Cú đánh úp của Bộ trưởng Tô Lâm?

Trên mạng xã hội đang dẫn một văn bản được cho là dự thảo ngày 03/10/2018 về nghị định Luật An ninh mạng [tải về tại đây http://bit.ly/2pOl4go]. Bản dự thảo này không thấy đăng trên trang web của Bộ Công an; thay vào đó là một nội dung dự thảo nghị định tương tự, đã kết thúc thời gian lấy ý kiến từ 05/06/2017.

Ngay sau thông tin các ông bà nghị của TP.HCM giơ tay biểu quyết việc xây dựng Nhà hát Giao hưởng 1.700 ghế ở khu đô thị ‘dân oan’ Thủ Thiêm, là thông tin Bộ Công an đã hoàn tất các nội dung của nghị định cho Luật An ninh mạng. Công luận cho rằng đây là cú đánh úp, vì lâu nay không ai biết các nội dung dự thảo này được lấy ý kiến từ lúc nào?

Tin rằng sẽ sốc hơn, khi văn bản dự thảo nghị định đăng trên trang điện tử của Bộ Công an, có ngày kết thúc lấy ý kiến đóng góp là 05/06/2017 [nguồn: http://bit.ly/2pKBcPS].

Sốc, vì theo Thông cáo số 17 kỳ họp thứ 5, Quốc hội khóa XIV phải đến ngày 12/6/2018, Quốc hội mới thông qua dự thảo Luật An ninh mạng. Trong hồ sơ công khai về dự luật này trên tranghttp://duthaoonline.quochoi.vn của Thư viện Quốc hội, trực thuộc Văn phòng Quốc hội, hoàn toàn không có tài liệu nào liên quan về dự thảo văn bản hướng dẫn dưới luật như đăng tải trên web của Bộ Công an [chi tiết tại http://bit.ly/2EdzQY2].

Thời điểm của dự thảo nghị định đăng trên website Bộ Công an thì Luật An ninh mạng vẫn là dự thảo. Liệu có gì giống và khác nhau giữa hai văn bản dường như cùng liên quan đến chuyện thi hành Luật An ninh mạng?

Bộ trưởng Tô Lâm giải trình như thế nào?

Trong Tờ trình gửi Chính phủ và Bộ Tư pháp, Thượng tướng Tô Lâm, Bộ trưởng Bộ Công an, cho biết (trích phần đánh số V. của Tờ trình): “Các bộ, ngành tham gia ý kiến đều nhất trí với sự cần thiết và các nội dung cơ bản của dự thảo Nghị định, các ý kiến tham gia trực tiếp vào dự thảo Nghị định đã được cơ quan chủ trì soạn thảo nghiên cứu, tiếp thu. Có một số ý kiến tham gia, cơ quan chủ trì soạn thảo xin được giải trình như sau:

– Bộ Quốc phòng đề nghị Cơ quan chủ trì soạn thảo xác định lại phạm vi điều chỉnh của dự thảo Nghị định, chỉ quy định các vấn đề về “bảo vệ an ninh quốc gia trên không gian mạng”, và đổi tên Nghị định thành “Nghị định quy định về bảo đảm an ninh quốc gia trên không gian mạng” để phù hợp với nội dung của dự thảo Nghị định.

Về vấn đề này, Bộ Công an cho rằng bảo đảm an ninh không gian mạng quốc gia có phạm vi rộng hơn bảo đảm an ninh quốc gia trên không gian mạng. Bảo đảm an ninh không gian mạng quốc gia bao gồm bảo vệ quốc gia trên không gian mạng, tác chiến không gian mạng và bảo vệ hệ thống thông tin quan trọng về an ninh quốc gia.

Ba lĩnh vực này có mối liên hệ chặt chẽ với nhau, có sự tác động ảnh hưởng lẫn nhau trong phòng ngừa và đấu tranh ngăn chặn, xử lý. Dự thảo Nghị định cần quy định một cách tổng thể về bảo đảm an ninh không gian mạng quốc gia chứ không chỉ bảo vệ an ninh quốc gia trên không gian mạng. Do vậy, đề nghị giữ nguyên phạm vi điều chỉnh của dự thảo Nghị định.

– Bộ Thông tin và truyền thông và một số bộ, cơ quan ngang bộ khác đề nghị cân nhắc về sự trùng dẫm giữa phạm vi điều chỉnh của dự thảo Nghị định với các quy định của Luật an toàn thông tin mạng và các văn bản quy định chi tiết Luật này; sự chồng chéo chức năng nhiệm vụ giữa Bộ Công an với Bộ Thông tin và truyền thông.

Về vấn đề này, Bộ Công an cho rằng Luật an toàn thông tin mạng và các văn bản quy định chi tiết Luật này điều chỉnh về vấn đề bảo đảm an toàn thông tin mạng; còn dự thảo Nghị định này quy định về bảo đảm an ninh không gian mạng quốc gia, do vậy không có sự chồng chéo về phạm vi điều chỉnh”.

Tùy tiện chụp mũ thế lực thù địch

Dự thảo nghị định đăng trên trang web của Bộ Công an, Chương III “Phát hiện, ngăn chặn, đấu tranh, xử lý hoạt động xâm phạm an ninh không gian mạng quốc gia”, gồm các điều từ 14 đến 16, cụ thể như sau:

“Điều 14. Biện pháp phát hiện, ngăn chặn, đấu tranh, xử lý hoạt động xâm phạm an ninh không gian mạng quốc gia: 1. Các biện pháp ngăn chặn, biện pháp cưỡng chế, biện pháp thu thập chứng cứ và các biện pháp khác theo quy định của pháp luật về tố tụng hình sự đối với pháp nhân, cá nhân có hành vi xâm phạm an ninh không gian mạng quốc gia. 2. Các biện pháp nghiệp vụ, kỹ thuật nghiệp vụ.

