Bóc trần 'Chat Control': Cuộc chiến giữa an ninh mạng và quyền riêng tư tại EU

Trong cộng đồng công nghệ và bảo mật, cụm từ "Chat Control" không còn xa lạ, nhưng thực tế nó lại là một chủ đề cực kỳ phức tạp với hai đạo luật song song đang được thảo luận tại các thể chế của Liên minh Châu Âu (EU). Bài viết này sẽ làm rõ bản chất của Chat Control 1.0 và 2.0.

Chat Control 1.0: Quy định tạm thời (Regulation EU 2021/1232)

Chat Control 1.0 (Quy định 2021/1232) được thiết kế như một biện pháp tạm thời nhằm tạo cơ sở pháp lý cho các nhà cung cấp dịch vụ quét tin nhắn cá nhân để phát hiện nội dung lạm dụng tình dục trẻ em (CSAM).

Lộ trình thời gian của Chat Control 1.0:

• 2021: Quy định được thông qua, tạo ngoại lệ cho Chỉ thị ePrivacy.
• Tháng 8/2024: Hết hạn ban đầu nhưng được gia hạn đến tháng 4/2026 do Chat Control 2.0 chưa đạt được đồng thuận.
• Diễn biến căng thẳng:
  • Ủy ban LIBE của Nghị viện Châu Âu đã từng bác bỏ đề xuất gia hạn.
  • Nghị viện bỏ phiếu thông qua một thỏa hiệp: chỉ cho phép phát hiện nội dung đã biết, không đụng đến mã hóa đầu cuối (E2EE) và phải có lệnh từ cơ quan tư pháp.
  • Các cuộc đàm phán Trilogue đổ vỡ khi Hội đồng bác bỏ các điều kiện của Nghị viện.
  • Bước ngoặt: Một cuộc bỏ phiếu với tỷ số sít sao (307-306) đã thông qua Amendment 34, bác bỏ việc đánh giá tự động các ảnh và văn bản chưa xác định.

Sự hồi sinh bất ngờ:

Mặc dù quy định đã hết hạn, Hội đồng EU đang cố gắng "hồi sinh" nó thông qua một quy trình cấp tốc, coi đây là một đạo luật mới với nội dung tương tự. Hiện tại, một cuộc bỏ phiếu ngày 9/7 đang là tâm điểm quyết định số phận của việc quét tin nhắn tự nguyện.

Chat Control 2.0: Đề xuất CSA (Child Sexual Abuse) Regulation

Khác với phiên bản 1.0, đây là một đề xuất quy định vĩnh viễn được đưa ra từ năm 2022.

Các điểm chính của CSA Regulation:

1. Yêu cầu bắt buộc: Các nền tảng phải có trách nhiệm phát hiện và báo cáo CSAM.
2. Rào cản E2EE: Đề xuất ban đầu yêu cầu các dịch vụ phải "vượt qua" (bypass) mã hóa đầu cuối để quét nội dung - điều mà cộng đồng kỹ thuật coi là "cửa sau" (backdoor) nguy hiểm.
3. Lập trường của các bên:
   • Nghị viện: Đòi hỏi không quét các dịch vụ E2EE, chỉ phát hiện nội dung hình ảnh, yêu cầu lệnh tư pháp cụ thể và không xác minh độ tuổi bắt buộc.
   • Đức và Hội đồng: Đức từng phá vỡ thế bế tắc bằng cách bỏ phiếu chống lại việc quét không cần nghi ngờ (suspicionless scanning).
   • Giải pháp thay thế: Chuyển sang đánh giá rủi ro và các nghĩa vụ giảm thiểu rủi ro cho nhà cung cấp.

Trạng thái hiện tại:

Đến tháng 5/2026, sau 5 vòng đàm phán Trilogue, vẫn chưa đạt được thỏa thuận cốt lõi. Hội đồng vẫn muốn áp dụng quét không cần nghi ngờ (suspicionless scanning), trong khi các luật sư của Hội đồng cũng đã cảnh báo rằng điều này vi phạm Điều 7 của Hiến chương EU về quyền riêng tư nếu không có sự cho phép tư pháp trước đó.

Kết luận

Cuộc chiến Chat Control là bài kiểm tra lớn nhất cho tính bảo mật của mã hóa đầu cuối tại châu Âu. Trong khi các nhà lập pháp tìm cách cân bằng giữa bảo vệ trẻ em và quyền riêng tư, các kỹ sư và chuyên gia bảo mật vẫn lo ngại rằng việc tạo ra cơ chế quét tự động sẽ phá hủy nền tảng của bảo mật kỹ thuật số hiện đại.

Chúng tôi sẽ tiếp tục cập nhật các diễn biến từ Brussels về chủ đề này trên hi_dev.