Apple thắng kiện: Không chịu trách nhiệm pháp lý khi không quét nội dung CSAM trên iCloud

Vụ việc này liên quan đến cách Apple xử lý các tệp tin do người dùng tải lên và lưu trữ trong iCloud cá nhân. Thay vì áp dụng PhotoDNA để quét các tệp tin được lưu trữ nhằm phát hiện CSAM (tài liệu lạm dụng tình dục trẻ em), Apple đã tạo ra một giải pháp thay thế độc quyền của riêng mình là NeuralHash, nhưng dường như nó không hiệu quả bằng. Do đó, Apple đã quay xe, từ bỏ các nỗ lực quét CSAM trong dịch vụ lưu trữ đám mây của mình và thực hiện mã hóa các tệp tin iCloud.

Những động thái của Apple đã gây bối rối cho công chúng và có vẻ như là một sai lầm không đáng có đầy xấu hổ đối với hãng. Điều này cũng làm gia tăng áp lực từ các chính phủ và nguyên đơn, bao gồm cả các nạn nhân của CSAM, những người vốn ưu tiên các phương pháp can thiệp mạnh mẽ hơn mà Apple từng tự nguyện thể hiện rằng họ sẵn sàng thực hiện.

Vụ kiện này đại diện cho một cuộc tấn công toàn diện nhắm vào Apple và Mục 230 (Section 230). “Các nguyên đơn cáo buộc rằng việc Apple không triển khai bất kỳ biện pháp phát hiện CSAM nào được biết đến là một lỗi thiết kế, vì Apple có thể triển khai an toàn các tính năng sẵn có để ngăn chặn sự lan truyền của CSAM đã biết nhưng lại liên tục không làm như vậy.” (Bài đăng trên blog trước đó). Tòa án đã bác bỏ đơn kiện sửa đổi lần thứ ba, đưa vụ việc này lên Tòa Phúc thẩm Khu vực 9, nơi mà (như thường lệ) mọi thứ đều có thể xảy ra.

* * *

Tòa án nhắc lại rằng Mục 230 áp dụng cho các yêu cầu của nguyên đơn:

Thứ nhất, các yêu cầu của nguyên đơn coi Apple là nhà xuất bản hoặc người phát ngôn của nội dung CSAM gây ra tổn thương cho nguyên đơn. Về cơ bản, nguyên đơn cho rằng Apple đã chọn cho phép người dùng phổ biến và chia sẻ nội dung CSAM của bên thứ ba trong khi lẽ ra họ có thể—và theo quan điểm của nguyên đơn là nên—sử dụng công nghệ sẵn có để ngăn chặn việc phân phối nội dung khiêu dâm trẻ em mô tả các nguyên đơn trong vụ kiện tập thể này. Các nghĩa vụ mà nguyên đơn tìm cách viện dẫn “bắt nguồn từ tư cách nhà xuất bản của bị đơn”, và do đó, “quyền miễn trừ được áp dụng”. Thứ hai, quyền miễn trừ cũng được áp dụng vì “phương tiện để tránh trách nhiệm pháp lý đòi hỏi [Apple] phải hành động như một nhà xuất bản”. Kết quả là, Apple được hưởng quyền miễn trừ hoàn toàn theo Mục 230.

Trích dẫn vụ Doe 1 kiện Meta, tòa án cho biết:

Những tổn thương của nguyên đơn là kết quả trực tiếp từ hành động của các bên thứ ba sử dụng iCloud để chia sẻ CSAM, một việc sử dụng mà Apple không hề công khai dung túng cũng không ngăn chặn (ngay cả khi giả định—như đã cáo buộc trong đơn kiện sửa đổi lần thứ ba—rằng Apple biết về việc sử dụng iCloud cho mục đích này)…. mặc dù nguyên đơn cáo buộc rằng Apple biết các công cụ của mình có khả năng bị sử dụng để phân phối nội dung khiêu dâm trẻ em (được xác nhận bởi các tin nhắn nội bộ của Apple vốn là tâm điểm của vụ kiện này), nhưng theo tình trạng pháp luật hiện tại, Apple vẫn được hưởng quyền miễn trừ theo Mục 230—bất kể kiến thức chung đó như thế nào….

Nguyên đơn không thể phủ nhận thực tế rằng một công cụ phát hiện CSAM phải xem xét nội dung CSAM mới có thể đưa ra kết luận. Và mặc dù Apple có thể đã thực hiện các bước để làm điều đó—như các đối thủ cạnh tranh đã làm bằng cách sử dụng PhotoDNA—vụ Grindr xác nhận rằng Mục 230 ngăn chặn các yêu cầu phát sinh từ các quyết định thiết kế mà Apple có thể đã thực hiện, trong trường hợp các yêu cầu đó liên quan đến vai trò của Apple trong việc tạo điều kiện cho giao tiếp và nội dung của người khác.

