Quyền riêng tư trên mạng

Việc theo dõi hay truy cập dữ liệu của bất kì cá nhân nào, kể cả của đối tượng nghi phạm nguy hiểm nhất định phải được thông qua một quá trình tường minh, chặt chẽ ở mức rất cao. Nguồn: Reflex.cz

Trong một thế giới nhiều biến động, thì “lòng tin” là một yếu tố vô cùng quan trọng, là cơ sở thiết yếu cho sự phát triển. Việc trợ giúp bảo vệ thông tin cá nhân, yêu cầu các nhà cung cấp dịch vụ phải đạt chuẩn bảo mật cao, cho phép người dùng được quyền quyết định xử lý dữ liệu liên quan đến cá nhân (như truy vết những nơi lưu trữ, hay yêu cầu xóa vĩnh viễn dữ liệu cá nhân) là những biện pháp Chính phủ có thể làm để  gây lòng tin cho người dân, cho doanh nghiệp, cho các đối tác nước ngoài để tạo một môi trường phát triển lành mạnh.

An ninh quốc gia (public safety) và quyền riêng tư (privacy)
 

Việc đảm bảo đồng thời an ninh quốc gia và quyền riêng tư cho công dân và cho các tổ chức, doanh nghiệp luôn là một thách thức không nhỏ đối với các chính phủ.

Trong những hoàn cảnh đặc biệt nguy cấp, như sau một cuộc khủng bố, các chính phủ thường có xu hướng đưa ra các biện pháp nhằm bảo đảm an ninh (public safety) bằng cách cho phép can thiệp phần nào quyền riêng tư (privacy) của công dân. Đó là khi dân chúng đang hoang mang nên một bộ phận không nhỏ có thể có xu hướng nhượng bộ giảm quyền riêng tư để đổi lấy sự an toàn. Tuy nhiên, ngay cả trong những tình huống đặc biệt nguy cấp như vậy, sự đối thoại vẫn rất cần thiết để có những dự luật hợp lý, mức độ can thiệp quyền riêng tư ở mức tối thiểu, chấp nhận được và với một quy trình tường minh, chặt chẽ.

Tại Mỹ, nơi nguy cơ khủng bố rình rập, điều này cũng được thực hiện một cách có quy trình nghiêm ngặt. Sau vụ khủng bố năm 2001, cơ quan an ninh quốc gia Mỹ (NSA) đã có quyền thu thập dữ liệu các cuộc điện đàm. Tuy nhiên, đến năm 2015, luật này đã bị bãi bỏ nhằm trả lại quyền riêng tư cho người dân, và mọi sự theo dõi cần được thực hiện dựa trên quyết định của toà án1.

Thực tế, NSA và các cơ quan phản gián của Mỹ cũng chẳng xa lạ gì với việc truy cập, theo dõi thông tin cá nhân với lý do nhằm bảo đảm an toàn an ninh quốc gia. Nếu không có sự giám sát của các chuyên gia và phản biện của công dân thì sự theo dõi này rất dễ bị lạm dụng.  Những phát giác về sự lạm dụng theo dõi diện rộng và cài những backdoor để phá các chuẩn bảo mật2 đã có tác dụng hạn chế đáng kể sự tuỳ tiện đó. Sự phản đối cũng đến từ các nhà chuyên môn khi các nhà khoa học về mật mã và an toàn thông tin ở Mỹ đã có thư ngỏ lên án những sự theo dõi diện rộng3. Tháng 3 năm nay, đạo luật Cloud Act (clarifying lawful overseas use of data act) của Mỹ cho phép chính phủ nước này tiếp cận dữ liệu lưu trữ cả trong và ngoài nước, đồng thời, các công ty từ những quốc gia đồng minh cũng được tiếp cận dữ liệu của các công ty Mỹ.  Đạo luật này ngay lập tức gây ra rất nhiều tranh cãi và phản đối ở Mỹ, cho rằng nó vi phạm tu chính án thứ Tư của Hiến Pháp Hoa Kỳ và bị phê phán ở nhiều quốc gia khác, đặc biệt là các nước châu Âu. Sự lạm dụng theo dõi cần bị lên án và từ đó trả lại quyền riêng tư cho người dân. Tháng 6 năm nay, bang California, nơi tập trung trụ sở của hầu hết các công ty công nghệ lớn nhất thế giới,  đã có một  bước đi tiến bộ đáng kể trong việc bảo vệ quyền riêng tư cho người dân khi thông qua một luật cho phép người dùng được truy xuất dấu vết dữ liệu của họ4.  Theo đó người dùng có quyền được biết những công ty nào thu thập thông tin về họ, lý do tại sao và những thông tin đó được chia sẻ với ai. Họ cũng có quyền yêu cầu xóa thông tin cá nhân.

