Tòa án Rome hủy khoản tiền phạt 15 triệu euro của Garante đối với OpenAI vì lý do thẩm quyền

Vào ngày 18 tháng 3 năm 2026, Tòa án Rome đã hủy bỏ toàn bộ quyết định của cơ quan bảo vệ dữ liệu Ý đối với OpenAI: một khoản tiền phạt 15 triệu euro và một lệnh yêu cầu công ty thực hiện chiến dịch thông tin công khai kéo dài sáu tháng về cách ChatGPT được huấn luyện trên dữ liệu cá nhân. Tòa án không nhận định rằng OpenAI đã tuân thủ GDPR. Tòa án nhận định rằng Garante — Autorità Garante per la Protezione dei Dati Personali — không còn là cơ quan có thẩm quyền quyết định. Căn cứ là thẩm quyền tài phán — một điểm mà tòa án không giải thích trong ngày hôm đó, và chỉ trở nên rõ ràng khi toàn bộ căn cứ được công bố vào ngày 28 tháng 5 năm 2026 — và điều đó phụ thuộc vào một ngày: Ủy ban Bảo vệ Dữ liệu Ireland đã công nhận OpenAI Ireland Ltd là cơ sở duy nhất của công ty trong Khu vực Kinh tế châu Âu vào ngày 15 tháng 2 năm 2024, tám tháng rưỡi trước quyết định cuối cùng của Garante, và theo cơ chế một cửa của GDPR thì hồ sơ lẽ ra đã phải ở Dublin vào thời điểm đó. Reuters đưa tin về phán quyết vào ngày 19 tháng 3 năm 2026 và lưu ý rằng tòa án không đưa ra lời giải thích nào vào thời điểm đó; Garante từ chối bình luận. Mức độ nghiêm trọng, xếp hạng độ tin cậy và danh sách nguồn đầy đủ của hồ sơ nằm trong Orca AI Incident Archive, cùng với các mục quản lý châu Âu khác được lưu trữ xung quanh nó.

Những gì đã bị hủy bỏ, và những gì tòa án không nói

Quyết định đang được đề cập là quyết định của Garante số 755 ngày 2 tháng 11 năm 2024, được công bố vào ngày 20 tháng 12 năm 2024. Cơ quan này xác định rằng OpenAI đã không thông báo cho cơ quan về một vụ vi phạm dữ liệu cá nhân xảy ra vào tháng 3 năm 2023, đã xử lý dữ liệu cá nhân của người dùng để huấn luyện ChatGPT mà không xác định trước cơ sở pháp lý phù hợp, đã vi phạm các nghĩa vụ về tính minh bạch và thông tin của GDPR, và đã không triển khai bất kỳ cơ chế xác minh độ tuổi nào, với kết quả — theo lời của Garante — là trẻ em dưới 13 tuổi có nguy cơ tiếp xúc với những phản hồi không phù hợp với giai đoạn phát triển của mình.

Con số 15 triệu euro, theo chính cách lý giải của Garante, được tính toán “có xét đến cả thái độ hợp tác của công ty”. Phần bất thường hơn của quyết định là lệnh thứ hai. Lần đầu tiên sử dụng Điều 166(7) của Bộ luật Quyền riêng tư Ý, cơ quan này yêu cầu một chiến dịch truyền thông thể chế kéo dài sáu tháng trên radio, truyền hình, báo chí và internet, với nội dung phải được thống nhất với cơ quan, nhắm tới cả người dùng và người không dùng ChatGPT, đồng thời giải thích cách dữ liệu của họ được thu thập để huấn luyện và cách phản đối, chỉnh sửa hoặc xóa dữ liệu đó.

Ngày 18 tháng 3 năm 2026, tòa án đã hủy bỏ toàn bộ quyết định đó. Ngày hôm đó, tòa không đưa ra lý do nào. Garante nhận được bản án vào ngày 19 tháng 3, và toàn bộ căn cứ chỉ được công bố công khai vào 28 tháng 5 năm 2026, như Theodore Christakis và Giulio Monga ghi nhận trên European Law Blog. Phản hồi của OpenAI, được gửi tới Reuters, là công ty hoan nghênh quyết định này, đã “luôn cam kết tôn trọng quyền riêng tư của người dùng”, và mong muốn giúp nhiều người dân, doanh nghiệp và xã hội Ý hơn nữa được hưởng lợi từ AI. Garante không đưa ra bình luận nào.

