Tòa án đứng về phía EFF: Luật VPN của Utah yêu cầu điều bất khả thi về mặt kỹ thuật

Khi các nhà lập pháp bang cố gắng viết lại cách thức hoạt động của internet, người dùng trông cậy vào tòa án để nhận ra rằng luật pháp không thể biến những điều bất khả thi về mặt kỹ thuật thành hiện thực. Đó là lý do chúng tôi vui mừng khi thấy một tòa án đã chặn đứng nỗ lực của bang Utah nhằm vô hiệu hóa các biện pháp bảo vệ quyền riêng tư của Mạng Riêng Ảo (VPN).

Trong một thắng lợi cho quyền kỹ thuật số, một thẩm phán liên bang đã ban hành lệnh tạm đình chỉ đối với SB 73 — đạo luật xác minh độ tuổi chống VPN hà khắc của bang này. Quyết định được đưa ra sau khi EFF gửi ý kiến lên Sở Thương mại Utah, trình bày chi tiết cách mà việc buộc các nền tảng phát hiện và chặn các công cụ bảo vệ quyền riêng tư sẽ làm suy yếu quyền riêng tư và bảo mật của người dùng trên toàn thế giới, đồng thời đòi hỏi những điều không thể thực hiện được.

SB 73 quy định những gì?

Được ký ban hành vào đầu năm nay, SB 73 cố gắng quản lý các trang web người lớn bằng cách yêu cầu họ chặn người dùng VPN hoặc xác định vị trí thực tế của khách truy cập đang sử dụng VPN hay các công cụ tương tự để che giấu lưu lượng mạng. Luật này thậm chí còn đi xa đến mức cấm các trang web cung cấp hướng dẫn về cách sử dụng VPN để vượt qua các kiểm tra đó. Theo hiểu biết của EFF, điều này khiến Utah trở thành bang đầu tiên trên toàn quốc nhắm mục tiêu vào việc sử dụng VPN để tránh các cổng xác minh độ tuổi do luật pháp quy định.

Tòa án liên bang Utah đã đình chỉ việc thực thi các điều khoản về VPN của luật này vào tuần trước, phán quyết rằng đạo luật có khả năng vi phạm điều khoản của Hiến pháp Hoa Kỳ cấm ban hành luật gây gánh nặng đáng kể cho các doanh nghiệp và người dân bên ngoài biên giới Utah.

SB 73 gây gánh nặng lên quyền của tất cả người dùng internet bên ngoài Utah vì nó yêu cầu các trang web người lớn phải biết vị trí thực tế của mọi khách truy cập, rồi chặn những người ở Utah, hoặc phải xác minh độ tuổi của mọi khách truy cập phòng trường hợp họ có thể đang ở Utah. Tòa án viết: "Điều khoản về vị trí thực tế trên thực tế yêu cầu một thực thể phải thực hiện dịch vụ xác minh độ tuổi cho mọi người dùng truy cập trang web của mình từ bất kỳ địa điểm nào, vì thực thể đó sẽ vi phạm luật nếu dù chỉ một trong số những người dùng đó tình cờ đang che giấu vị trí." Tòa án về cơ bản phán quyết rằng Utah có những cách ít gánh nặng hơn để ngăn trẻ vị thành niên trong bang truy cập các trang web người lớn, thay vì buộc mọi người dùng trên toàn thế giới phải tuân thủ SB 73.

Đơn kiện của Aylo không thách thức điều khoản của SB 73 cấm các trang web thuộc phạm vi luật chia sẻ thông tin về VPN.

Thách thức pháp lý

Lệnh của tòa án này diễn ra sau nhiều tháng vận động pháp lý.

Ban đầu dự kiến có hiệu lực vào tháng 5 năm 2026, SB 73 đã ngay lập tức làm dấy lên một thách thức hiến pháp từ Aylo, công ty mẹ của các nền tảng người lớn trực tuyến lớn như Pornhub. Đáp lại đơn kiện, Utah và Aylo ban đầu đồng ý rằng bang sẽ tạm dừng thực thi trong khi tòa án xem xét yêu cầu lệnh tạm đình chỉ, hoặc cho đến khi các quy định hành chính đặt ra các điều khoản tuân thủ cụ thể được hoàn thiện. Các quy định tuân thủ được đề xuất đó (R152-78B, xem Công báo Bang Utah, trang 6) đã được Ban Bảo vệ Người tiêu dùng thuộc Sở Thương mại Utah công bố vào ngày 1 tháng 9, và EFF đã gửi ý kiến chính thức lên Sở để phản đối. Theo thông báo, các quy định được đề xuất có thể có hiệu lực sớm nhất là vào ngày 8 tháng 10 năm 2026. Tuy nhiên, quyết định của Thẩm phán Barlow có nghĩa là nó không thể được thực thi cho đến khi tòa án có hành động tiếp theo.