Ở Châu Âu, chúng ta hãy xem xét trường hợp nước Pháp, nơi cũng thường xuyên bị đe doạ bởi nguy cơ khủng bố. Sau vụ khủng bố tháng 1/2015, một dự luật cho phép an ninh tình báo can thiệp dữ liệu cá nhân đã được đề nghị. Nhưng sự can thiệp phải qua những thủ tục chính như sau:

i) Khi có tình huống nghi ngờ xảy ra, an ninh tình báo cần gửi cho Thủ tướng. Thủ tướng sau đó bắt buộc cần lấy ý kiến đồng ý của một Hội đồng quốc gia (Commission nationale de contrôle des techniques de renseignement - CNCTR) - gồm 13 thành viên: ba nghị sỹ hạ viện, ba nghị sỹ thượng viện, ba thành viên của hội đồng nhà nước (Conseil d’Etat), ba thành viên tư pháp và một chuyên gia về thông tin. Chỉ sau khi Hội đồng đồng ý thì Thủ tướng mới có thể quyết định cho phép dùng các biện pháp để theo dõi mạng với đối tượng nghi ngờ. Trong trường hợp tối khẩn (urgence absolue) thì Thủ tướng có thể quyết định trước khi trình bày cho Hội đồng.

ii) Trường hợp thực thi khẩn cấp: Trong trường hợp có đe doạ an ninh khẩn cấp (urgence opérationelle), Chính phủ đề nghị trong dự luật là an ninh có thể “tiền trảm hậu tấu” bằng cách can thiệp theo dõi gấp, vì nếu trì hoãn thì cơ hội sẽ qua đi, rồi sau đó trong 24h sẽ giải trình cho Thủ tướng và Hội đồng. Đây là trường hợp gây tranh cãi nhiều, vì quy trình không tường minh.

Sự can thiệp với quy trình như trên bị các hội đoàn, và dân phản đối, ngay trong hoàn cảnh bị khủng bố đe doạ. Nhiều ý kiến chuyên gia, ý kiến các hội đoàn đã được đưa ra, cùng các cuộc biểu tình phản đối đã diễn ra để bảo vệ quyền riêng tư.

Kết cục cuối cùng là Hội đồng Bảo Hiến đã bác bỏ việc thực hiện mục ii) “trường hợp thực thi khẩn cấp” vì cho rằng nó vi hiến, trái với luật về quyền riêng tư cá nhân. Như vậy, sẽ không có thể có bất cứ trường hợp nào, dù trong bất cứ hoàn cảnh nguy cấp nào, mà sự theo dõi lại không cần thông qua sự phê chuẩn của Thủ tướng.

Tóm lại, trong một số trường hợp tối cần thiết, việc theo dõi hay truy cập dữ liệu của bất kì cá nhân nào, kể cả của đối tượng nghi phạm nguy hiểm nhất định phải được thông qua một quá trình tường minh, chặt chẽ ở mức rất cao như phải có quyết định của toà án hoặc có sự phê chuẩn của thủ tướng.

Các chuẩn bảo mật giúp bảo vệ quyền riêng tư

Tại châu Âu, đã có những chuẩn bảo mật mới được ban hành để đảm bảo tốt hơn quyền riêng tư của dân, thậm chí các công ty còn phải cam kết xoá bỏ mọi thông tin về người dùng nếu người dùng yêu cầu. Những quy định này nghiêm ngặt hơn Mỹ. Trong quan hệ xuyên lục địa Âu – Mỹ, uỷ ban Châu Âu từng đánh giá là “US Privacy Act” của Mỹ không đủ điều kiện để bảo vệ dữ liệu riêng của công dân châu Âu. Do đó, châu Âu và Mỹ đã thống nhất đưa ra “Privacy Shield”5 yêu cầu tất cả các doanh nghiệp cần tuân thủ các yêu cầu bảo mật ở mức độ rất cao để bảo vệ dữ liệu riêng tư của người dùng. Mới đây châu Âu cũng đưa ra các quy định bảo mật dữ liệu (GDPR)6 nhằm bảo vệ dữ liệu cho công dân. Quy định này thực sự nhằm hướng đến bảo vệ dữ liệu công dân, không yêu cầu dữ liệu phải đặt trên đất châu Âu mà có thể đặt tại bất kỳ quốc gia nào đạt chuẩn đảm bảo an toàn dữ liệu của họ. Đó là những bước đi mà các chính phủ châu Âu làm để bảo vệ dữ liệu riêng tư cho công dân, và từ đó tạo lòng tin cho dân.

Như vậy xu hướng của thế giới là cố gắng phát triển các biện pháp kỹ thuật, các chuẩn bảo mật để đảm bảo quyền riêng tư cá nhân cho công dân mình.