Ba tuần, rồi tám tháng rưỡi

Trình tự thời gian chính là mấu chốt của vụ việc. Garante đã khởi động thủ tục xử phạt của mình vào 26 tháng 1 năm 2024. Vào 15 tháng 2 năm 2024 — khoảng ba tuần sau đó — Ủy ban Bảo vệ Dữ liệu Ireland đã chính thức công nhận OpenAI Ireland Ltd là cơ sở duy nhất của OpenAI tại EEA. Garante đã thông qua quyết định cuối cùng vào 2 tháng 11 năm 2024, khoảng tám tháng rưỡi sau lần công nhận đó.

Sự phân biệt giữa việc thành lập và việc công nhận là quan trọng. OpenAI Ireland Ltd được thành lập vào ngày 24 tháng 3 năm 2023, nhưng “single establishment” (cơ sở duy nhất) là một khái niệm tự thân của pháp luật bảo vệ dữ liệu EU, dựa trên việc thực hiện hoạt động một cách hiệu quả và thực chất thông qua các thỏa thuận ổn định; hai ngày này không nhất thiết phải trùng nhau. Điều thay đổi vào ngày 15 tháng 2 năm 2024 không phải là sự tồn tại của một công ty Ireland mà là việc công ty này được công nhận cho mục đích one-stop-shop.

Điều 56(1) GDPR trao cho cơ quan giám sát của cơ sở chính hoặc cơ sở duy nhất của bên kiểm soát thẩm quyền độc quyền đối với việc xử lý xuyên biên giới, với vai trò cơ quan đầu mối. Tòa án Rome đã dựa vào Ý kiến 8/2019 của Ủy ban Bảo vệ Dữ liệu Châu Âu, và đặc biệt là mục 4.3.2 của ý kiến này về việc thành lập cơ sở chính hoặc cơ sở duy nhất, hoặc việc di dời cơ sở đó từ một quốc gia thứ ba vào EEA, trong khi các thủ tục hành chính đã đang được tiến hành. Theo cách giải thích đó, thẩm quyền có thể chuyển sang cơ quan đầu mối mới tại bất kỳ thời điểm nào cho đến khi một quyết định cuối cùng được thông qua, và mọi thủ tục đang chờ giải quyết phải được chuyển theo cùng với cơ quan đó.

Garante đã lường trước vấn đề và phân chia hồ sơ. Thông cáo báo chí tháng 12 năm 2024 của cơ quan này nêu rằng, do OpenAI đã đặt trụ sở châu Âu tại Ireland trong quá trình điều tra, nên cơ quan này “đã chuyển các tài liệu tố tụng cho Cơ quan Bảo vệ Dữ liệu Ireland (DPC), cơ quan đã trở thành cơ quan giám sát chính theo GDPR để tiếp tục điều tra bất kỳ hành vi vi phạm đang diễn ra nào chưa được xử lý dứt điểm trước khi mở trụ sở châu Âu”. Việc phân loại này là do chính Garante đưa ra: cơ quan này giữ lại những gì mình coi là đã kết thúc và chuyển tiếp những gì mình coi là còn tiếp diễn. Tòa án cho rằng Garante không được phép phân chia như vậy.

Từ mà phán quyết xoay quanh

Gần như toàn bộ tranh chấp quy về đoạn 16 của Ý kiến 8/2019, trong đó nói rằng các vấn đề được xem xét trong Ý kiến “chủ yếu liên quan đến các hành vi xâm phạm có tính chất tiếp diễn hoặc liên tục”. Garante hiểu điều đó như một giới hạn: logic chuyển dữ liệu được thiết kế cho các hành vi xâm phạm đang tiếp diễn, và không thể áp dụng cho hành vi đã hoàn thành trước khi có bất kỳ cơ sở nào tại EEA. OpenAI hiểu “chủ yếu” là mang tính mô tả chứ không phải loại trừ. Tòa đồng ý với OpenAI, cho rằng “chủ yếu” xác định loại vụ việc mà vấn đề đó thường nảy sinh nhất và không loại trừ việc áp dụng cùng logic đó cho các hành vi xâm phạm đã hoàn thành khi thủ tục vẫn đang chờ giải quyết và chưa có quyết định cuối cùng.

