EU tiến thêm một bước tới việc khôi phục quy định quét tin nhắn riêng tư

• Nghị viện châu Âu đã phê duyệt thủ tục khẩn cấp liên quan đến Chat Control 1.0 đã hết hiệu lực, đưa việc có cho phép các nền tảng trực tuyến tự nguyện quét liên lạc riêng tư hay không ra bỏ phiếu vào ngày 9/7
• Thủ tục này chưa ngay lập tức khôi phục luật, nhưng bỏ qua giai đoạn ủy ban thông thường để đẩy nhanh việc xử lý một đề xuất về thực chất giống với khung pháp lý tạm thời đã hết hạn vào tháng 4
• Regulation (EU) 2021/1232 trước đây cho phép quét tự nguyện để phát hiện CSAM trên Gmail, Messenger, Snapchat, iCloud Mail và các dịch vụ khác thông qua ngoại lệ đối với ePrivacy Directive
• Trong cuộc bỏ phiếu toàn thể ngày 9/7, phe phản đối cần đạt 361 phiếu — đa số tuyệt đối của toàn bộ nghị sĩ Nghị viện châu Âu — để bác bỏ hoặc sửa đổi đề xuất; nếu không, văn bản của Council có thể tiếp tục mà không có thêm biện pháp bảo vệ nào
• EU hiện đang đồng thời thúc đẩy hai hướng: khôi phục tạm thời cơ chế quét tự nguyện đã hết hạn, và quy định Chat Control 2.0 mang tính lâu dài đang được thảo luận từ năm 2022

---

Phê duyệt thủ tục khẩn cấp và cuộc bỏ phiếu toàn thể ngày 9/7

• Nghị viện châu Âu đã phê duyệt thủ tục khẩn cấp để xử lý nhanh một dự luật có thể khôi phục các quy định “Chat Control 1.0” đã hết hiệu lực
• Trọng tâm của cuộc bỏ phiếu ngày 9/7 là liệu các nền tảng trực tuyến có thể một lần nữa tự nguyện quét liên lạc riêng tư của người dùng để tìm tài liệu lạm dụng tình dục trẻ em (CSAM) hay không
• Cuộc bỏ phiếu về thủ tục được thông qua với 331 phiếu thuận và 304 phiếu chống
• Bản thân cuộc bỏ phiếu này chưa khôi phục luật, nhưng cho phép bỏ qua giai đoạn ủy ban thông thường để xem xét nhanh hơn một đề xuất trên thực tế sẽ khôi phục khung pháp lý tạm thời đã hết hạn vào tháng 4

Cơ sở pháp lý của Chat Control 1.0 và các dịch vụ bị áp dụng

• Quy định tạm thời được nhắc tới là Regulation (EU) 2021/1232, tạo ra ngoại lệ đối với ePrivacy Directive để nhà cung cấp có thể tự nguyện quét liên lạc riêng tư nhằm phát hiện CSAM
• Các dịch vụ bị áp dụng chủ yếu gồm Gmail, Facebook Messenger, Instagram Messenger, Skype, Snapchat, iCloud Mail và Xbox messaging
• Các dịch vụ mã hóa đầu cuối nhìn chung không bị ảnh hưởng, nhưng ngoại lệ là khi nhà cung cấp lựa chọn triển khai quét phía máy khách
• Nghị viện châu Âu đã từ chối gia hạn ngoại lệ tạm thời vào tháng 3, và sau khi đàm phán với Council đổ vỡ, quy định này đã hết hiệu lực vào ngày 4/4/2026
• Sau khi hết hiệu lực, cơ sở pháp lý mà nhiều nền tảng dựa vào để thực hiện quét tự nguyện trong phạm vi ePrivacy Directive cũng biến mất

Council tái thúc đẩy và điều kiện để thông qua

• European Union Council đang tái thúc đẩy biện pháp này dưới hình thức một quy định mới, về thực chất chứa các điều khoản tương tự
• Cựu nghị sĩ Pirate Party tại Nghị viện châu Âu Patrick Breyer xem đây là một nỗ lực chưa từng có tiền lệ nhằm hồi sinh một dự luật mà nghị viện đã bác bỏ
• Theo dòng thời gian của Breyer, Council đã phê duyệt lập trường đàm phán vào ngày 2/7, còn nghị viện quyết định xem xét đề xuất theo thủ tục khẩn cấp trong tuần này
• Cuộc bỏ phiếu ngày 9/7 có tính ràng buộc, và phe phản đối cần 361 phiếu — đa số tuyệt đối của toàn bộ nghị sĩ Nghị viện châu Âu — để bác bỏ hoặc sửa đổi đề xuất
• Nếu không đạt ngưỡng này, văn bản của Council được dự đoán sẽ tiếp tục mà không bị nghị viện áp thêm biện pháp bảo vệ nào

