Chính Sách GDPR Là Gì? Vì Sao Chúng Ta Nên Quan Tâm?

Chính Sách GDPR Là Gì? Vì Sao Chúng Ta Nên Quan Tâm?

Nếu thường sử dụng các dịch vụ trực tuyến như Spotify, Facebook, Twitter … hay sử dụng các phần mềm của Microsoft, Apple... nhiều người có lẽ đã nhận được không ít những email từ các dịch vụ/công ty cho biết họ đã tiếp nhận hay thay đổi chính sách đáp ứng GDPR. Vậy chính sách GDPR là gì và vì sao chúng ta nên quan tâm?

GDPR là Bộ luật Bảo vệ Dữ liệu Chung General Data Protection Regulation, mới được ban hành và bắt đầu có hiệu lực tại các nước thuộc Liên minh Châu Âu EU. Từ ngày 25/05/2018, bộ luật mới sẽ bảo vệ dữ liệu và quyền riêng tư đối với các công dân EU, nhưng cũng áp dụng với nhiều quốc gia khác theo nhiều cách. Vì phần lớn các công ty công nghệ lớn đều hoạt động đa quốc gia, nên GDPR sẽ tác động đến những thứ mọi người vẫn sử dụng hàng ngày.

GDPR được soạn ra nhằm giải quyết một vấn đề tồn tại đã lâu trong làng công nghệ: đó là nhiều công ty đang thu thập và lạm dụng thông tin người dùng. Như đã biết, kể từ thời đại Internet, nhiều công ty vẫn đang hoạt động theo kiểu phải lấy càng nhiều dữ liệu người dùng càng tốt. Việc này cũng không khó, và các công ty chẳng có lý do gì để từ chối một lượng dữ liệu khổng lồ, nhiều tiềm năng khai thác từ chính người dùng sản phẩm/dịch vụ của họ.

Vấn đề là trong vài năm qua, rất nhiều công ty đã không thành công trong việc bảo vệ hoặc cố ý lạm dụng dữ liệu cá nhân của người dùng. Chẳng hạn như vụ việc nổi trội về Cambridge Analytica – nhóm nghiên cứu đã sử dụng Facebook để thu thập dữ liệu của hàng triệu người dùng Facebook sau đó bán lại cho một công ty cố vấn. Nguy hiểm hơn là vụ việc công ty thống kê dữ liệu tài chính tiêu dùng Equifax năm 2017 bị hack đã khiến thông tin người dùng lộ ra ngoài và được hacker sử dụng để mở thẻ tín dụng trái phép. Đây là những scandal lớn, và rất nhiều công ty vẫn đang lạm dụng dữ liệu cá nhân của người dùng nhưng ở quy mô nhỏ hơn, chẳng hạn như bán dữ liệu cho các công ty quảng cáo phía thứ 3.

Do đó, EU đã xem xét kỹ và sử dụng GDPR để khắc phục. Theo luật mới, các công ty không bảo vệ trọn vẹn dữ liệu người dùng, hoặc lạm dụng dữ liệu đó theo bất kỳ cách nào, sẽ đối mặt với án phạt rất lớn.

Vậy, như thế nào là dữ liệu cá nhân?

GDPR bảo vệ dữ liệu cá nhân, có nghĩa là mọi thông tin giúp nhận dạng, nhận diện một con người. Đây là một khái niệm rất rộng và trên thực tế, dữ liệu cá nhân sẽ bao gồm:

-         Dữ liệu tiểu sử nhân thân như tên, địa chỉ, số điện thoại, số bảo hiểm xã hội…

-         Dữ liệu liên quan đến ngoại hình và thể chất như màu tóc, chủng tộc, chiều cao, cân nặng…

-         Thông tin về tình trạng giáo dục và lịch sử lao động như thu nhập, bằng cấp, GPA, mã số thuế cá nhân…

-         Mọi dữ liệu về y học và di truyền;

-         Những dữ liệu khác như lịch sử cuộc gọi, tin nhắn cá nhân hay vị trí địa lý …

Danh sách còn rất dài và yếu tố quan trọng là mọi dữ liệu khiến một người có thể được nhận diện được. Trong một số trường hợp, màu tóc của một người là đủ, nhưng cũng có những trường hợp, họ tên vẫn không thể giúp nhận biết một người là ai. Và GDPR sẽ mang lại cho công dân Châu Âu - những người có dữ liệu cá nhân bị thu thập và sử dụng, 8 quyền cơ bản:

1. Quyền được thông báo: nếu một công ty đang thu thập dữ liệu của một người, họ cần phải báo cho người đó biết về loại dữ liệu gì đang được lấy, tại sao lấy và chúng được sử dụng làm gì, dữ liệu sẽ được giữ trong bao lâu và liệu có chia sẻ với các bên khác hay không. Thông tin thường bị lấp liếm trong những văn bản điều khoản dịch vụ dông dài hiếm ai đọc, còn hiện nay, các văn bản buộc phải được cô đọng lại và giải thích bằng ngôn ngữ đơn giản.