Phương án dự phòng của Garante là nguyên tắc của Bộ luật Dân sự Ý về tempus regit actum — rằng luật có hiệu lực tại thời điểm đó sẽ điều chỉnh. Tòa án đã bác bỏ lập luận này dựa trên các tình tiết: đây là một chuỗi tình tiết, không phải một chuỗi các đạo luật. Theo lô-gích của bản án, thời điểm mang tính quyết định không phải là ngày xảy ra vi phạm cũng không phải là ngày mở cuộc điều tra, mà là ngày thông qua quyết định cuối cùng. Sau thời điểm đó, thẩm quyền được xác lập cố định.

Chưa bao giờ xem xét đến nội dung vụ việc.

Tòa án đã chấp nhận căn cứ kháng cáo đầu tiên, đó là thiếu thẩm quyền, và tuyên bố mọi căn cứ khác “bị hấp thụ”. Tòa không đưa ra kết luận nào về cơ sở pháp lý cho việc huấn luyện, về tính minh bạch, về xác minh độ tuổi hay về việc thông báo vi phạm muộn. Tòa không nói gì về việc liệu 15 triệu euro có tương xứng hay không. Những câu hỏi đó vẫn chính thức chưa được trả lời.

Đó là điểm dễ bị bỏ sót nhất trong các bài đưa tin. Như công ty Ý Rödl & Partner đã diễn đạt trong một ghi chú tháng 6 năm 2026, phán quyết "không nên được hiểu là sự bật đèn xanh thực chất cho các hoạt động của OpenAI: đó chỉ là việc chuyển giao thẩm quyền cho cơ quan giám sát thích hợp". Mục nhập của kho lưu trữ ghi nhận không có tổn hại thực tế nào trong vụ việc này, điều này phù hợp với một vụ án xoay quanh việc ai có quyền quyết định chứ không phải một thương tổn đã được xác lập đối với những người được nhận diện cụ thể.

Liệu tệp có nơi lưu trữ tại Dublin

Phản đối đáng kể nhất đối với phán quyết là cơ quan được chuyển giao cũng có thể không có khả năng quyết định vụ việc. Christakis và Monga, viết trên European Law Blog ngày 4 tháng 6 năm 2026 với tiêu đề “Establish, Then Escape?”, lập luận rằng cách đọc của tòa tạo ra một lỗ hổng thực thi chứ không phải là thay đổi địa điểm xét xử. Ví dụ cụ thể của họ là thông báo vi phạm. Vi phạm xảy ra ngày 20 tháng 3 năm 2023 và nghĩa vụ thông báo cho Garante đến hạn bảy mươi hai giờ sau đó, khi OpenAI chưa có cơ sở tại EU và OpenAI Ireland Ltd chưa được thành lập. Garante phân loại vi phạm đó là đã hoàn tất và giữ việc xử lý cho mình; theo logic của tòa, toàn bộ quyết định, kể cả cáo buộc đó, không còn hiệu lực. Các tác giả lập luận rằng khó có thể thấy cơ quan Ireland, với thẩm quyền có sau và bắt nguồn từ một cơ sở không tồn tại khi nghĩa vụ phát sinh, lại có thể xét xử một thông báo phải gửi cho Garante liên quan đến các chủ thể dữ liệu Ý.

Họ thận trọng về những giới hạn của lập luận đó, và người đọc cũng nên như vậy. Họ ghi nhận quan điểm trái ngược — rằng GDPR là một công cụ duy nhất trong toàn Liên minh, nên bất kỳ cơ quan nào trở thành cơ quan chủ trì đều có thể thực thi GDPR bất cứ khi nào các sự kiện phát sinh — và cho rằng vấn đề này có thể tranh cãi. Họ lưu ý rằng họ không biết về bất kỳ phán quyết nào trước đó của tòa án quốc gia áp dụng mục 4.3.2 của Ý kiến 8/2019, rằng đây là phán quyết sơ thẩm của một thẩm phán duy nhất, và rằng phạm vi tác động của Điều 56 đối với hành vi trước khi thành lập cơ sở có vẻ đối với họ là chưa ngã ngũ chứ không phải đã rõ ràng. Khuyến nghị của họ là gửi yêu cầu sơ bộ lên Tòa án Công lý theo Điều 267 TFEU.

