Nếu thường dùng các dịch vụ trực tuyến như Spotify, Facebook, Twitter … hay sử dụng các phần mềm của Microsoft, Apple chẳng hạn thì thì những ngày gần đây, hẳn bạn đã nhận được không ít những email từ các dịch vụ/công ty này cho biết họ đã tiếp nhận hay thay đổi chính sách đáp ứng GDPR. Vậy GDPR là gì và chúng ta có nên quan tâm không?
GDPR là Bộ luật bảo vệ dữ liệu chung (General Data Protection Regulation) vừa mới được ban hành và bắt đầu có hiệu lực tại các nước thuộc Liên minh châu Âu (EU). Từ ngày 25 tháng 5 năm 2018, bộ luật mới này sẽ bảo vệ dữ liệu và quyền riêng tư đối với các công dân EU nhưng cũng áp dụng với nhiều quốc gia khác theo nhiều cách. Do phần lớn các công ty công nghệ lớn đều hoạt động đa quốc gia nên GDPR sẽ tác động đến những thứ chúng ta dùng hàng ngày.
GDPR được soạn ra là nhằm giải quyết một vấn đề tồn tại lâu nay trong làng công nghệ đó là nhiều công ty đang thu thập và lạm dụng thông tin người dùng. Chúng ta đều biết rằng kể từ thời đại Internet thì nhiều công ty vẫn đang hoạt động theo kiểu phải lấy càng nhiều dữ liệu người dùng càng tốt. Điều này không khó và vì vậy các công ty này chẳng có lý do gì mà từ chối một lượng dữ liệu khổng lồ, nhiều tiềm năng khai thác đến vậy từ chính người dùng sản phẩm/dịch vụ của họ.
Vấn đề ở đây là trong vài năm qua, rất nhiều công ty đã không thành công trong việc bảo vệ hoặc cố ý lạm dụng dữ liệu cá nhân của người dùng. Như vụ việc nổi cộm gần đây về Cambridge Analytica - một nhà nghiên cứu tại đây đã sử dụng Facebook để thu thập dữ liệu của hàng triệu người dùng Facebook sau đó bán lại nó cho một công ty cố vấn. Nguy hiểm hơn là vụ việc công ty thống kê dữ liệu tài chính tiêu dùng Equifax năm ngoái bị hack đã khiến thông tin người dùng lộ ra ngoài và được tin tặc sử dụng để mở thẻ tín dụng trái phép. Đây là những scandal lớn và rất nhiều công ty vẫn đang lạm dụng dữ liệu cá nhân của người dùng nhưng ở quy mô nhỏ hơn, chẳng hạn như bán dữ liệu này cho các công ty quảng cáo phía thứ 3.
Chính vì vậy, EU đã xem xét kỹ tình trạng này và sử dụng GDPR để khắc phục. Theo luật mới, các công ty không bảo vệ trọn vẹn dữ liệu người dùng hoặc lạm dụng dữ liệu đó theo bất kỳ cách nào sẽ đối mặt với án phạt rất lớn.
Như thế nào là dữ liệu cá nhân?
GDPR bảo vệ "dữ liệu cá nhân" có nghĩa là "mọi thông tin giúp nhận dạng, nhận diện một con người". Đây là một khái niệm rất rộng và trên thực tế, dữ liệu cá nhân sẽ bao gồm những thứ như sau:
Dữ liệu tiểu sử nhân thân như tên, địa chỉ, số điện thoại, số bảo hiểm xã hội …
Dữ liệu liên quan đến ngoại hình và thể chất như màu tóc, chủng tộc, chiều cao, cân nặng …
Thông tin về tình trạng giáo dục và lịch sử lao động như thu nhập, bằng cấp, GPA, mã số thuế cá nhân, …
Mọi dữ liệu về y học và di truyền;
Những thứ như lịch sử cuộc gọi, tin nhắn cá nhân hay vị trí địa lý …
Danh sách này còn rất dài và yếu tố quan trọng ở đây là mọi dữ liệu khiến bạn có thể được nhận diện được. Trong một số trường hợp, màu tóc của bạn là đủ nhưng cũng có những trường hợp, họ tên của bạn vẫn không thể giúp nhận biết bạn là ai.
Vậy GDPR có vai trò gì?
GDPR sẽ mang lại cho công dân châu Âu - những ai có dữ liệu cá nhân bị thu thập và sử dụng, 8 quyền cơ bản:
* Quyền được thông báo: Nếu một công ty đang thu thập dữ liệu của bạn, họ cần phải báo cho bạn biết về loại dữ liệu gì đang được lấy, tại sao lấy và chúng được sử dụng làm gì, họ sẽ giữ dữ liệu này trong bao lâu và liệu có chia sẻ với các phía khác hay không. Thông tin này thường bị "chôn vùi" trong những văn bản điều khoản dịch vụ mà hiếm ai đọc và giờ đây, các văn bản đầy chữ này buộc phải được cô đọng lại và giải thích bằng ngôn ngữ đơn giản.