Phán quyết

EFF hoan nghênh phán quyết của Thẩm phán Barlow, phán quyết công nhận sự mất kết nối cơ bản giữa việc lập pháp của bang đối với internet và cách công nghệ vận hành. Trong phán quyết của mình, Thẩm phán Barlow lưu ý rằng đạo luật yêu cầu một điều bất khả thi về mặt kỹ thuật, nếu không sẽ phải chịu trách nhiệm pháp lý. "Aylo đúng khi cho rằng đạo luật, sau khi sửa đổi, giờ đây về cơ bản áp đặt trách nhiệm nghiêm ngặt đối với các thực thể như nó trong việc xác định vị trí người dùng trang web của mình."

Tòa án công nhận rằng vấn đề là SB 73 "yêu cầu các thực thể như Aylo phải định vị địa lý người dùng trang web của mình một cách hoàn hảo để tránh trách nhiệm pháp lý." Nhưng đồng thời, tòa án thừa nhận "rằng sự hoàn hảo trong định vị địa lý hiện nay là không thể."

EFF đã giải thích sự bất khả thi về mặt kỹ thuật này trong ý kiến gửi Sở Thương mại. VPN bảo vệ quyền riêng tư của người dùng bằng cách định tuyến lưu lượng web qua các máy chủ trung gian. Vì các trang web đích chỉ nhìn thấy địa chỉ IP của máy chủ VPN, chúng không có cơ chế đáng tin cậy nào để biết liệu một kết nối xuất phát từ Salt Lake City, Seattle hay Thượng Hải. Vì vậy, theo khuôn khổ luật pháp hiện hành của Utah, các nền tảng bị đặt vào một lựa chọn bất khả thi: chặn hoàn toàn mọi lưu lượng VPN trên toàn quốc, hoặc rút quyền truy cập khỏi Utah hoàn toàn. Thẩm phán Barlow đồng ý, khẳng định:

Vì luật yêu cầu sự hoàn hảo trong khi thiếu các công cụ định vị địa lý hoàn hảo, Aylo sẽ cần xác minh 28 triệu người dùng đó — dù ở Salt Lake City, Boston, New Orleans, Anchorage hay Honolulu — để đảm bảo tuân thủ và tránh trách nhiệm pháp lý.

Quy trình ban hành quy định

Các quy định hành chính do bang soạn thảo buộc các thực thể thương mại phải triển khai "các hệ thống phát hiện che giấu vị trí địa lý hợp lý về mặt thương mại" — theo chúng tôi lập luận, đây là một chỉ thị đòi hỏi một điều bất khả thi về mặt kỹ thuật.

Trong văn bản gửi Sở Thương mại Utah, EFF cũng trình bày chi tiết cách các quy định này áp đặt một chế độ thu thập dữ liệu xâm phạm lên người dùng internet ở khắp mọi nơi. Vì vậy, để đối phó với người dùng internet đang cố tránh việc thu thập dữ liệu xâm phạm theo yêu cầu xác minh độ tuổi, SB 73 lại yêu cầu giám sát thậm chí còn nhiều hơn đối với hoạt động trực tuyến của người dùng. Các phương pháp phát hiện theo phương pháp heuristic mà Sở đề xuất (như giám sát độ trễ kết nối hoặc múi giờ thiết bị) nổi tiếng là không đáng tin cậy và dễ bị sai lệch bởi các điều kiện mạng bình thường. Việc giám sát chủ động này chắc chắn dẫn đến phân loại sai trên diện rộng, chặn truy cập không chính đáng, và tác động nghiêm trọng đến quyền riêng tư của người dùng vượt xa biên giới Utah.

Bạn có thể đọc toàn bộ ý kiến của EFF gửi Sở Thương mại tại đây.

Tiếp theo là gì?

Như chúng tôi đã nói đi nói lại nhiều lần: internet sẽ luôn tìm cách đi vòng qua kiểm duyệt.

Việc bắt buộc theo dõi xâm phạm và trừng phạt việc sử dụng các công cụ bảo mật thiết yếu biến những lo ngại chính đáng về quyền riêng tư thành trò diễn tuân thủ đơn thuần, đồng thời đòi hỏi nhiều sự giám sát hơn do nhà nước áp đặt đối với người dùng internet phụ thuộc vào VPN. Như trường hợp ở các khu vực bị kiểm duyệt nặng nề, các dịch vụ VPN và công cụ che giấu sẽ đơn giản là thích nghi, khiến khuôn khổ này về cơ bản không bền vững.

Mặc dù các nhà lập pháp Utah đã ám chỉ rằng họ có thể cố gắng sửa đổi luật trong kỳ họp lập pháp tiếp theo, lệnh tạm đình chỉ của tòa án đặt ra một tiền lệ quan trọng: các nhà lập pháp bang không nên vũ khí hóa việc xác minh độ tuổi để buộc theo dõi diện rộng hoặc làm suy yếu các công cụ bảo mật thiết yếu.

Khi các bang khác cân nhắc các đề xuất chống VPN tương tự, EFF sẽ tiếp tục phản đối những mệnh lệnh bất khả thi về mặt kỹ thuật này và bảo vệ quyền riêng tư cùng tính ẩn danh của người dùng. Do đó, chúng tôi kêu gọi các nhà lập pháp và cơ quan quản lý bác bỏ các quy tắc chống quyền riêng tư, ưu tiên bảo mật thực sự cho người dùng, và bảo vệ các biện pháp bảo vệ hiến pháp cho tất cả người dùng.