổ chức xã hội dân sự để ủng hộ dự luật nhằm đảm bảo lợi nhuận và quyền tiếp cận dữ liệu

Kết luận: sự bác bỏ rõ ràng đối với cơn sốt giám sát

• Breyer nhấn mạnh rằng “dù ngành công nghệ Mỹ và các nhóm lobby được chính phủ tài trợ đã gieo rắc nỗi sợ đến phút cuối, các cảnh báo sai và dữ liệu trùng lặp vẫn không cứu được dù chỉ một trẻ em”
• Quyết định lần này là tín hiệu bác bỏ rõ ràng đối với giám sát tràn lan, đồng thời khẳng định nhu cầu chuyển sang một khuôn khổ bảo vệ trẻ em có mục tiêu và tôn trọng các quyền cơ bản

[GN⁺]

Ý kiến trên Hacker News

• Dù hôm nay là một chiến thắng, vẫn không thể hoàn toàn loại trừ khả năng các chính phủ EU sẽ thực hiện thêm các biện pháp thủ tục
  Đặc biệt, đàm phán ba bên về quy định bảo vệ trẻ em thường được gọi là ‘Chat Control 2.0’ vẫn đang diễn ra dưới áp lực thời gian
  Ngoài ra, chương trình nghị sự cho vòng đàm phán tiếp theo là bắt buộc xác minh độ tuổi, theo đó các dịch vụ nhắn tin, trò chuyện và app store có thể yêu cầu giấy tờ tùy thân hoặc quét khuôn mặt, khiến liên lạc ẩn danh gần như không thể và đẩy các nhóm dễ tổn thương như người tố giác hoặc người bị bức hại vào nguy hiểm

  • Trong nền dân chủ, người ta không loại bỏ phe đối lập
    Những người tin rằng an ninh quan trọng hơn quyền riêng tư sẽ tranh tụng ở tòa cho lập trường đó suốt đời
    Một dự luật không có hiệu lực nếu không được thông qua, nên phía bảo vệ hiện trạng đang ở vị thế mạnh hơn
    Những cuộc chiến lặp lại qua từng thế hệ như thế này chính là bản chất của dân chủ, và quá trình thuyết phục công dân cũng là việc bảo vệ tự do
  • Tranh luận về ‘xác minh độ tuổi’ thực chất là một ví dụ cho thấy cấu trúc thu thập dữ liệu của Big Tech
    Nếu người dùng từ chối xác minh danh tính, họ có thể phải ngừng sử dụng dịch vụ
    Nhiều người dùng vẫn đặt sự tiện lợi lên trên quyền riêng tư, nhưng mối đe dọa thật sự là cấu trúc này khiến giám sát của chính phủ trở nên dễ dàng hơn
  • Thật thú vị khi thời điểm Meta ngừng trò chuyện được mã hóa trên Instagram lại trùng hợp một cách kỳ lạ
  • Đàm phán ba bên (Trilogue) là một cơ chế để các bộ trưởng viết luật trong bí mật, nên tôi nghĩ cơ chế họp kín này đáng bị thiêu rụi
  • Chỉ còn lời chào hẹn gặp lại ở vòng đàm phán tiếp theo

• EPP đã tiến hành một chiến dịch tuyên truyền nhằm thúc đẩy thông qua dự luật này càng sớm càng tốt
  Họ dùng hình ảnh gấu bông và đưa ra thông điệp “bảo vệ trẻ em không phải là một lựa chọn”
  Nhưng tôi cảm thấy điều cần thiết là các phương án thay thế thân thiện với quyền riêng tư, chứ không phải giám sát đại trà
  Xem tài liệu chính thức của EPP và danh sách vận động hành lang thì có nhiều tổ chức khác nhau như Facebook, Microsoft, UNICEF

  • Dù Palantir chính thức không xuất hiện, trên thực tế họ tham gia vào mọi giai đoạn
    Xem quyết định của Thanh tra châu Âu và chất vấn tại Nghị viện EU thì Palantir đã cung cấp phần mềm cho Europol suốt nhiều năm mà không có đăng ký minh bạch
    Theo bài của Euractiv, thậm chí còn không có hồ sơ về cuộc gặp giữa Ursula von der Leyen và CEO của Palantir
  • Việc tổ chức Thorn do Ashton Kutcher thành lập cũng có mặt khiến điều này trông đầy đạo đức giả
    Theo bài của BBC và bài của People, ông này từng có tiền sử bênh vực tội phạm tình dục
  • Facebook và Microsoft là doanh nghiệp nước ngoài, nhưng lại can dự sâu vào vận động hành lang cho luật của EU
  • Những dự luật như thế này thực tế không bảo vệ trẻ em, mà giống một thiết bị tu từ nhằm gây nhiễu cho cử tri hơn
    Đặc biệt hiệu quả với người lớn tuổi và phụ huynh không rành công nghệ
  • Sau đó EPP còn đăng một bài tiếp theo nói rằng “phe xã hội chủ nghĩa đã bỏ mặc trẻ em”, với giọng điệu còn cực đoan hơn
    Liên kết bài viết