(Xin nhắc lại rằng ý chí chủ quan của bị đơn không liên quan đến Mục 230).

Các nguyên đơn đã cố gắng áp dụng các ngoại lệ mới của Mục 230 được tạo ra trong vụ Doe kiện Twitter, nhưng tòa án đã bác bỏ động thái này:

Vụ việc này không liên quan hoặc thậm chí không thảo luận về các hệ thống báo cáo nội dung của Apple; nó liên quan đến “việc Apple không triển khai các biện pháp bảo vệ theo tiêu chuẩn ngành” chống lại sự lan truyền của CSAM. Mặc dù các hệ thống báo cáo và các biện pháp bảo vệ CSAM đều có thể được mô tả là “lỗi”, nhưng cái sau đòi hỏi Tòa án phải coi Apple là một nhà xuất bản. Twitter “có thể hoàn thành nghĩa vụ được cho là phải khắc phục những thiếu sót về cơ sở hạ tầng báo cáo mà không cần giám sát, xóa bỏ hoặc can thiệp dưới bất kỳ hình thức nào vào nội dung của bên thứ ba”; Apple không thể hoàn thành nghĩa vụ thiết lập các biện pháp bảo vệ CSAM mà không triển khai một công cụ như NeuralHash hoặc PhotoDNA. Cả NeuralHash và PhotoDNA đều được xây dựng để giám sát và báo cáo các hình ảnh vi phạm được tải lên máy chủ của công ty. Tuy nhiên, chỉ riêng quyết định về việc có triển khai công cụ nào hay không đã là một lựa chọn liên quan đến kiểm duyệt nội dung.

Ngoài ra, Apple không vi phạm bất kỳ nghĩa vụ báo cáo nào cho NCMEC nếu ngay từ đầu họ không xác định được đó là CSAM.

Giải pháp thay thế từ vụ Lemmon kiện Snap đã thất bại: “tất cả các yêu cầu của nguyên đơn ở đây đều liên quan mật thiết đến nội dung của bên thứ ba; nguyên đơn không cáo buộc rằng Apple đã tạo ra nội dung như bộ lọc Snapchat gây hại cho họ.” Giải pháp thay thế từ vụ Roommates.com cũng thất bại: “nguyên đơn không cáo buộc rằng Apple đã sửa đổi hoặc tăng cường nội dung CSAM trên máy chủ của mình dưới bất kỳ hình thức nào.”

* * *

Vụ kiện đi đến kết cục tất yếu là chiến thắng cho Apple. Tuy nhiên, Thẩm phán Wise vẫn cảm thấy lo ngại về những hệ lụy của nó. Bà bày tỏ sự bất an của mình bằng những thuật ngữ mạnh mẽ hơn bình thường:

Theo tình hình hiện tại, không có luật nào ngăn cản bất kỳ công ty nào, bao gồm cả Apple, sử dụng công nghệ sẵn có hoặc tạo ra công nghệ mới để xác định và báo cáo nội dung khiêu dâm trẻ em được lưu trữ và phân phối trên các máy chủ truyền thống của họ hoặc thông qua các dịch vụ đám mây. Ngược lại, cũng không có luật nào bắt buộc các công ty phải chủ động làm điều đó. Chắc chắn bất kỳ đạo luật nào như vậy cũng sẽ phải trả giá bằng việc mất đi ít nhất một phần quyền riêng tư của hàng triệu người. Nhưng nếu các nhà lập pháp kỳ vọng rằng các công ty sẽ thực hiện các bước để ngăn chặn sản phẩm của họ bị sử dụng cho việc lưu trữ và phân phối nội dung khiêu dâm trẻ em dựa trên một điều gì đó không phải là mệnh lệnh pháp lý, thì vụ kiện này, giống như nhiều vụ kiện khác trước đó, cho thấy sự bất cập của cách tiếp cận đó. Nếu các nhà lập pháp muốn đảm bảo rằng Apple và các công ty khác giải quyết vai trò của họ trong việc phổ biến CSAM, họ phải yêu cầu điều đó theo luật định. Nói cách khác, các nhà lập pháp có thể giải quyết vấn đề đang góp phần vào việc bóc lột trẻ em này.