* Quyền được truy cập: Nếu được yêu cầu, mọi tổ chức đang lưu trữ dữ liệu liên quan đến một chủ thể bắt buộc phải cung cấp dữ liệu cho chủ thể yêu cầu trong vòng 1 tháng.
* Quyền được cải chính: Nếu một chủ thể có dữ liệu được thu thập phát hiện ra một công ty sở hữu dữ liệu của họ nhưng dữ liệu này không chính xác thì chủ thể có thể yêu cầu cập nhật dữ liệu. Các công ty cũng sẽ có một tháng để thực hiện.
*Quyền được xóa bỏ: Một chủ thể có dữ liệu được thu thập có thể yêu cầu một công ty xóa mọi dữ liệu mà họ đang nắm giữ trong một số tình huống nhất định. Chẳng hạn như nếu dữ liệu này không cần dùng đến nữa hoặc chủ thể không bằng lòng cho công ty sử dụng dữ liệu của mình.
*Quyền được giới hạn xử lý: Nếu một tổ chức không thể xóa dữ liệu của một chủ thể, chẳng hạn như họ cần dữ liệu này để sử dụng cho một vụ việc pháp lý thì chủ thể có quyền yêu cầu công ty đó hạn chế xử lý dữ liệu.
*Quyền được luân chuyển dữ liệu: Chủ thể dữ liệu có quyền đưa dữ liệu cá nhân của mình từ dịch vụ này sang dùng với một dịch vụ khác.
*Quyền được phản đối: Nếu dữ liệu được thu thập mà không có sự đồng ý của chủ thể nhưng vì lợi ích kinh doanh hợp pháp, vì lợi ích công cộng hoặc theo yêu cầu của một cơ quan có thẩm quyền thì chủ thể có quyền phản đối. Tổ chức nào thu thập dữ liệu bắt buộc phải ngưng xử lý dữ liệu của chủ thể cho đến khi có thể chứng minh những lý do chính đáng để thực hiện điều này.
* Các quyền liên quan đến việc tự ra quyết định bao gồm lược tả: GDPR sẽ đưa ra các biện pháp bảo vệ để cá nhân có dữ liệu được thu thập có thể phản đối hoặc được giải thích về những quyết định tự động (do những tổ chức/công ty thu thập dữ liệu) đưa ra ảnh hưởng thế nào đến họ và dữ liệu của họ.
Ngoài ra, GDPR còn buộc các công ty phải đưa ra lý do hợp pháp để thu thập hay xử lý mọi dữ liệu cá nhân. Một trong những lý do hợp pháp là họ có được sự chấp thuận để sử dụng dữ liệu cho một mục đích cụ thể hoặc bắt buộc phải thu thập dữ liệu để tuân thủ các nghĩa vụ pháp lý hoặc vì lợi ích cộng đồng.
Cũng phải nhắc nhở các công ty rằng GDPR là một bộ luật rất khắc nghiệt, một tổ chức có thể bị phạt tới 20 triệu EUR hoặc 4% doanh thu hàng năm trên toàn cầu (tùy theo mức nào cao hơn). Đối với những công ty như Amazon hay Google, số tiền này có thể lên tới hàng tỷ USD nếu vi phạm GDPR.
Vậy GDPR có tác động gì đến người Mỹ cũng như những quốc gia khác ngoài EU?
GDPR là một bộ luật do EU soạn và hiệu lực tại các quốc gia EU, bảo vệ cho cư dân EU. Thế nên người dùng tại Mỹ hay những quốc gia khác về lý thuyết không được lợi gì. Thế nhưng GDPR vẫn áp dụng đối với những ai sở hữu hộ chiếu công dân châu Âu, chẳng hạn như bạn là người Việt nhưng mang quốc tịch của một quốc gia EU thì chỉ lúc này bạn mới được bảo vệ bởi GDPR.
GDPR áp dụng cho công dân châu Âu nhưng sự thay đổi về chính sách bảo mật dữ liệu của các công ty đối với EU cũng ít nhiều tác động đến chúng ta bởi GDPR khiến nhiều công ty phải xem xét lại cách họ thu thập và sử dụng dữ liệu người dùng cũng như một số công ty đã bắt đầu áp dụng chính sách mới theo quy chuẩn GDPR cho các khu vực ngoài EU bởi sẽ đơn giản hơn đối với các công ty nếu dùng một bộ chính sách duy nhất áp dụng lên tất cả người dùng trong nhiều trường hợp.
Chẳng hạn như Apple cũng đã phát hành một cổng thông tin về bảo mật dữ liệu cá nhân trong đó người dùng tại mọi nơi trên thế giới có thể tải về toàn bộ dữ liệu của mình hoặc xóa tài khoản. Nói cách khác, Apple đã cung cấp quyền truy cập và xóa bỏ cho người dùng, trước mắt áp dụng cho các tài khoản tại EU nhưng hãng cũng đã có kế hoạch mở rộng mô hình này ra toàn cầu trong vài tháng tới. Tương tự, Facebook cũng đã bắt đầu thay đổi chính sách để tuân theo bộ luật GDPR áp dụng với một số người dùng ngoài EU.
Tiếng Anh
Tiếng Việt
619
Xem chi tiết