Quy định lâu dài vận hành riêng với Chat Control 2.0

• Đề xuất khôi phục lần này tách biệt với Child Sexual Abuse Regulation mang tính lâu dài, còn gọi là Chat Control 2.0, vốn được đàm phán từ năm 2022
• Việc hai hồ sơ lập pháp cùng tồn tại khiến cuộc tranh luận trở nên phức tạp hơn
  • Một hồ sơ xử lý việc khôi phục biện pháp tạm thời đã hết hiệu lực
  • Hồ sơ còn lại tìm cách thiết lập một khuôn khổ lâu dài cho việc phát hiện và báo cáo CSAM
• Chat Control 2.0 vẫn bế tắc ngay cả sau 5 vòng đàm phán trilogue giữa nghị viện, Council và European Commission
• Bất đồng cốt lõi là liệu có thể cho phép hoặc yêu cầu các nhà cung cấp quét liên lạc riêng tư theo cách rộng khắp và không dựa trên nghi ngờ hay không
• Việc quét trên dịch vụ mã hóa đầu cuối đặc biệt vẫn là điểm tranh cãi chính

Lo ngại về quyền cơ bản, phê chuẩn tư pháp và quét đại trà

• Lập trường đàm phán của Nghị viện châu Âu giới hạn đối tượng bị quét ở người dùng hoặc nhóm có nghi ngờ cụ thể liên quan đến lạm dụng tình dục trẻ em, đồng thời yêu cầu phê chuẩn tư pháp
• Council lâu nay vẫn ủng hộ các nghĩa vụ giảm thiểu rủi ro rộng hơn và các biện pháp phát hiện tự nguyện, còn giới chỉ trích cho rằng cách tiếp cận này vẫn có thể dẫn tới quét đại trà
• Legal Service của Council được cho là đã cảnh báo trong tháng 6 rằng ngay cả việc quét tổng quát “tự nguyện”, nếu không có nghi ngờ hợp lý và không được tư pháp phê chuẩn trước, cũng có thể xung đột với Điều 7 của EU Charter of Fundamental Rights
• EU hiện đang theo đuổi song song hai hướng
  • Hướng khôi phục tạm thời cơ chế quét tự nguyện đã hết hiệu lực
  • Hướng đàm phán một đạo luật lâu dài rộng hơn và gây tranh cãi hơn, có thể thay đổi cách các nền tảng trực tuyến trên toàn EU phát hiện CSAM
• Cuộc bỏ phiếu của nghị viện ngày 9/7 sẽ quyết định liệu khung tạm thời có quay trở lại hay không trong khi các cuộc đàm phán về quy định lâu dài rộng hơn vẫn tiếp diễn

[GN⁺]

Ý kiến trên Hacker News

• Internet Watch Foundation, tổ chức được gần như mọi Big Tech tài trợ, đang thúc đẩy bước tiếp theo là quét phía máy khách. Tất nhiên lý do đưa ra là vì trẻ em
  https://www.iwf.org.uk/policy-work/preventing-the-upload-of-...

  • Việc họ chỉ gói gọn bằng câu “vì trẻ em” thật ra lại khá bất ngờ. Nếu chỉ cần trình bày đây là cách phát hiện tuyên truyền của Nga và chủ nghĩa cực hữu cực đoan thì dư luận sẽ đổi chiều chỉ sau một đêm, và có khi mọi người còn đòi làm vậy
  • Thú vị đấy. Phát ngôn thù ghét có lẽ cũng dễ phát hiện ở phía máy khách. Điện thoại của tôi vốn đã nghe một số từ nhất định rồi
  • Tôi đồng ý với điểm rằng đây là “một tổ chức được gần như mọi Big Tech tài trợ”, và điều đó thật sự rất tệ, nhưng tôi không biết phải xử lý thế nào. Khi một tổ chức phi lợi nhuận kiểu “We Stop Bad Guys” chìa tay xin tiền các công ty, lựa chọn chỉ có hai:
    đóng một ít tiền để có tiêu đề báo tốt, hoặc không đóng rồi bị biết đến như “công ty không ủng hộ việc ngăn chặn kẻ xấu”, sau đó viết một bài 10.000 từ mà chẳng ai đọc để giải thích rằng thực ra đó là lập trường có nguyên tắc. Tôi ghét điều đó, nhưng lựa chọn đầu tiên rõ ràng là hợp lý
  • Để chống lại xu hướng này, có lẽ sẽ hiệu quả hơn nếu nghiêm túc xem xét động cơ “vì trẻ em” thay vì coi tất cả là đạo đức giả. Nếu đưa ra được phương án thay thế có thể thu hút những người thực sự muốn bảo vệ trẻ em, ta có thể làm suy yếu nền tảng của nỗ lực này
    Nhưng khi coi mối lo đó là 100% thiếu thiện chí, cả những người bình thường cũng bị đẩy về phía cho rằng cần áp đặt kiểu kiểm soát này. Đây là vấn đề chính trị, nên phải giải quyết bằng chính trị