Bà trình bày khung lập luận này khá nhanh, nhưng chúng ta nên xem xét kỹ hơn. “Sự mất mát quyền riêng tư của hàng triệu người” mà bà đề cập ngắn gọn xứng đáng được quan tâm hơn. Ý kiến này xem nhẹ khía cạnh mã hóa; nó chỉ đề cập đến mã hóa hai lần, như thể đó là một suy nghĩ thứ yếu. Tuy nhiên, mã hóa là thuộc tính quan trọng làm nền tảng cho các động thái của Apple. Apple đã tìm cách tôn trọng việc những gì có trên ổ cứng của mọi người nên là việc riêng của họ, ngay cả khi họ chọn lưu trữ một phần trong đó trên đám mây. Việc buộc Apple quét các tệp tin cá nhân dành cho lưu trữ iCloud tạo ra một vectơ đe dọa mới và nguy hiểm cho những kẻ xấu, bao gồm cả các chính phủ muốn kiểm soát hành vi của người dân.

Vì vậy, vâng, “sự mất mát quyền riêng tư” mà Thẩm phán Wise đề cập thực sự sẽ là một cái giá lớn đối với tất cả mọi người. Tôn trọng quyền riêng tư đối với các tệp tin của mọi người không chỉ là một tính năng tốt cần có; đó là một trong những trụ cột cốt lõi của kiến trúc công nghệ giúp giữ an toàn cho mọi người.

Thẩm phán Wise tiếp tục:

Lệnh này không phụ thuộc vào việc liệu các quyết định của Apple có góp phần gây ra tổn thương cho nguyên đơn hay không. Tất cả các yêu cầu của nguyên đơn đều dựa trên việc Apple đóng vai trò là nhà xuất bản nội dung của bên thứ ba. Chính vai trò “nhà xuất bản” đó là yếu tố quyết định vấn đề miễn trừ. Điều này không có nghĩa là sự tồn tại của các hình ảnh và video về các thành viên trong vụ kiện tập thể bị lạm dụng tình dục—nội dung mà họ cáo buộc thường xuyên được lưu trữ và phổ biến trên iCloud—đã không gây ra tổn thương thực sự và lâu dài cho nguyên đơn…

kết quả này cũng củng cố thêm các tuyên bố rằng Tòa Phúc thẩm Khu vực 9 “đã mở rộng phạm vi của Mục 230(c) để cung cấp quyền miễn trừ chức năng cho các công ty internet, ngay cả khi họ biết (hoặc lẽ ra phải biết) về nội dung bất hợp pháp trên trang web của họ.” Kết quả thực tế là tình trạng pháp luật hiện tại ưu tiên quyền riêng tư—một giá trị đáng khen ngợi và cực kỳ quan trọng vì trong thế giới hiện đại, gần như tất cả dữ liệu cá nhân và riêng tư nhất của chúng ta (bao gồm hồ sơ tài chính và y tế) đều được lưu trữ và truyền tải trực tuyến. Nhưng luật pháp không nên phớt lờ cách những kẻ tạo ra, xem và phân phối nội dung khiêu dâm trẻ em tận dụng các biện pháp bảo vệ quyền riêng tư để tránh bị cơ quan thực thi pháp luật phát hiện. Trong khuôn khổ pháp lý hiện tại, không có sự bảo vệ nào cho các thành viên của vụ kiện tập thể—những cá nhân khi còn là trẻ em đã bị chụp ảnh và quay phim trong khi bị lạm dụng theo những cách tồi tệ nhất có thể tưởng tượng được, và giờ đây liên tục trở thành nạn nhân mỗi khi những hình ảnh thân mật và đau đớn về chấn thương của họ bị phân phối cho người khác. Những đứa trẻ đó là thiệt hại ngoài ý muốn của bối cảnh pháp lý không hiệu quả của chúng ta. Chúng xứng đáng được đối xử tốt hơn.

Thẩm phán Wise không ở vị thế thuận lợi để so sánh điểm mạnh và hạn chế tương đối của toàn bộ các lựa chọn chống CSAM tiềm năng, nhưng một công cụ hàng đầu luôn là và vẫn là các nỗ lực của chính phủ nhằm tìm kiếm và truy tố những kẻ tạo ra, phổ biến và tải xuống CSAM. (Bạn có nhớ những lựa chọn của chính phủ liên bang khiến trẻ em dễ bị tổn thương hơn không?) Đảm bảo chính phủ đang làm những gì có thể phải là ưu tiên số 1.

Trích dẫn vụ kiện: Amy kiện Apple Inc., 2026 WL 2031817 (N.D. Cal. ngày 13 tháng 7 năm 2026). Đơn kiện.