Các qui định mới của EU kiềm chế chuyển dữ liệu sang Mỹ sau các tiết lộ của Edward Snowden

New EU rules to curb transfer of data to US after Edward Snowden revelations

Các qui định sẽ làm khó hơn để chuyển các dữ liệu của châu Âu sang các nước thứ 3, với các tiền phạt hàng tỷ nếu không tuân thủ

Regulations will make it harder to move European data to third countries, with fines running into billions for failure to comply

By Ian Traynor in Brussels, theguardian.com, Thursday 17 October 2013 15.13 BST

Theo: http://www.theguardian.com/world/2013/oct/17/eu-rules-data-us-edward-snowden

Bài được đưa lên Internet ngày: 17/10/2013

Các công ty lớn của Mỹ hoạt động ở châu Âu sẽ phải tuân thủ luật của Liên minh châu Âu - EU hơn là các lệnh của tòa án Mỹ theo các qui định mới. Ảnh: Yves Herman/Reuters

Big US companies operating in Europe will be subject to EU law rather than American court orders under the new rules. Photograph: Yves Herman/Reuters

Lời người dịch: Sau những tiết lộ từ Snowden, châu Âu đang dự thảo các luật mới với các qui định trong các tiêu chuẩn bảo vệ dữ liệu của châu Âu với các khoản tiền phạt khổng lồ. “Dự thảo có thể làm khó hơn đối với các nhà cung cấp lớn phương tiện xã hội và các máy chủ Internet của Mỹ để truyền các dữ liệu của châu Âu tới các nước thứ 3, buộc họ tuân thủ luật của EU hơn là các lệnh tòa án bí mật Mỹ, và có quyền phạt lớn có khả năng chạy trong khoảng hàng tỷ cho lần đầu không tuân thủ với các qui định mới. ” “Như những nghị sỹ quốc hội, như các nhà chính trị, như các chính phủ, chúng tôi đã đánh mất sự kiểm soát đối với các dịch vụ tình báo. Chúng tôi phải có được nó lại một lần nữa”. Tuy nhiên, “Nếu các qui tắc mới được nghị viện đồng ý vào tuần sau, thì chúng vẫn cần phải được đàm phán với ủy ban, nó hỗ trợ chúng rộng rãi, và 28 chính phủ”. Xem thêm: 'Chương trình gián điệp PRISM trên không gian mạng'.

Các qui định mới của châu Âu trong việc kiềm chế những vụ truyền dữ liệu đáng ngờ từ các nước EU tới Mỹ đang được hoàn tất tại Brussels trong một phản ứng đầu tiên cụ thể đối với những tiết lộ của Edward Snowden trong sự giám sát ồ ạt của Mỹ và Anh đối với các giao tiếp truyền thông số.

Các qui định trong các tiêu chuẩn bảo vệ dữ liệu của châu Âu được mong đợi đi qua giai đoạn của ủy ban nghị viện châu Âu hôm thứ hai sau việc các nhóm chính trị khác nhau đồng ý về một dự thảo mới có thỏa hiệp sau 2 năm bế tắc về vấn đề này.

Dự thảo có thể làm khó hơn đối với các nhà cung cấp lớn phương tiện xã hội và các máy chủ Internet của Mỹ để truyền các dữ liệu của châu Âu tới các nước thứ 3, buộc họ tuân thủ luật của EU hơn là các lệnh tòa án bí mật Mỹ, và có quyền phạt lớn có khả năng chạy trong khoảng hàng tỷ cho lần đầu không tuân thủ với các qui định mới.

“Như những nghị sỹ quốc hội, như các nhà chính trị, như các chính phủ, chúng tôi đã đánh mất sự kiểm soát đối với các dịch vụ tình báo. Chúng tôi phải có được nó lại một lần nữa”, Jan Philipp Albrecht, nghị sỹ nghị viện châu Âu Đảng Xanh của Đức, người đang chỉ đạo cho qui định bảo vệ dữ liệu thông qua nghị viện, nói.