Điều 15. Đối tượng áp dụng các biện pháp phát hiện, ngăn chặn, đấu tranh, xử lý hoạt động xâm phạm an ninh không gian mạng quốc gia: 1. Các tổ chức, cá nhân có hoạt động xâm phạm hoặc đe dọa xâm phạm an ninh không gian mạng quốc gia. 2. Các tổ chức, cá nhân có dấu hiệu hoạt động xâm phạm an ninh không gian mạng quốc gia. 3. Hệ thống thông tin quan trọng về an ninh quốc gia.

Điều 16. Nội dung, căn cứ, thẩm quyền, trình tự, thủ tục áp dụng biện pháp phát hiện, ngăn chặn, xử lý hoạt động xâm phạm an ninh không gian mạng quốc gia: 1. Nội dung, căn cứ, thẩm quyền, trình tự, thủ tục áp dụng các biện pháp quy định tại khoản 1 Điều 14 Nghị định này được thực hiện theo quy định của pháp luật tố tụng hình sự. 2. Nội dung, căn cứ, thẩm quyền, trình tự, thủ tục áp dụng các biện pháp quy định tại khoản 2 Điều 14 Nghị định này được thực hiện theo quy định của pháp luật có liên quan và quy định của Bộ trưởng Bộ Công an, Bộ trưởng Bộ Quốc phòng”.

Cụm từ “Các tổ chức, cá nhân có dấu hiệu hoạt động xâm phạm an ninh không gian mạng quốc gia” cho thấy độ rộng của việc chụp mũ thế lực thù địch mà Bộ Công an giữ quyền sinh sát.

Bộ Công an được quyền truy cập vào dữ liệu cá nhân của người dùng tại Việt Nam?

Dường như ở văn bản được cho là dự thảo ngày 03/10/2018 về nghị định Luật An ninh mạng, là bản chi tiết hóa các nội dung ở Chương III “Phát hiện, ngăn chặn, đấu tranh, xử lý hoạt động xâm phạm an ninh không gian mạng quốc gia” của bản dự thảo đăng trên website Bộ Công an.

Theo đó, thì tại các điều từ 54 đến 58, các nhà cung cấp dịch vụ (ISP, Internet Service Provider) như Google, Facebook, Viber, Skype, Yahoo,… bắt buộc phải đặt máy chủ lưu trữ dữ liệu người tiêu dùng đã khởi tạo quyền sử dụng cá nhân từ địa chỉ IP tại Việt Nam (*).

Dự thảo nghị định trao quyền cho Bộ Công an việc vào máy chủ lưu trữ đặt tại Việt Nam để tìm hiểu về cá nhân, tổ chức nào đó về tất cả “dữ liệu phát sinh trong quá trình sử dụng dịch vụ, bao gồm: nhật ký truy cập, thông tin thanh toán dịch vụ, địa chỉ IP truy cập dịch vụ, thói quen tìm kiếm, log chat, thời gian giao dịch”; “Cung cấp dữ liệu thông tin gốc do người sử dụng tạo ra hoặc tài liệu, thông tin mà các doanh nghiệp thu thập được nhưng chưa mã hóa, hoặc đã được giải mã để phục vụ điều tra, xử lý hành vi vi phạm pháp luật” (Trích điều 57.3.c).

Cục An ninh mạng được quyền yêu cầu doanh nghiệp ISP phải cung cấp thông tin về thiết bị sử dụng của người dùng, bao gồm “thông tin về thiết bị, thuộc tính, hoạt động, số nhận dạng, tín hiệu, dữ liệu từ cài đặt thiết bị, mạng và kết nối, dữ liệu cookie”.

Tất cả điều đó có nghĩa dù không chiếm giữ được quyền tài khoản của người dùng, song nhân danh Luật An ninh mạng, dự thảo nghị định cho phép Cục An ninh mạng buộc các ISP phải cung cấp toàn bộ dữ liệu của người dùng. Và như vậy mọi thông tin đều bị đặt lên bàn soi từng chi tiết. Những trao đổi riêng tư qua các hộp thư dễ dàng bị đọc công khai mà không vi phạm các quy định bảo mật giữa ISP với người sử dụng.

Đương nhiên khi ấy thì chuyện chụp mũ thế lực thù địch càng thêm dễ dàng, kể cả việc ngụy tạo chứng cứ số của nhà chức trách. Đáng ngại hơn là những giao dịch thuộc bí mật làm ăn của doanh nghiệp, doanh nhân dễ dàng bị thao túng, khi ai đó tung số tiền lớn ra để mua các dữ liệu này.

Chú thích:

(*) Về cơ bản, địa chỉ IP, viết tắt của Internet Protocol – giao thức Internet, là địa chỉ đơn nhất mà mọi thiết bị điện tử đang sử dụng. Thông qua nó, thiết bị này có thể kết nối với thiết bị khác và chia sẻ dữ liệu. Trong một số trường hợp đặc biệt, người khác sẽ xem được các hoạt động gắn liền với địa chỉ IP cụ thể. Sau đó, họ chắp nối các thông tin về người đang truy cập Internet từ địa chỉ đó.