Vụ RIAA takedown youtube-dl: Bài học về DMCA mà dev nào cũng nên biết

Năm 2020, một trong những repo open source phổ biến nhất trên GitHub bị xóa sạch chỉ sau một lá thư. Không phải vì malware, không phải vì vi phạm license, mà vì một tổ chức đại diện cho ngành công nghiệp âm nhạc Mỹ gửi một DMCA takedown notice. Repo đó là youtube-dl tool mà chắc không ít anh em trong chúng ta đã từng dùng.

Câu chuyện này không chỉ là drama trên internet. Nó đặt ra những câu hỏi rất thực tế về ranh giới giữa open source, quyền sở hữu trí tuệ, và trách nhiệm của developer khi viết code.

Chuyện gì đã xảy ra?

Ngày 23/10/2020, RIAA (Recording Industry Association of America) tổ chức đại diện cho khoảng 85% thị trường nhạc hợp pháp tại Mỹ gửi một DMCA takedown notice đến GitHub. Nội dung yêu cầu xóa repo chính ytdl-org/youtube-dl cùng hơn 20 fork khác.

Lý do RIAA đưa ra gồm hai điểm chính:

1. Circumvention youtube-dl vượt qua các biện pháp bảo vệ kỹ thuật (technological protection measures) mà YouTube sử dụng để bảo vệ nội dung.
2. Reproduction & Distribution Tool này cho phép tải về và phân phối các bản ghi âm, MV có bản quyền mà không được phép.

Điều đáng chú ý là RIAA còn chỉ ra rằng ngay trong source code và documentation của youtube-dl, các ví dụ minh họa sử dụng chính là link tải các bài hát có bản quyền ví dụ "Icona Pop I Love It" của Warner Music Group. Đây không phải là cáo buộc mơ hồ, mà họ dẫn chứng cụ thể từ code.

GitHub tuân thủ và gỡ repo gần như ngay lập tức.

Tại sao vụ này gây chấn động cộng đồng dev?

youtube-dl không phải một tool nhỏ. Tại thời điểm bị takedown, repo có hàng chục nghìn star, được sử dụng rộng rãi bởi journalist, researcher, content creator, và cả developer. Nhiều người dùng nó cho mục đích hoàn toàn hợp pháp tải video của chính mình, archive nội dung công khai, hoặc phục vụ nghiên cứu.

Phản ứng của cộng đồng rất dữ dội:

• Hàng loạt người re-upload source code lên GitHub như một hình thức phản đối (Streisand effect kinh điển).
• EFF (Electronic Frontier Foundation) vào cuộc bảo vệ youtube-dl, lập luận rằng tool này không vi phạm DMCA.
• GitHub sau đó thành lập quỹ 1 triệu USD để hỗ trợ developer đối mặt với các DMCA claim.

Theo kinh nghiệm của mình, đây là lần đầu tiên nhiều developer Việt Nam thực sự quan tâm đến DMCA một luật mà trước đó cảm giác rất "xa xôi" và chỉ liên quan đến mấy vụ kiện Hollywood.

DMCA hoạt động như thế nào?

Để hiểu vụ này, bạn cần nắm cơ bản về quy trình DMCA takedown:

Điểm mấu chốt: GitHub không có lựa chọn nào khác ngoài gỡ repo khi nhận được DMCA notice hợp lệ. Nếu không gỡ, GitHub mất quyền "safe harbor" tức là chính GitHub có thể bị kiện. Đây là lý do platform nào cũng phải tuân thủ, dù có đồng ý hay không.

Ranh giới mờ giữa tool và hành vi vi phạm

Điều mình thấy hay (và cũng đau đầu) nhất ở vụ này là câu hỏi triết học mà nó đặt ra: Một tool có vi phạm bản quyền không, hay chỉ người dùng tool mới vi phạm?

RIAA viện dẫn Section 1201 của DMCA điều khoản cấm circumvention of technological protection measures. Họ nói youtube-dl "phá" cơ chế bảo vệ của YouTube (cụ thể là rolling cipher dùng để generate download URL).

Nhưng EFF và cộng đồng phản bác:

• YouTube không sử dụng DRM hay encryption thực sự cho phần lớn video công khai.
• Việc youtube-dl làm về bản chất giống như browser gửi HTTP request và nhận response.
• Tool có rất nhiều use case hợp pháp (fair use).

So sánh nhanh hai góc nhìn:

Cuối cùng, sau khi EFF gửi counter notice chi tiết, GitHub đã restore repo youtube-dl vào tháng 11/2020. Đây là một trong số rất ít trường hợp repo bị DMCA takedown rồi được khôi phục thành công.

Bài học cho developer chúng ta

Cẩn thận với ví dụ trong documentation

Một chi tiết nhỏ nhưng quan trọng: RIAA dùng chính các ví dụ trong test case và README của youtube-dl làm bằng chứng. Những dòng code test với URL của các bài hát có bản quyền trở thành "bằng chứng" cho thấy mục đích vi phạm.

Sau vụ này, youtube-dl đã thay đổi các test case, loại bỏ reference đến nội dung có bản quyền. Bài học? Khi viết tool có thể bị dùng vào mục đích nhạy cảm, ví dụ trong docs và test rất quan trọng về mặt pháp lý.

Hiểu DMCA dù bạn ở Việt Nam

Nhiều anh em nghĩ "mình ở Việt Nam, DMCA không liên quan". Sai. Nếu bạn host code trên GitHub, publish package trên npm, hay deploy app trên bất kỳ platform nào của Mỹ bạn chịu ảnh hưởng bởi DMCA. Repo của bạn có thể bị gỡ bất cứ lúc nào nếu ai đó gửi takedown notice.

Theo kinh nghiệm của mình, ít nhất nên:

• Đọc qua DMCA policy của platform bạn đang dùng.
• Không dùng nội dung có bản quyền trong ví dụ/test.
• Hiểu quy trình counter notice để biết cách phản đối nếu bị takedown sai.

Fork không an toàn như bạn nghĩ

RIAA không chỉ target repo chính họ liệt kê hơn 20 fork. GitHub cũng xác nhận rằng khi repo gốc bị takedown, các fork cũng có thể bị ảnh hưởng. Nếu bạn fork một repo rồi quên, đừng ngạc nhiên nếu một ngày nhận email từ GitHub.

Open source không có nghĩa là "miễn phí mọi thứ"

Đây là điều mình muốn nhấn mạnh nhất. Open source license (MIT, GPL, Apache...) cho phép bạn tự do sử dụng và phân phối source code. Nhưng nó không cho phép bạn vi phạm bản quyền của nội dung khác thông qua tool đó. Hai thứ này hoàn toàn khác nhau và nhiều người hay nhầm lẫn.

Câu chuyện chưa kết thúc

youtube-dl vẫn sống và phát triển. Thậm chí fork yt-dlp còn phổ biến hơn bản gốc. Nhưng vụ DMCA năm 2020 đã thay đổi cách GitHub xử lý takedown notice họ giờ review kỹ hơn, có đội legal riêng, và tạo cơ chế hỗ trợ developer.

Đối với mình, đây là một reminder rằng code chúng ta viết không tồn tại trong chân không. Nó tương tác với luật pháp, với quyền lợi của nhiều bên, và với những hệ thống pháp lý mà đôi khi chúng ta không hề nghĩ tới khi ngồi code.

Lần tới khi bạn viết một tool có khả năng "nhạy cảm", hãy dành 30 phút đọc về DMCA. Tin mình đi, 30 phút đó có thể tiết kiệm cho bạn rất nhiều rắc rối về sau.