Tính riêng tư của dữ liệu ở EU hiện đang nằm dưới quyền của các chính phủ quốc gia với các tiêu chuẩn khác nhau khổng lồ trong 28 quốc gia, làm phức tạp cho các nỗ lực đi đến các thỏa thuận truyền dữ liệu thỏa mãn với Mỹ. Các qui định hiện hành dễ dàng bị lách qua đối với các công ty lớn của Thung lũng Silicon, Brussels viện lý.

Các qui tắc mới, nếu được đồng thuận, có thể cấm truyền các dữ liệu trừ phi dựa vào luật EU hoặc theo một hiệp định mới xuyên đại tây dương với những người Mỹ tuân thủ với luật EU.

“Không có bất kỳ thỏa thuận cụ thể nào thì có thể sẽ không có việc xử lý dữ liệu của các công ty viễn thông và Internet được cho phép”, một tóm tắt chế độ mới được đề xuất nêu.

Những sự cấm như vậy từng được thấy trong từ ngữ ban đầu 2 năm trước nhưng đã bị bỏ theo áp lực của sự tăng cường vận động hành lang từ Washington. Sự cấm được đề xuất này từng được rà soát lại trực tiếp như là kết quả của những om sòm về các hoạt động của Cơ quan An ninh Quốc gia Mỹ (NSA).

Viviane Reding, ủy viên hội đồng EU về tư pháp và cầm đầu bảo vệ ở Brussels về một hệ thống mới đảm bảo an ninh cho các quyền riêng tư và bảo vệ dữ liệu cá nhân, viện lý rằng bộ qui tắc mới này sẽ tái cân bằng mối quan hệ sức mạnh giữa Mỹ và châu Âu về vấn đề này, cung cấp đòn bẩy để ép các nhà chức trách và các công ty Mỹ phải cải cách.

“Vụ scandal dữ liệu gần đây chứng minh rằng tính nhạy cảm đã và đang gia tăng ở phía Mỹ về việc bảo vệ dữ liệu quan trọng như thế nào thực sự đối với những người châu Âu”, bà đã nói cho một tạp chí chính sách nước ngoài của Đức. “Tất cả các công ty Mỹ nào mà áp đảo thị trường công nghệ và Internet muốn có sự truy cập tới mỏ vàng của chúng tôi, thị trường nội địa với hơn 500 triệu khách hàng tiềm năng. Nếu họ muốn truy cập nó, họ sẽ phải tuân thủ các qui tắc của chúng tôi. Sự thúc đẩy này chúng tôi sẽ có trong tương lai gần, qui định bảo vệ dữ liệu của EU. Nó sẽ làm rõ ràng trong suốt rằng các công ty không phải của châu Âu, khi chào các hàng hóa và dịch vụ cho những người tiêu dùng châu Âu sẽ phải tuân thủ luật bảo vệ dữ liệu EU một cách đầy đủ. Sẽ không có các khe hở pháp lý nào nữa”.

Nhưng các qui tắc được đề xuất đó vẫn còn khó hiểu với các hỗ hổng đối với các dịch vụ tình báo để khai thác, các nghị sỹ quốc hội châu Âu thừa nhận.

EU không có sức mạnh đối với an ninh quốc gia hoặc châu Âu, ví dụ, không đối với các dịch vụ an ninh hoặc tình báo phù hợp của riêng mình, mà nó là các đặc quyền quốc gia được canh phòng một cách ghen tị. An ninh quốc gia thì có thể và được viện tới để phớt lờ và bỏ qua các qui tắc của EU.

“Qui định này không điều chỉnh công việc của các dịch vụ tình báo”, Albrecht nói. “Tất nhiên, an ninh quốc gia là một lỗ hổng khổng lồ và chúng tôi cần đóng nó lại. Nhưng chúng tôi không thể đóng nó với qui định này”.

Các vụ làm việc trực tiếp giữa những người Mỹ và các chính phủ riêng rẽ của châu Âu cũng có thể cho phép các qui định bị bỏ qua.