• Cụm “từ ngày 6 tháng 4 năm 2026, Gmail, LinkedIn, Microsoft và các bên khác phải ngừng quét tin nhắn cá nhân” khá khó hiểu
  Tôi tự hỏi liệu việc đó đã được áp dụng từ trước hay chưa

  • Facebook và các bên khác thực ra đã quét tin nhắn từ nhiều năm trước
    Khi hành vi này bị xác định là bất hợp pháp, họ đã thông qua đạo luật tạm thời Chat Control 1.0 để hợp pháp hóa nó
    Nhưng do đàm phán bị trì hoãn, nếu hết hạn vào ngày 4 tháng 4 thì nó sẽ lại trở thành bất hợp pháp
  • Khi Apple thúc đẩy quét iMessage, chuyện đó cũng gây tranh cãi lớn
    Lập trường phản đối của EFF là ví dụ tiêu biểu
  • Chat Control 1.0 tự nguyện đã được áp dụng từ năm 2021
  • Dù xung đột với các quyền hiến định, nó vẫn được tạm thời cho phép, còn Chat Control 2.0 là nỗ lực nhằm bắt buộc hóa điều đó
  • Gmail và các dịch vụ tương tự đã quét email để phát hiện nội dung khiêu dâm trẻ em từ thập niên 2010

• Có thống kê cho thấy 36% báo cáo từ các công ty Mỹ bắt nguồn từ giám sát tin nhắn riêng tư
  Con số này không hề nhỏ nên ngược lại càng khiến tôi thấy bất an

  • Tỷ lệ đó khá cao, nên tôi tự hỏi thực tế dữ liệu này nhiễu đến mức nào

• Xét từ góc độ chính trị, khẩu hiệu “những người này sẽ không dừng lại cho đến khi họ đọc tin nhắn của con bạn” là phù hợp

  • Cũng có thể diễn đạt kiểu như “những người muốn xem các cuộc trò chuyện bí mật của con tuổi teen nhà bạn”

• Chat Control cứ được đưa ra, bị bác bỏ rồi lại tái đưa ra, như một vòng quay bất tận

  • Vấn đề của nền dân chủ hiện đại là họ chỉ cần thắng một lần là thành luật, còn chúng ta thì phải thắng mọi lần
  • Nếu diễn đạt bằng meme thì hình này hợp hơn
  • Phương án thay thế chỉ có độc tài, nên sự lặp lại này là số phận của dân chủ
  • Các công ty Mỹ và một số cơ quan cảnh sát của EU rất muốn có đạo luật này
    Có vẻ các chính trị gia cũng cảm thấy sự cám dỗ quyền lực từ giám sát
  • Tôi nghĩ cần có điều khoản cấm lập pháp hai lần để ngăn việc lại đưa ra các dự luật đã thất bại

• Tôi hình dung ra một kịch bản tấn công nội bộ bên trong Microsoft
  Bằng cách đưa vào cơ sở dữ liệu PhotoDNA các hash ảnh chụp màn hình có chứa một số từ nhất định, rồi một người nội bộ ở Meta phát hiện lỗi định dạng đó và lần ra ID người dùng
  Chỉ cần truy vấn một số rất ít tài khoản thì cũng có thể tránh được cảnh báo truy cập bất thường
  Tài liệu liên quan đã được chia sẻ

• Có lẽ nên gọi là “Sự kết thúc của Chat Control, ít nhất là trong lúc này”

  • Họ luôn nhấn nút “để sau quay lại”
  • Có khi họ chỉ dừng lại cho đến hết tháng này

• Trong vòng 6 tháng nữa nó sẽ quay trở lại dưới một cái tên khác
  Vì chỉ phía ngăn chặn luật mới phải trả chi phí, nên tiền của các tổ chức dân sự sẽ cạn trước
  Dù có hiến chương quyền lợi, nó cũng không ràng buộc được các nhà lập pháp, và cuối cùng lại dẫn tới chiến đấu ngoài tòa

• Nỗ lực này sẽ tiếp tục dưới danh nghĩa “vì trẻ em”
  Muốn ngăn điều đó thì cần có một đạo luật vĩnh viễn tăng cường quyền riêng tư

  • Tôi nghĩ nó nên mang hình thức như GDPR