Ai sẽ phải “lưu dữ liệu, mở văn phòng”?

TTCT - Trước khi dự thảo “Nghị định quy định chi tiết một số điều của Luật an ninh mạng” được công bố, điều mà nhiều người quan tâm là liệu nghị định này sẽ ràng buộc các doanh nghiệp (DN) cung ứng dịch vụ xuyên biên giới thông qua mạng Internet như thế nào liên quan đến yêu cầu “lưu trữ dữ liệu”, “đặt văn phòng” tại Việt Nam.

Ảnh: twitter.com

Đó là bởi Luật an ninh mạng, vừa được thông qua hồi tháng 6, quy định một số loại DN cung cấp dịch vụ trên mạng viễn thông, mạng Internet; có thu thập, khai thác, phân tích, xử lý một số loại dữ liệu phải lưu trữ dữ liệu này và phải đặt chi nhánh hay mở văn phòng đại diện tại Việt Nam.

Tuy nhiên, Luật an ninh mạng lại để Chính phủ quy định chi tiết điều này.

Từ đó đã có những lo lắng, rằng nếu buộc các DN cung cấp dịch vụ trên Internet phải lưu trữ dữ liệu và mở văn phòng đại diện tại Việt Nam sẽ chẳng khác nào cô lập Việt Nam khỏi thế giới mạng không biên giới, bởi cân nhắc giữa lợi ích và chi phí sẽ có rất nhiều DN thà bỏ thị trường Việt Nam còn hơn tuân thủ luật này vì chi phí cao.

Khi dự thảo nghị định được công bố, những lo lắng đó đã được giải tỏa. Nghị định được soạn thảo theo kiểu đánh đổi: DN làm điều này thì khỏi làm điều kia, do vậy đã hạn chế số lượng DN chịu sự ràng buộc về lưu dữ liệu, mở văn phòng xuống rất nhiều.

DN nào cung cấp dịch vụ trên Internet nhưng chỉ một chiều, tức người dùng không có sự tương tác, chỉ nhận dịch vụ chứ không có kênh để lên tiếng, tham gia các diễn đàn, tải lên nội dung thì đương nhiên loại trừ ra khỏi yêu cầu lưu dữ liệu, mở văn phòng.

Đó là bởi DN loại một chiều này thì làm sao “Để cho người sử dụng dịch vụ thực hiện hành vi được quy định tại khoản 1, 2 điều 8 Luật an ninh mạng”, tức những hành vi được xem là vi phạm Luật an ninh mạng như sử dụng không gian mạng để “xúi giục, lôi kéo, kích động người khác phạm tội”.

Điểm này đã loại trừ hầu hết các DN nước ngoài cung cấp dịch vụ xuyên biên giới kiểu như trang thương mại điện tử, trang báo nước ngoài, các website tra cứu, dịch vụ ngân hàng, chi trả tiền, coi phim, nghe nhạc, các nơi cung cấp dịch vụ giáo dục, y tế...

Ở đây vẫn còn một điểm chưa rõ: Khi một người nào đó đưa một nội dung được xem là “xúc phạm tôn giáo, phân biệt đối xử về giới, phân biệt chủng tộc” lên mặt tiền tài khoản Facebook của họ thì còn dễ xác định, tuy cũng không dễ thẩm định ngay.

Nhưng nếu người dùng đưa những nội dung này lên thư điện tử, lên một dịch vụ lưu trữ thì sao? Gmail hay Dropbox đều có chính sách không đọc nội dung người dùng đưa lên, hay nói đúng hơn là nhân viên của các nơi cung cấp dịch vụ loại này không đọc nội dung (Gmail giao cho máy đọc để bán quảng cáo). Viber hay WhatsApp mã hóa nội dung trao đổi, cũng không biết người dùng nhắn cho nhau cái gì. Vậy làm sao cáo buộc họ “để cho người sử dụng dịch vụ thực hiện hành vi” vi phạm cho được?

Dù sao sau khi áp dụng điểm này, lượng DN còn lại có thể chịu sự ràng buộc “lưu dữ liệu, mở văn phòng” chủ yếu chỉ còn các mạng xã hội như Facebook, Twitter, YouTube...

Chưa hết, dự thảo nghị định còn đưa ra thêm một điều kiện nữa: DN lọt vào vòng này còn phải “vi phạm quy định tại khoản 4 điều 8, điểm a hoặc điểm b khoản 2 điều 26 Luật an ninh mạng” thì mới lọt vào vòng cuối cùng. Tức là DN cung cấp dịch vụ để người dùng vi phạm một số điểm của Luật an ninh mạng thường được yêu cầu hai điểm: xóa thông tin vi phạm và cung cấp thông tin về người vi phạm cho lực lượng chuyên trách bảo vệ an ninh mạng (điểm a hoặc điểm b khoản 2 điều 26).

Nếu họ làm hai điểm này rồi thì thôi, không thuộc diện phải “lưu dữ liệu, mở văn phòng”. Chỉ khi nào họ từ chối hai điểm trên thì mới xem là vi phạm và mới thuộc diện “lưu dữ liệu, mở văn phòng”.

Có thể thấy trường hợp “lưu dữ liệu, mở văn phòng” sẽ rất ít, sẽ thực hiện theo từng vụ việc chứ không đại trà vì dự thảo nghị định quy định chính bộ trưởng Bộ Công an sẽ đưa ra yêu cầu này với DN chứ không phải một cơ quan an ninh mạng nào cả.

DN có thể thở phào nhẹ nhõm nhưng nỗi lo lại chuyển sang người dùng. Phần lớn các hoạt động mang tính vi phạm Luật an ninh mạng thì đã rõ như “thực hiện tấn công mạng, khủng bố mạng, gián điệp mạng, tội phạm mạng”. Lúc đó cơ quan an ninh cần biết rõ những thông tin liên quan, kể cả danh tính người dùng và DN dịch vụ phải chấp hành.

Thế nhưng với những nội dung mơ hồ hơn như “thông tin sai sự thật gây hoang mang trong nhân dân...” ai sẽ thẩm định sự đúng sai trước khi lực lượng chuyên trách bảo vệ an ninh mạng yêu cầu DN cung cấp thông tin người dùng?

Theo nội dung của dự thảo thì DN có động lực rất lớn để cung cấp các thông tin loại đó vì nhờ vậy, họ sẽ thoát được yêu cầu lưu dữ liệu và mở văn phòng tại Việt Nam.■