Bang Hesse của Đức cấm trường học sử dụng Office 365 vì dữ liệu học sinh, giáo viên bị gởi về Mỹ

Microsoft Office 365! Theo thông báo từ Văn phòng bảo vệ dữ liệu thuộc bang Hesse thì nền tảng đám mây của Office 365 sẽ để lộ thông tin cá nhân của học sinh và giáo viên và "Mỹ sẽ có thể truy xuất thông tin này."

Nghe có vẻ như đây là một đòn tấn công nhằm vào Mỹ của châu Âu trước những quan ngại về bảo mật dữ liệu riêng tư nhưng thực tế phán quyết của Văn phòng bảo vệ dữ liệu và tự do thông tin tại bang Hesse là kết quả sau nhiều năm tranh luận nội bộ về việc có nên cho phép các trường học và học viện tại Đức sử dụng phần mềm của Microsoft hay không. Bên cạnh dữ liệu chi tiết mà người dùng cung cấp khi sử dụng nền tảng thì Office 365 còn gởi các loại dữ liệu từ xa khác về Mỹ.

Năm ngoái, các nhà điều tra tại Hà Lan đã phát hiện ra dữ liệu gởi về có thể bao gồm mọi thứ từ thông tin chẩn đoán phần mềm cho đến những nội dung bên trong các ứng dụng của Office 365 như các câu từ trong văn bản, email. Tất cả đều vi phạm đạo luật bảo vệ dữ liệu chung (General Data Protection Regulation - GDPR) được châu Âu ban hành từ tháng 5 năm 2018. Văn phòng bảo mật thông tin liên bang của Đức cũng thể hiện sự lo ngại tương tự về các loại dữ liệu từ xa được hệ điều hành Windows khai thác.

• GDPR là gì và chúng ta có cần quan tâm?

Thực tế vào năm 2017, trước mối lo ngại về dữ liệu riêng tư tại Đức thì Microsoft đã đầu tư hàng triệu đô la vào một dịch vụ đám mây tại Đức và giới chức bang Hesse lúc đó cho biết các trường tại địa phương có thể sử dụng Office 365. "Nếu dữ liệu của người Đức vẫn nằm tại Đức thì mọi thứ vẫn ổn" theo đánh giá của ủy viên Văn phòng bảo vệ dữ liệu bang Hesse - Michael Ronellenfitsch.

Tuy nhiên hồi tháng 8 năm 2018, Microsoft đã quyết định đóng cửa dịch vụ đám mây tại Đức và một lần nữa, dữ liệu từ người dùng Office 365 tại quốc gia này được truyền vượt Đại Tây Dương về Hoa Kỳ. Kèm theo đó nhiều bộ luật của Mỹ như luật điện toán đám mây CLOUD Act năm 2018 và luật tự do Hoa Kỳ USA Freedom Act năm 2015 còn cho phép Washington yêu cầu truy xuất dữ liệu từ các công ty công nghệ.

Một trường đại học tại Hesse.
​

Trao đổi với ZDNet, Max Schrems - một nhà ủng hộ các quyền kỹ thuật số người Áo nói ông đã đệ trình vụ việc trên lên tòa án cao nhất tại châu Âu. Ông cho biết học sinh thường không lên tiếng và "nếu dữ liệu được gởi đến máy chủ của Microsoft tại Mỹ thì nó sẽ bị quản lý bởi các bộ luật giám sát của Mỹ. Điều này bất hợp pháp theo luật châu Âu."

Thậm chí ngay cả khi nó không được gởi đến Mỹ thì những tổ chức công cộng ở Đức chẳng hạn như trường học sẽ có trách nhiệm cụ thể với dữ liệu cá nhân của mỗi học sinh, giáo viên cũng như đảm bảo tính minh bạch về điều này, Ronellenfitsch giải thích.