• Chat Control 1.0 chỉ là quy định cho phép các tổ chức như Meta quét tin nhắn nếu họ muốn. Nói cách khác, tin nhắn Facebook không riêng tư trước Facebook, và đó gần như là điều ta đã biết và dự đoán
  Điều đáng lo là Chat Control 2.0, vì nó bắt buộc quét và cấm mã hóa đầu cuối. Không nên gắn cùng một thương hiệu cho cả hai

  • Sự nhầm lẫn là có chủ ý. 1.0 dễ thuyết phục rằng là ổn, rồi 2.0 trông như một bản nâng phiên bản của cùng thứ đó
  • Tên “Chat Control” rất hay. Nó ám chỉ việc phong tỏa tự do biểu đạt và đúng kết quả sẽ xảy đến với tất cả mọi người
  • Ngược lại, nếu là EU thì tôi kỳ vọng họ sẽ hạn chế tối đa về mặt kỹ thuật cách các nền tảng này có thể truy cập tin nhắn riêng tư. Đó là hướng đi duy nhất nhất quán với khung pháp luật bảo vệ dữ liệu cá nhân gần đây
  • Những đạo luật có vấn đề thường được đưa vào theo cách này. Ban đầu là tự nguyện, rồi chờ một lúc và nói “các công ty không làm, nên phải bắt buộc”
    Khi thay đổi chỉ là một từ từ “có thể” sang “phải”, việc thông qua sẽ dễ hơn

• Đây là một tuần khó khăn với người châu Âu. Sau những chiếc xe ghi hình khuôn mặt khi lái, giờ đến lượt ứng dụng nghe lén liên lạc

  • Trong tương lai, xe hơi có thể không chỉ ghi hình khuôn mặt mà còn nghe cả phát ngôn thù ghét. Hầu hết xe đều có mô-đun SOS và GPS, nên nếu ai đó trong xe hét ra lời miệt thị, việc báo cảnh sát chỉ là ghép thêm vài dòng mã
  • Chẳng phải đạo luật hạ tầng quy mô lớn của Biden đã buộc NHTSA ban hành quy định yêu cầu cảm biến giám sát tài xế từ năm sau sao? Hay điều khoản đó đã bị xóa hoặc đảo ngược rồi?
  • Tin đó đã có rồi: https://www.tesla.com/ownersmanual/model3/en_us/GUID-EDAD116...
  • Đáng buồn là những chiếc xe bán ra trong vài năm qua đã ghi lại và gửi đi mọi hành trình cùng dữ liệu telemetry rồi

• Tất nhiên họ sẽ làm vậy. Họ sẽ luộc ếch từ từ cho đến khi có được món súp ếch họ muốn. Mỗi khi nước hơi quá nóng, tức là khi công chúng phẫn nộ tăng lên, họ lại tạm thời hạ nhiệt
  Mọi khu vực lớn trên thế giới đều đang có vấn đề này. Tôi muốn nói đây là con dốc trơn trượt, nhưng tôi đã lăn xuống và vỡ đầu rồi. Đùa vậy thôi, kiểu xâm phạm đời tư này sẽ tiếp diễn cho đến khi có một đạo luật, hoặc có lẽ là một thứ như hiến pháp cơ bản, được thông qua để ngăn họ thậm chí thử đưa ra các luật hay quy tắc như vậy

