Microsoft tham chiến pháp lý để bảo vệ cơ chế chuyển dữ liệu EU-Mỹ trước thách thức mới tại tòa án châu Âu

Microsoft cho biết họ sẽ hỗ trợ Ủy ban châu Âu trong việc bảo vệ EU-US Data Privacy Framework, tức khuôn khổ pháp lý cho phép dữ liệu được chuyển hợp pháp giữa Liên minh châu Âu và Mỹ. Đây là nền tảng đặc biệt quan trọng với các tập đoàn công nghệ, nhà cung cấp dịch vụ đám mây và doanh nghiệp đa quốc gia, bởi hoạt động vận hành hiện đại thường phụ thuộc vào việc dữ liệu khách hàng, nhân sự và hệ thống được luân chuyển qua nhiều quốc gia. Theo Microsoft, Tòa án Công lý Liên minh châu Âu (Court of Justice of the European Union – CJEU), cơ quan tư pháp cao nhất của EU, đã chấp thuận cho hãng tham gia vụ việc với tư cách bên can thiệp. Điều này đồng nghĩa Microsoft có thể nộp bản lập luận pháp lý, tham dự các phiên điều trần và trực tiếp trình bày quan điểm nhằm ủng hộ Ủy ban châu Âu.

EU-US Data Privacy Framework được triển khai từ năm 2023 để tạo cơ sở pháp lý cho việc chuyển dữ liệu cá nhân từ châu Âu sang Mỹ. Trong bối cảnh các quy định bảo vệ dữ liệu của EU, đặc biệt là GDPR, rất nghiêm ngặt, mọi cơ chế chuyển dữ liệu xuyên Đại Tây Dương đều bị soi xét kỹ lưỡng. Với Microsoft, kết quả vụ kiện có thể ảnh hưởng trực tiếp đến khách hàng doanh nghiệp của hãng, những đơn vị đang sử dụng dịch vụ phần mềm, hạ tầng đám mây và nền tảng xử lý dữ liệu trên quy mô toàn cầu. Nói cách khác, nếu khuôn khổ này bị vô hiệu, nhiều công ty có thể phải tìm con đường pháp lý khác để tiếp tục vận hành các dịch vụ số giữa hai thị trường lớn nhất thế giới.

Vụ việc hiện tại là đơn kháng cáo đối với một phán quyết trước đó của Tòa án Cấp cao EU, nơi đã bác bỏ thách thức nhằm vào Data Privacy Framework. Người khởi kiện là nghị sĩ Pháp Philippe Latombe. Trọng tâm lập luận của ông nhắm vào Data Protection Review Court (DPRC), một cơ chế khiếu nại phía Mỹ được lập ra để xử lý các vấn đề liên quan đến khuôn khổ này. DPRC có thể hiểu là một thiết chế xem xét khi công dân hoặc tổ chức cho rằng dữ liệu của họ bị cơ quan tình báo Mỹ xử lý không phù hợp. Latombe cho rằng cơ quan này không đủ độc lập, và một sắc lệnh hành pháp của tổng thống Mỹ, tức executive order, về nguyên tắc có thể làm suy yếu vai trò của DPRC. Tuy nhiên, tòa cấp dưới của EU đã không đồng tình, cho rằng việc bổ nhiệm thẩm phán và cách DPRC vận hành đã có nhiều lớp bảo đảm nhằm duy trì tính độc lập.

Cuộc tranh chấp lần này gợi nhớ đến hai tiền lệ lớn trong lĩnh vực quyền riêng tư số: Safe Harbor bị hủy năm 2015 và Privacy Shield bị bác bỏ năm 2020. Cả hai đều sụp đổ sau các vụ kiện gắn với Max Schrems, luật sư và nhà hoạt động nổi tiếng về bảo vệ dữ liệu tại châu Âu. Schrems cho rằng thách thức của Latombe mới chỉ đi theo hướng hẹp, chủ yếu tập trung vào DPRC, thay vì mở rộng sang các vấn đề lớn hơn như luật giám sát của Mỹ hay việc sử dụng executive order. Theo ông, nếu có một hồ sơ pháp lý toàn diện hơn, kết quả có thể khác. Nhận định này cho thấy dù Ủy ban châu Âu tạm thời giữ được lợi thế, sự chắc chắn pháp lý cho doanh nghiệp và người dùng vẫn còn khá mong manh.

Theo hãng luật WilmerHale, CJEU trong lịch sử thường tỏ ra hoài nghi hơn so với tòa cấp dưới khi đánh giá các chương trình giám sát của Mỹ và mức độ đầy đủ của các cơ chế khắc phục khiếu nại. Đây là điểm đáng chú ý, bởi chính CJEU trước đây đã ra các phán quyết Schrems I và Schrems II, hai quyết định làm vô hiệu các khuôn khổ chia sẻ dữ liệu từng được Ủy ban châu Âu hậu thuẫn. Việc Latombe tiếp tục đưa một cơ chế mới ra trước CJEU đồng nghĩa EU-US Data Privacy Framework đang đối mặt với một bài kiểm tra pháp lý nghiêm túc.

Việc Microsoft chủ động xin tham gia vụ kiện cho thấy hãng đánh giá nguy cơ đối với Data Privacy Framework là hoàn toàn thực tế. Đây không chỉ là câu chuyện pháp lý thuần túy mà còn là vấn đề chiến lược của toàn ngành công nghệ. Các dịch vụ điện toán đám mây, trí tuệ nhân tạo, phần mềm doanh nghiệp và hệ sinh thái quảng cáo số đều cần luồng dữ liệu xuyên biên giới để hoạt động trơn tru. Nếu cơ chế hiện tại bị tòa án bác bỏ, các công ty công nghệ lớn có thể phải tái cấu trúc cách lưu trữ và xử lý dữ liệu, kéo theo chi phí tuân thủ cao hơn, quy trình phức tạp hơn và khả năng gián đoạn dịch vụ cho khách hàng châu Âu.