Chúng ta biết rằng, sự phát triển của điện toán đám mây cho phép việc các phương pháp học máy, trí tuệ nhân tạo được áp dụng rộng rãi nhằm đưa đến nhiều ứng dụng tiện lợi cho người dùng. Tuy nhiên, việc thực hiện phương pháp này hiện nay đang nằm trong tay của những nhà cung cấp dịch vụ điện toán đám mây lớn và sở hữu chủ yếu dữ liệu của chúng ta, và họ hoàn toàn có thể khai thác dữ liệu riêng của ta hoặc làm lộ nó dù là theo cách bị động hay chủ động. Trong bài phát biểu mới tại hội nghị CRYPTO 2018 vừa qua, Shafi Goldwasser - người đoạt giải Turing (được coi như giải Nobel của Tin học) và hai giải Godel (giải thưởng cho bài báo xuất sắc nhất trong lĩnh vực lý thuyết khoa học máy tính) - cho rằng: “thách thức lớn nhất tiếp theo của mật mã là đảm bảo tính bảo mật thông tin trong việc thực hiện các phương pháp học máy”. Nhiệm vụ của mật mã trong tương lai là làm sao vẫn sử dụng công nghệ điện toán đám mây nhưng vẫn đảm bảo được dữ liệu, mà không phụ thuộc vào đạo đức của những nhà cung cấp dịch vụ. Rất nhiều nghiên cứu nằm trong hướng đi này, và một trong các nghiên cứu mà tác giả tham gia, trong một dự án của châu Âu, là nhằm đảm bảo quyền bảo mật dữ liệu riêng trong những ứng dụng liên kết giữa nhiều người mà không cần đặt sự tin tưởng vào bất cứ nhà cung cấp trung gian nào sao cho ngay cả khi nhà cung cấp bị lộ dữ liệu thì người dùng vẫn có thể đảm bảo thông tin riêng7. Đảm bảo an toàn dữ liệu ngay cả khi các nhà cung cấp dịch vụ bị tấn công hay tự ý lộ thông tin là yêu cầu tương lai của bảo mật.

Lời kết

Trong thời đại kỹ thuật số với dữ liệu cá nhân được lưu trữ và khai thác khắp nơi, chúng ta cần tập trung nghiên cứu các biện pháp kỹ thuật và các chuẩn bảo mật phù hợp với các chuẩn quốc tế nhằm bảo vệ dữ liệu cho người dân.

Quyền riêng tư là một trong các quyền con người cơ bản và ta cần nhất thiết bảo vệ nó. Trong thời đại kỹ thuật số với dữ liệu cá nhân được lưu trữ và khai thác khắp nơi, chúng ta cần tập trung nghiên cứu các biện pháp kỹ thuật và các chuẩn bảo mật phù hợp với các chuẩn quốc tế nhằm bảo vệ dữ liệu cho người dân. Trong những trường hợp đặc biệt nghiêm trọng, các cơ quan điều tra có thể được truy xuất dữ liệu cá nhân của nghi phạm, nhưng rất cần tránh sự lạm dụng và sự truy xuất đó cần phải được phê chuẩn bởi toà án hoặc bởi Thủ tướng theo một quy trình chặt chẽ, minh bạch. 

Tuyên bố sau đây tại cuộc họp Eurocrypt 2014 ở Copenhagen (Đan Mạch) được toàn thể các thành viên của IACR (International Asscociation for Cryptologic Research - Hiệp hội nghiên cứu mật mã quốc tế) ủng hộ8: “Các thành viên của IACR phản đối việc theo dõi trên bình diện rộng và các quyết định làm suy yếu các giải pháp, tiêu chuẩn mật mã. Việc theo dõi người dân trên diện rộng đe dọa dân chủ và nhân phẩm con người. Chúng tôi kêu gọi đẩy mạnh nghiên cứu và triển khai các kỹ thuật hiệu quả để bảo vệ quyền riêng tư cá nhân trước những hành động thái quá của các chính phủ và doanh nghiệp.”

Việt Nam đã hội nhập cùng thế giới và tổ chức rất thành công hội nghị mật mã lớn nhất  tại châu Á của IACR (Asiacrypt 2016), chúng ta cần tiếp tục đi theo các xu hướng phát triển tiến bộ của thế giới.□

Nguồn dẫn:

1 https://eu.usatoday.com/story/news/politics/2015/06/02/patriot-act-usa-freedom-act-senate-vote/28345747/

2 https://en.wikipedia.org/wiki/PRISM_(surveillance_program

3 http://masssurveillance.info/)

4 https://www.nytimes.com/2018/06/28/technology/california-online-privacy-law.html

5 https://ec.europa.eu/info/law/law-topic/data-protection/data-transfers-outside-eu/eu-us-privacy-shield_en

6 https://ec.europa.eu/commission/priorities/justice-and-fundamental-rights/data-protection/2018-reform-eu-data-protection-rules_en 

7 http://www.fentec.eu/content/paper-decentralized-multi-client-functional-encryption-inner-product 

8 https://www.iacr.org/misc/statement-May2014.html