Song song với các qui tắc về tính riêng tư dữ liệu được đề xuất, có những thỏa thuận xuyên đại tây dương khác nhau khác diễn ra điều chỉnh sự cung ứng của châu Âu cho Mỹ các dữ liệu hành khách đi hàng không, các giao dịch tài chính và các thông tin ngân hàng nhằm vào việc trấn áp việc cấp vốn cho khủng bố và cái gọi là tuân thủ Bến cảng An toàn (Safe Harbour) cho phép các công ty ở châu Âu gửi đi các dữ liệu tới các công ty ở Mỹ nơi mà, như là kết quả của Snowden, nó là rõ ràng rằng các dữ liệu đó có thể sau đó bị NSA nghe lén.

“Bến cảng An toàn có thể không an toàn tí gì cả. Nó có thể là một khe hở vì nó cho phép các vụ truyền dữ liệu từ EU tới các công ty Mỹ, dù các tiêu chuẩn bảo vệ dữ liệu của Mỹ là thấp hơn so với các tiêu chuẩn của châu Âu”, Reding nói. “Bến cảng An toàn dựa vào sự tự qui định và các qui tắc ứng xử. Trong ánh sáng của những tiết lộ gần đay, tôi bị thuyết phcuj rằng việc dựa vào các qui tắc ứng xử và tự qui định không được cảnh sát theo một cách thức nghiêm ngặt sẽ đưa ra cách thức tốt nhất để bảo vệ các công dân của chúng ta”.

Ủy ban châu Âu đang cảnh báo rằng nó có thể treo tất cả các thỏa thuận đó trừ phi Mỹ cam kết theo một chế độ mới, nhưng các đe dọa của ủy ban cũng có thể làm lo lắng với các chính phủ, không ít hơn là Anh.

Brussels và Washington cũng đã và đang thương thảo vụ về các trao đổi dữ liệu cảnh sát cho 2 năm, nhưng các cuộc nói chuyện bị tắc vì không có sự uốn nắn pháp lý đối với một công dân EU ở các tòa án Mỹ nếu hệ thống đó bị lạm dụng.

Theo các qui tắc mới được đề xuất, ủy ban đang kêu gọi tiền phạt tới 2% doanh số toàn cầu thường niên của một công ty nếu nó bị phát hiện vi phạm, trong khi nghị viện kêu gọi tới 5%.

Các quan chức cao cấp ở Brussels mô tả các khoản tiền phạt hiện hành như là một trò đùa đối với các siêu công ty như Google hoặc Yahoo. Các công ty có trụ sở ở Mỹ, thậm chí khi vi phạm luật châu Âu, các quan chức nói, đơn giản viện lý rằng họ không tuân theo nó bất kể là đang vận hành ở châu Âu, trong khi họ phải tuân thủ các lệnh của tòa án bí mật của hệ thống FISA Mỹ tạo thuận lợi cho công việc của NSA.

“Trên cơ sở của Luật Yêu nước Mỹ, các nhà chức trách Mỹ đang yêu cầu các công ty Mỹ có trụ sở ở châu Âu chuyển các dữ liệu của các công dân EU. Điều này tuy vậy - theo luật EU - là bất hợp pháp”, Reding nói.

“Vấn đề là khi các công ty đó đối mặt với một yêu cầu liệu có tuân thủ với luật của EU hay Mỹ, thì họ sẽ thường chọn theo luật Mỹ. Vì cuối cùng đây là một câu hỏi về sức mạnh”.

Nếu các qui tắc mới được nghị viện đồng ý vào tuần sau, thì chúng vẫn cần phải được đàm phán với ủy ban, nó hỗ trợ chúng rộng rãi, và 28 chính phủ.

New European rules aimed at curbing questionable transfers of data from EU countries to the US are being finalised in Brussels in the first concrete reaction to the Edward Snowden disclosures on US and British mass surveillance of digital communications.

Regulations on European data protection standards are expected to pass the European parliament committee stage on Monday after the various political groupings agreed on a new compromise draft following two years of gridlock on the issue.

The draft would make it harder for the big US internet servers and social media providers to transfer European data to third countries, subject them to EU law rather than secret American court orders, and authorise swingeing fines possibly running into the billions for the first time for not complying with the new rules.

