Đã hơn năm rưỡi kể từ khi Quy định Bảo vệ Dữ liệu Chung (GDPR) được thi hành tại Liên minh Châu Âu. Mục tiêu chính của quy định là trao quyền riêng tư, sự minh bạch và quyền kiểm soát lớn hơn cho cá nhân về cách dữ liệu của họ được sử dụng bởi các doanh nghiệp, tổ chức và bên thứ ba trực tuyến. Theo GDPR, các công ty hiện phải cung cấp nhiều thông tin hơn về cách họ sử dụng và lưu giữ dữ liệu cá nhân – dù trên trang web, hợp đồng lao động hay biểu mẫu trực tuyến.
Trong bài viết này, chúng ta thảo luận chính xác GDPR là gì, ý nghĩa của nó đối với người thường, và cách nó đã được triển khai kể từ khi có hiệu lực.
GDPR Là Gì?
Ý tưởng của GDPR là làm cho các luật pháp của EU về quyền riêng tư và bảo vệ dữ liệu trực tuyến phù hợp hơn với độ phức tạp của kỷ nguyên số. Nhiều doanh nghiệp trực tuyến lớn nhất dựa vào luồng dữ liệu cá nhân không ngừng mà chúng ta cung cấp hàng ngày trên Internet – từ cookie, tìm kiếm Google đến chi tiết nhập vào các khảo sát hoặc biểu mẫu trực tuyến.
Ngành kinh doanh lớn của Internet về cơ bản được thúc đẩy bởi dữ liệu của chúng ta, và ý tưởng của GDPR là trao cho chúng ta sự rõ ràng và kiểm soát hơn về cách dữ liệu được sử dụng, cũng như buộc các công ty phải chịu trách nhiệm hơn về dữ liệu họ thu thập và cách sử dụng.
Điều này nghe có vẻ tốt, nhưng nó có nghĩa cụ thể gì? Dưới đây là các điểm chính về GDPR:
- Dữ liệu cá nhân của một cá nhân, hay "chủ thể dữ liệu", chỉ được xử lý nếu đáp ứng một trong các "mục đích hợp pháp". Chúng bao gồm: sự đồng ý của cá nhân, thực hiện nhiệm vụ vì lợi ích công眾, bảo vệ lợi ích sống còn của người khác, hoặc các "mục đích" tương tự.
- Chủ thể dữ liệu cần đồng ý cho việc xử lý dữ liệu (do đó, những thông báo GDPR xuất hiện khắp nơi trên trang web).
- GDPR giám sát các công ty, yêu cầu các "biện pháp kỹ thuật và tổ chức phù hợp" để giảm thiểu rủi ro lạm dụng hoặc vi phạm dữ liệu.
- Các sự cố bảo mật dữ liệu đe dọa "quyền và tự do" của chủ thể dữ liệu phải được báo cáo cho cơ quan quản lý trong vòng 72 giờ.
- Dữ liệu thu thập từ chủ thể được ẩn danh để bảo vệ quyền riêng tư.
- "Quyền bị xóa" cho phép người dùng yêu cầu xóa hoàn toàn dữ liệu của họ khỏi cơ sở dữ liệu. Người dùng cũng có quyền yêu cầu trang web ngừng xử lý dữ liệu nếu không muốn xóa hoàn toàn. Nếu công ty đã chia sẻ dữ liệu người dùng với bên thứ ba, tất cả các bên phải được thông báo về việc xóa, sửa đổi hoặc hạn chế. Người dùng phải có quyền dừng toàn bộ xử lý dữ liệu từ tất cả các bên.
- Người xử lý dữ liệu, bao gồm "người kiểm soát" (người và tổ chức "xác định mục đích và phương tiện xử lý dữ liệu cá nhân") và "người xử lý" (người hoặc tổ chức xử lý dữ liệu thay mặt người kiểm soát), phải chịu trách nhiệm về việc xử lý sai dữ liệu và có thể bị phạt nếu không tuân thủ quy định GDPR.
Tất cả các quyền này đi kèm với nghĩa vụ bổ sung được áp đặt cho các công ty, và họ có thể đối mặt với hậu quả nghiêm trọng nếu không tuân thủ. Mức độ chi tiết trong văn bản luật này khiến nó trở thành một trong những luật bảo vệ quyền riêng tư dữ liệu số lớn nhất thế giới.
GDPR Đang Có Tác Động Như Thế Nào?
EU không đùa giỡn trong việc thực thi GDPR và xử phạt các công ty vi phạm quy định. Vụ kiện GDPR nổi bật nhất hiện nay liên quan đến WhatsApp và Ủy ban Bảo vệ Dữ liệu Ireland, cơ quan này đã nêu lo ngại về việc WhatsApp có đủ thông báo cho người dùng về cách xử lý dữ liệu của họ hay không.
Hiện quyết định sơ bộ về mức phạt WhatsApp phải trả đã bị hoãn đến năm 2020 sau khi luật sư WhatsApp có khiếu nại về thủ tục được chấp nhận.
Tháng 1 năm 2019, CNIL – cơ quan giám sát bảo vệ dữ liệu của Pháp – phạt Google 57 triệu USD vì vi phạm luật GDPR, buộc tội công cụ tìm kiếm thiếu minh bạch và rõ ràng trong cách xử lý dữ liệu cá nhân và không xin phép đúng cách khi hiển thị quảng cáo cá nhân hóa.
Tháng 11 năm 2019, cơ quan bảo vệ dữ liệu của Anh đã cảnh báo các công ty công nghệ quảng cáo về việc xử lý dữ liệu nhạy cảm và hợp đồng chia sẻ dữ liệu giữa các nhà cung cấp.
Tháng 11, Microsoft đã sửa đổi chính sách bảo mật trên các hợp đồng đám mây sau khi cuộc điều tra của Giám đốc Bảo vệ Dữ liệu Châu Âu (EDPS) nêu lo ngại rằng hợp đồng và vai trò của Microsoft như người xử lý dữ liệu cho các tổ chức EU không tuân thủ GDPR.
Kết Luận
Như bạn thấy, GDPR đã gây ra nhiều xung đột về quyền riêng tư giữa các doanh nghiệp trực tuyến và EU. Mặc dù các công ty thể hiện ý愿 tuân thủ các quy định của GDPR, nhưng rõ ràng nhiều trong số họ còn đường dài mới đạt được sự tuân thủ hoàn toàn, và chúng ta có thể sẽ thấy các khoản phạt và cảnh báo tiếp tục đến dày đặc khi các công ty bị buộc phải thích ứng với bộ luật quyền riêng tư trực tuyến được cải tổ hoàn toàn tại EU.