  • EU đã có đúng thứ như vậy. Hiến chương Quyền cơ bản là luật mang tính hiến pháp có hiệu lực ràng buộc, và chính các luật sư của Hội đồng cũng nói rằng nếu CC2.0 được thông qua thì nhiều khả năng sẽ bị CJEU hủy bỏ
    Vấn đề không phải là không có quyền hiến định, mà là việc thẩm định tính hợp hiến diễn ra sau. Ai đó thông qua luật, luật được thi hành trong vài năm, thiệt hại tích tụ, rồi chỉ khi vụ việc ra tới tòa thì nó mới bị vô hiệu

• Nếu là công dân EU, bạn có thể liên hệ đại diện của mình tại đây: https://fightchatcontrol.eu/

  • Tôi đã liên hệ nhưng chỉ nhận được hồi âm từ 1 người

• Ngay cả khi thua, đây vẫn là dự luật Terminator. Nó sẽ cứ quay lại cho đến khi thắng

  • Vậy thì dự luật chống Terminator cũng sẽ tiếp tục xuất hiện. Mọi người có thể lặp đi lặp lại đề xuất chấm dứt chuyện này và cuối cùng sẽ chấm dứt được. EU khác Mỹ, các đề xuất theo cả hai hướng cứ xuất hiện liên tục

• Có rất nhiều ứng dụng chat mã nguồn mở như vậy, nên tôi tự hỏi điều gì có thể ngăn việc sửa client để trao đổi khóa với người khác qua một kênh riêng rồi mã hóa toàn bộ liên lạc bằng khóa đó
  Tôi biết cách này không mở rộng được cho nhóm lớn, nhưng bên thúc đẩy thứ rác rưởi này hẳn cũng đã nghĩ đến chứ? Hay mục tiêu là đi tới PC khóa kín hoàn toàn như Android hoặc iOS, nơi thứ gì không được phê duyệt thì không chạy được?

  • Không có gì ngăn mọi người làm vậy. Chỉ là nó bất tiện hơn các lựa chọn khả dĩ khác. Nếu tôi là chính trị gia muốn xóa bỏ liên lạc riêng tư, trước tiên tôi sẽ thông qua luật cho phép quét liên lạc, tiếp theo là cho phép quét cả tin nhắn mã hóa đầu cuối, và cuối cùng là biến việc dùng trình nhắn tin mã hóa đầu cuối không thể quét thành bất hợp pháp
    Mọi người vẫn có thể làm, nhưng nếu bị phát hiện thì có thể bị phạt

• Đây là về 1.0, và tự thân nó trông có vẻ ổn. Về cơ bản, nó cho phép các nhà cung cấp có ngoại lệ hợp pháp theo luật quyền riêng tư để quét nhằm tìm CSAM trong các liên lạc không được mã hóa đầu cuối
  Các dịch vụ như Gmail, iCloud Mail hẳn đã quét phần đính kèm để tìm mã độc và quét email để phát hiện lừa đảo phishing; giờ họ sẽ có thể quét cả tài liệu lạm dụng trẻ em. CC 2.0 là một con thú hoàn toàn khác

  • “Chúng ta đưa ra một quyết định, để nguyên đó rồi xem chuyện gì xảy ra. Nếu đa số mọi người không hiểu điều gì đã được quyết định nên không có ồn ào nào, chúng ta tiếp tục từng bước cho đến khi không thể đảo ngược.” — Jean-Claude Juncker
  • Nếu tỷ lệ dương tính giả 50~80% thì vẫn rất khó chấp nhận

• Tôi tò mò luật Mỹ quy định phần này thế nào. Tôi tưởng các nhà cung cấp đã có nghĩa vụ đối phó với việc phân phối CSAM, nhưng điều đó chỉ áp dụng cho bài đăng công khai thôi sao?

• Khi nào nó có hiệu lực? Tôi đã thấy quá nhiều tiêu đề như thế này nên luôn có cảm giác nó sắp bắt đầu, nhưng chưa từng thấy hồi kết

  • Nó đã hết hạn vào tháng 4. Trước đây cũng đã được gia hạn nhiều lần rồi hết hạn, và lần này là nỗ lực khôi phục lại
  • Nó đã có hiệu lực rồi. Đây là luật hiện hành mà họ muốn gia hạn thay vì để hết hạn
  • Từ ngày 2 tháng 8 năm 2021
    Nó đã có hiệu lực, và các nước thành viên EU có lẽ vẫn đang sử dụng dù là bất hợp pháp. Tất nhiên là để bảo vệ trẻ em