"As parliamentarians, as politicians, as governments we have lost control over our intelligence services. We have to get it back again," said Jan Philipp Albrecht, the German Greens MEP who is steering the data protection regulation through the parliament.

Data privacy in the EU is currently under the authority of national governments with standards varying enormously across the 28 countries, complicating efforts to arrive at satisfactory data transfer agreements with the US. The current rules are easily sidestepped by the big Silicon Valley companies, Brussels argues.

The new rules, if agreed, would ban the transfer of data unless based on EU law or under a new transatlantic pact with the Americans complying with EU law.

"Without any concrete agreement there would be no data processing by telecommunications and internet companies allowed," says a summary of the proposed new regime.

Such bans were foreseen in initial wording two years ago but were dropped under the pressure of intense lobbying from Washington. The proposed ban has been revived directly as a result of the uproar over operations by the US's National Security Agency (NSA).

Viviane Reding, the EU's commissioner for justice and the leading advocate in Brussels of a new system securing individuals' rights to privacy and data protection, argues that the new rulebook will rebalance the power relationship between the US and Europe on the issue, supplying leverage to force the American authorities and tech firms to reform.

"The recent data scandals prove that sensitivity has been growing on the US side of how important data protection really is for Europeans," she told a German foreign policy journal. "All those US companies that do dominate the tech market and the internet want to have access to our goldmine, the internal market with over 500 million potential customers. If they want to access it, they will have to apply our rules. The leverage that we will have in the near future is thus the EU's data protection regulation. It will make crystal clear that non-European companies, when offering goods and services to European consumers, will have to apply the EU data protection law in full. There will be no legal loopholes any more."

But the proposed rules remain riddled with loopholes for intelligence services to exploit, MEPs admit.

The EU has no powers over national or European security, for example, nor its own proper intelligence or security services, which are jealously guarded national prerogatives. National security can be and is invoked to ignore and bypass EU rules.

"This regulation does not regulate the work of intelligence services," said Albrecht. "Of course, national security is a huge loophole and we need to close it. But we can't close it with this regulation."

Direct deals between the Americans and individual European governments might also allow the rules to be bypassed.

Parallel to the proposed data privacy rules, there are various other transatlantic arrangements in place regulating European supply to the Americans of air passenger data, financial transactions and banking information aimed at suppressing terrorism funding and the so-called Safe Harbour accord allowing companies in Europe to send data to companies in the US where, as a result of Snowden, it is clear that that data can then be tapped by the NSA.

"The Safe Harbour may not be so safe after all. It could be a loophole because it allows data transfers from EU to US companies, although US data protection standards are lower than our European ones," said Reding. "Safe Harbour is based on self-regulation and codes of conduct. In the light of the recent revelations, I am not convinced that relying on codes of conduct and self-regulation that are not policed in a strict manner offer the best way of protecting our citizens."

The European commission is warning that it could suspend all these agreements unless the US commits to a new regime, but the commission's threats would also run into trouble with national governments, not least the British.

Brussels and Washington have also been negotiating a deal on police data exchanges for two years, but the talks are deadlocked because there is no legal redress for an EU citizen in the US courts if the system is abused.

Under the proposed new rules, the commission is calling for fines of up to 2% of a company's annual global turnover if it is found to be in breach, while the parliament calls for up to 5%.

Senior officials in Brussels describe the current penalties as a joke for mega-companies such as Google or Yahoo. The US-based companies, even when breaking European law, officials say, simply argue that they are not subject to it despite operating in Europe, while they are subject to the secret court orders of the US Fisa system facilitating the work of the NSA.

"On the basis of the US Patriot Act, US authorities are asking US companies based in Europe to hand over the data of EU citizens. This is however – according to EU law – illegal," said Reding. "The problem is that when these companies are faced with a request whether to comply with EU or US law, they will usually opt for the American law. Because in the end this is a question of power."

If the new rules are agreed next week by the parliament, they still need to be negotiated with the commission, which broadly supports them, and the 28 governments.

Dịch: Lê Trung Nghĩa

letrungnghia.foss@gmail.com