Khoảng trống thực thi không chỉ là một dự đoán lý thuyết. Theodore Christakis, khi viết trên Cross-Border Data Forum một ngày sau phán quyết, đã ghi nhận rằng không có cơ quan bảo vệ dữ liệu châu Âu nào khác công bố quyết định thực thi cuối cùng liên quan đến các vi phạm GDPR trong giai đoạn ChatGPT ra mắt từ tháng 11/2022 đến tháng 3/2023, và rằng báo cáo của lực lượng đặc trách ChatGPT thuộc EDPB tháng 5/2024 chỉ bao gồm các quan điểm sơ bộ. Vì lẽ đó, quyết định thực thi GDPR cuối cùng duy nhất mà châu Âu đã đưa ra trong giai đoạn ra mắt AI tạo sinh nay đã bị hủy bỏ.

Điều gì đã thay đổi sau ngày 18 tháng 3?

Khoản tiền phạt đã bị đình chỉ từ trước. Ngày 21 tháng 3 năm 2025, cùng tòa án đó đã đình chỉ hiệu lực của biện pháp chế tài trong khi chờ phán quyết, với điều kiện phải có một khoản bảo đảm — một cauzione, tức tiền đặt cọc bảo đảm, theo tường thuật của Altalex về lệnh này. Việc đình chỉ đó không đụng đến nội dung vụ án, và việc hủy bỏ một năm sau đó cũng không.

Garante không hẳn đã xóa vụ việc khỏi hồ sơ mà đúng hơn là đã gác nó lại. Trang thông cáo báo chí về quyết định 755 của cơ quan này hiện có thông báo rằng quyết định "đã tạm thời bị gỡ khỏi trang web của Garante" sau phán quyết số 4153/2026. Từ này là của chính cơ quan: tạm thời.

Về câu hỏi kháng nghị, các nguồn tài liệu nhất quán nhưng chưa đầy đủ. Christakis và Monga lưu ý rằng Garante vẫn có thể kháng nghị lên Corte di Cassazione. Cross-Border Data Forum ghi nhận vào ngày 19 tháng 3 năm 2026 rằng, do lý do chưa được công bố, cơ quan này khi đó chưa thể nói liệu có kháng nghị hay không. Trong các nguồn được xem xét cho bài viết này, chúng tôi không tìm thấy báo cáo nào về việc nộp đơn kể từ đó, và cũng không có quyết định cuối cùng của Ủy ban Bảo vệ Dữ liệu Ireland về hồ sơ được chuyển giao. Cả hai sự thiếu vắng này không phải bằng chứng rằng không có gì xảy ra; cả hai đều có nghĩa là kết quả vẫn chưa được khép lại.

Đã được xác lập, đã được tranh luận và còn để ngỏ

• Đã xác định: rằng bản án số 4153/2026 ngày 18 tháng 3 năm 2026 đã hủy toàn bộ quyết định số 755 ngày 2 tháng 11 năm 2024, loại bỏ khoản phạt 15 triệu euro và lệnh chiến dịch truyền thông kéo dài sáu tháng; rằng phần quyết định đã được đọc vào ngày hôm đó mà không kèm lý do; và rằng các căn cứ được công bố dựa trên cơ chế một cửa, việc DPC công nhận OpenAI Ireland Ltd vào ngày 15 tháng 2 năm 2024, và Ý kiến 8/2019 của EDPB.

• Tranh luận: liệu một hồ sơ đang chờ xử lý có thể được chuyển giao đúng cách cho một cơ quan mà thẩm quyền của cơ quan này có sau hành vi đang được xem xét hay không. Tòa án nói có; Christakis và Monga cho rằng cách đọc đó khiến hành vi trước khi thành lập không thể thi hành và muốn Tòa án Công lý quyết định; Rödl & Partner và ICT Legal Consulting lại mô tả phán quyết là làm rõ cách thức cơ chế một cửa áp dụng cho việc thay đổi cơ sở thành lập giữa chừng thủ tục.

• Còn ngỏ: liệu Garante có đưa vụ việc lên Corte di Cassazione hay không, liệu có tòa án nào chuyển vụ việc tới Luxembourg hay không, và liệu cơ quan Ireland có bao giờ đi đến quyết định về phần hồ sơ mà mình đã nhận hay không.

15 triệu euro đã mất. Câu hỏi mà vụ việc đặt ra — ai ở châu Âu có thể buộc một nhà cung cấp AI tạo sinh phải tuân thủ GDPR trong giai đoạn trước khi nó có cơ sở tại châu Âu — đã chỉ đơn giản được chuyển sang một bàn khác.