Mặc dù chính quyền Đức và Microsoft đang tiến hành nhiều cuộc thảo luận nhưng khó có khả năng thực thi trách nhiệm dữ liệu như gợi ý của Ronellenfitsch. Người phát ngôn của Microsoft cho biết: "Chúng tôi rất cảm ơn ủy viên tại Hesse đã đề cập đến các lo ngại về bảo mật dữ liệu riêng tư và chúng tôi mong được làm việc với các nhà chức trách để hiểu rõ hơn về mối quan tâm của họ."

Vị đại diện của Microsoft cũng nêu ra rằng Microsoft đã từng kiện chính phủ Mỹ nhằm bảo vệ dữ liệu người dùng và các quản trị viên IT tại trường học và văn phòng có thể tự giới hạn loại thông tin được gởi về Microsoft. Dù vậy, việc truyền tải thông tin không thể được vô hiệu hóa hoàn toàn.

​

Các trường học không chỉ là đơn vị công cộng duy nhất nghi ngờ Microsoft. Hồi đầu năm nay, Vitako - hiệp hội các nhà cung cấp dịch vụ IT cho các thành phố của Đức cũng phàn nàn về việc các hội đồng địa phương sử dụng Office 365 đồng nghĩa với nguy cơ thông tin cá nhân của mọi người dân Đức từ giấy phép lái xe cho đến chứng nhận kết hôn sẽ bị gởi về Mỹ.

Một trong những quản trị viên IT đến từ thành phố Cologne nói rằng với chi phí mua bản quyền bỏ ra thì người dùng sẽ kỳ vọng một sản phẩm ít bị quản lý hơn và bảo mật hơn thay vì một thứ mang sự rủi ro đến các cộng đồng dân cư.

Vào năm 2018 thì các bộ ngành và văn phòng liên bang Đức đã chi gần 73 triệu EUR để mua giấy phép sử dụng các phần mềm của Microsoft, vượt ngân sách 26 triệu EUR và khả năng đây là chi phí gia hạn các giấy phép sử dụng cũ.

Và thực tế đây là một phần trong nỗ lực dài hạn nhằm bảo vệ dữ liệu trước nguy cơ rò rỉ về phía Mỹ hay Trung Quốc trước các lời kêu gọi về chủ quyền dữ liệu. Thế nhưng "Chúng tôi phải xem xét lại điều này và đầu tư đúng chỗ," Andreas Koenen - thành viên của Bộ nội vụ Đức phát biểu tại một cuộc hội thảo về các dịch vụ đám mây nội địa tại Berlin hồi đầu năm và Koenen cho rằng họ đang phải xử lý vân đề dưới sức ép chính trị.

Trở lại với vụ việc của Office 365 thì khả năng sẽ có động thái pháp lý sau khi nhà hoạt động người Áo đệ đơn kiện lên tòa án cao nhất ở châu Âu. Max Schrems từng giành được thắng lợi trong một vụ việc tương tự vào năm 2015, làm đảo ngược thỏa thuận Safe Habor - một thỏa thuận quản lý dữ liệu truyền tải giữa Mỹ và châu Âu bị thay thế bằng đạo luật Privacy Shield vào năm 2016. Lần này thì vụ việc sẽ tiếp tục thách thức đạo luật Privacy Shield cũng như có thể chống lại thứ được gọi là Điều khoản hợp đồng tiêu chuẩn hiện đang quản lý hoạt động luân chuyển dữ liệu xuyên Đại Tây Dương. Một phần dữ liệu gởi về máy chủ Microsoft cũng đang bị quản lý bởi điều khoản này và kết quả của vụ kiện có thể gây gián đoạn dòng dữ liệu toàn cầu ở quy mô lớn.

Hiện tại các học sinh tại miền trung nước Đức sẽ phải tuân theo chỉ thị từ Văn phòng bảo vệ dữ liệu riêng tư tại Hesse, tức là sử dụng các phần mềm thay thế trong khi chờ phản hồi từ Microsoft.

Theo: ZDNet​