Dữ liệu quan trọng đối với cuộc sống hơn bao giờ hết. Từ dịch vụ trực tuyến đến trung tâm thương mại, có đại dương dữ liệu, nếu quản lý sai, có thể vi phạm quyền riêng tư và giảm chất lượng cuộc sống.
Đó là lý do quy định bảo vệ dữ liệu như GDPR (Quy định Bảo vệ Dữ liệu Chung) lại quan trọng.
Một trong những thay đổi lớn GDPR mang lại là cách trang web dùng popup. Nếu bạn thắc mắc GDPR là gì và tại sao thấy popup về dữ liệu trên trang web, bài viết này dành cho bạn.
GDPR là gì?
Ủy ban Châu Âu soạn thảo GDPR năm 2016. Quy định có hiệu lực 2018, cung cấp quy tắc nhằm trao quyền kiểm soát dữ liệu cá nhân cho công dân EU. Kể từ đó, ảnh hưởng GDPR mở rộng khi nhiều quốc gia ngoài EU áp dụng cho vùng của mình.
Nguyên tắc của GDPR
GDPR nhằm đảm bảo cả công dân và doanh nghiệp hưởng lợi từ kinh tế số. Theo EU, GDPR được thiết kế để "hòa hợp" luật quyền riêng tư dữ liệu giữa các bang thành viên và cung cấp bảo vệ quyền riêng tư, quyền dữ liệu nhiều hơn cho cá nhân.
GDPR dựa trên bảy nguyên tắc, một số tồn tại trong quy tắc bảo vệ dữ liệu trước. Bảy nguyên tắc:
- Hợp pháp, công bằng, minh bạch
- Hạn chế mục đích
- Tối thiểu hóa dữ liệu
- Chính xác
- Hạn chế lưu trữ
- Tính toàn vẹn và bảo mật (an ninh)
- Trách nhiệm giải trình
Điều khiển và xử lý dữ liệu
GDPR dành cho người kiểm soát (controller) và người xử lý (processor) dữ liệu. Controller là tổ chức kiểm soát mục đích và phương tiện xử lý dữ liệu cá nhân. GDPR phân loại controller là công ty quyết định tại sao và như thế nào dữ liệu cá nhân nên được xử lý.
Trong một số trường hợp, tổ chức được coi là controller chung (joint controller) nếu cùng quyết định tại sao/cách xử lý dữ liệu với tổ chức khác.
Ví dụ controller chung: hai công ty làm website bán sản phẩm và chia sẻ dữ liệu khách hàng. Cả hai có thể là joint controller vì dịch vụ kết hợp và nền tảng chung.
Processor (người xử lý) là người/tổ chức xử lý dữ liệu cá nhân cho controller. Ví dụ: công ty in dùng dữ liệu khách hàng của client làm tài liệu marketing theo hướng dẫn.
Theo GDPR, controller và processor phải tuân thủ quy định, nếu không có thể bị phạt nặng hoặc thiệt hại uy tín. Quy định xoay quanh cách controller/processor thu thập và dùng dữ liệu cá nhân.
Dữ liệu cá nhân
Dữ liệu dùng nhận diện cá nhân là dữ liệu cá nhân theo GDPR. Thường dưới dạng định danh trực tuyến hoặc đặc điểm thể hiện bản sắc thể chất, tâm lý, gen, tinh thần, thương mại, văn hóa, xã hội.
Dữ liệu cá nhân là yếu tố then chốt GDPR. Vì GDPR chỉ áp dụng cho dùng dữ liệu cá nhân. Theo luật hiện hành, loại dữ liệu có thể phân loại là dữ liệu cá nhân bao gồm:
- Tên
- Số định danh
- Vị trí
- Địa chỉ
- Số thẻ tín dụng
- Dữ liệu tài khoản
- Biển số xe
- Số khách hàng
Danh mục đặc biệt của dữ liệu cá nhân
Tiêu chuẩn bảo vệ danh mục đặc biệt dữ liệu cá nhân cao hơn nhiều so với dữ liệu cá nhân chung. Danh mục đặc biệt bao gồm:
- Dữ liệu gen
- Dữ liệu sinh trắc học
- Dữ liệu sức khỏe
- Ý kiến chính trị
- Tín ngưỡng tôn giáo/tư tưởng
- Thành viên công đoàn
- Dữ liệu cá nhân tiết lộ nguồn gốc chủng tộc/dân tộc
GDPR nhấn mạnh minh bạch. Vì vậy, yêu cầu người điều hành trang web xin đồng ý người dùng dùng dữ liệu được bảo vệ.