2. Quyền được truy cập: nếu được yêu cầu, mọi tổ chức đang lưu trữ dữ liệu liên quan đến một chủ thể bắt buộc phải cung cấp dữ liệu cho chủ thể yêu cầu trong vòng 1 tháng.

3. Quyền được cải chính: nếu một chủ dữ liệu có dữ liệu được thu thập phát hiện ra một công ty sở hữu dữ liệu của họ, nhưng dữ liệu không chính xác, chủ thể có thể yêu cầu cập nhật dữ liệu. Các công ty cũng sẽ có một tháng để thực hiện.

4. Quyền được xóa bỏ: một chủ thể có dữ liệu được thu thập có thể yêu cầu một công ty xóa mọi dữ liệu mà họ đang nắm giữ trong một số tình huống nhất định. Chẳng hạn như nếu dữ liệu không cần dùng đến nữa, hoặc chủ thể không bằng lòng cho công ty sử dụng dữ liệu của mình.

5. Quyền được giới hạn xử lý: nếu một tổ chức không thể xóa dữ liệu của một chủ thể, chẳng hạn như họ cần dữ liệu để sử dụng cho một vụ việc pháp lý, chủ thể có quyền yêu cầu công ty hạn chế xử lý dữ liệu.

6. Quyền được luân chuyển dữ liệu: chủ thể dữ liệu có quyền đưa dữ liệu cá nhân của mình từ dịch vụ này sang dùng với một dịch vụ khác.

7. Quyền được phản đối: nếu dữ liệu được thu thập mà không có sự đồng ý của chủ thể, nhưng vì lợi ích kinh doanh hợp pháp, vì lợi ích công cộng hoặc theo yêu cầu của một cơ quan có thẩm quyền, chủ thể có quyền phản đối. Tổ chức nào thu thập dữ liệu bắt buộc phải ngưng xử lý dữ liệu của chủ thể cho đến khi có thể chứng minh những lý do chính đáng.

8. Các quyền liên quan đến việc tự ra quyết định bao gồm lược tả: GDPR sẽ đưa ra các biện pháp bảo vệ để cá nhân có dữ liệu được thu thập có thể phản đối, hoặc được giải thích về những quyết định tự động do những tổ chức/công ty thu thập dữ liệu đưa ra ảnh hưởng thế nào đến họ và dữ liệu của họ.

Ngoài ra, GDPR còn buộc các công ty phải đưa ra lý do hợp pháp để thu thập hay xử lý mọi dữ liệu cá nhân. Một trong những lý do hợp pháp là họ có được sự chấp thuận để sử dụng dữ liệu cho một mục đích cụ thể, hoặc bắt buộc phải thu thập dữ liệu để tuân theo các nghĩa vụ pháp lý, hoặc vì lợi ích cộng đồng.

GDPR là một bộ luật rất khắc nghiệt, một tổ chức có thể sẽ bị phạt tới 20 triệu EUR hoặc 4% doanh thu hàng năm trên toàn cầu, tùy theo mức nào cao hơn. Đối với những công ty như Amazon hay Google, số tiền có thể lên tới hàng tỷ USD nếu vi phạm GDPR.

Vậy GDPR có tác động gì đến người Mỹ và những quốc gia khác ngoài EU?

GDPR là một bộ luật do EU soạn ra và có hiệu lực tại các quốc gia EU, bảo vệ cho cư dân EU. Nên người dùng tại Mỹ hay những quốc gia khác về lý thuyết không được lợi ích. Tuy nhiên, GDPR vẫn sẽ áp dụng đối với những người sở hữu hộ chiếu công dân Châu Âu.

GDPR áp dụng cho công dân Châu Âu, nhưng sự thay đổi về chính sách bảo mật dữ liệu của các công ty đối với EU cũng ít nhiều tác động đến người khác, vì GDPR khiến nhiều công ty phải xem xét lại cách thu thập và sử dụng dữ liệu người dùng. Một số công ty đã bắt đầu áp dụng chính sách mới theo quy chuẩn GDPR cho các khu vực ngoài EU, vì sẽ đơn giản hơn đối với các công ty nếu dùng một bộ chính sách duy nhất áp dụng lên tất cả người dùng trong nhiều trường hợp.

Chẳng hạn như Apple cũng đã phát hành một cổng thông tin về bảo mật dữ liệu cá nhân, trong đó người dùng tại mọi nơi trên thế giới có thể tải về toàn bộ dữ liệu của mình hoặc xóa tài khoản. Nói cách khác, Apple đã cung cấp quyền truy cập và xóa bỏ cho người dùng, trước mắt được áp dụng cho các tài khoản tại EU, nhưng hãng cũng đã có kế hoạch mở rộng mô hình ra toàn cầu trong vài tháng tiếp theo. Tương tự, Facebook cũng đã bắt đầu thay đổi chính sách để tuân theo bộ luật GDPR áp dụng với một số người dùng ngoài EU.