Tại sao tôi thấy popup yêu cầu dữ liệu và cookie?
Khi bạn truy cập trang web, tệp cookie có thể lưu trên thiết bị. Tệp chứa thông tin về trang web và bạn. Trang web dùng thông tin để cá nhân hóa trải nghiệm, dùng thông tin đã lưu về bạn.
Thông tin trong cookie có thể bao gồm thông tin nhận diện cá nhân có thể bảo vệ dưới GDPR. Do đó, trang web phải xin đồng ý trước khi thu thập dữ liệu bằng cookie.
Một số trang yêu cầu chấp nhận tất cả cookie mới dùng tiếp. Một số cho nhiều lựa chọn loại cookie cho phép, trang khác chọn không thu thập thông tin hoặc không ép người dùng phản hồi banner cookie.
Tại sao GDPR không áp dụng cho UK?
Sau khi UK hoàn tất giai đoạn chuyển đổi Brexit (riêng khỏi EU), GDPR không còn áp dụng trực tiếp cho quốc gia này. Vì UK không còn thành viên EU. Tuy nhiên, quy định tiếp tục ảnh hưởng gián tiếp bảo vệ dữ liệu tại UK.
Quy định DPPEC (Bảo vệ Dữ liệu, Quyền riêng tư, Truyền thông Điện tử) 2019 dùng áp dụng một số yêu cầu GDPR vào Luật Bảo vệ Dữ liệu UK 2018 (DPA 2018). UK gộp yêu cầu EU GDPR với DPA 2018 tạo bộ quy tắc bảo vệ dữ liệu mới, gọi là "UK GDPR".
GDPR và quy định khu vực khác
Luật quyền riêng tư dữ liệu với quy định tương tự GDPR tiếp tục được đưa ra nhiều nơi. Kết quả, nhiều khu vực hơn bao giờ (đặc biệt Châu Âu) có luật địa phương thân thiện GDPR.
Luật LGPD (Lei Geral de Proteçao de Dados) Brazil mô phỏng trực tiếp GDPR. Yêu cầu công ty muốn kinh doanh Brazil tuân thủ quy định bảo vệ dữ liệu hoặc phạt. Định nghĩa thông tin cá nhân LGPD tương tự GDPR.
Ở Mỹ, mỗi bang có luật riêng tư riêng. CCPA (California Consumer Privacy Act) chứa quy tắc quyền riêng tư dữ liệu nghiêm ngặt nhất Mỹ. Nhiều quy định trùng lặp GDPR. Trong khi GDPR yêu cầu trang web nhắc người dùng chấp nhận cookie/theo dõi, CCPA yêu cầu link "Đừng bán thông tin tôi" (Do Not Sell My Info/Personal Information).
Ngay trước GDPR, nhiều bang EU đã có quy định tương tự. Ở nhiều quốc gia EU, trách nhiệm giải trình (accountability) là nguyên tắc duy nhất luật bảo vệ dữ liệu trước đây không có trước khi áp dụng GDPR.
Bảo vệ quyền cá nhân
Với 99 điều khoản riêng lẻ, GDPR được coi là bộ quy tắc bảo vệ dữ liệu mạnh nhất thế giới.
So sánh với quy định khu vực khác, lý do rõ ràng. Nó xây dựng trên quy định trước, thêm quy tắc bảo vệ quyền cá nhân. GDPR đơn giản hóa quy trình bảo vệ quyền riêng tư dữ liệu, đến mức ngay cả trang web vô danh cũng dùng popup xin đồng ý trước khi thu thập dữ liệu bằng cookie.