Cơ quan giám sát dữ liệu Ireland đã phạt công ty mẹ của Tinder 11 triệu euro theo GDPR. Theo báo cáo, cơ quan quản lý phát hiện rằng ứng dụng hẹn hò đã không cung cấp cho người dùng bản sao đầy đủ dữ liệu cá nhân của họ khi họ yêu cầu. Chi tiết của phán quyết còn hạn chế trong nguồn mà chúng tôi đã xem xét, nhưng thông điệp cốt lõi rất rõ ràng: quyết định về quyền truy cập dữ liệu trong vụ phạt GDPR của Tinder cho thấy quyền xem dữ liệu của chính bạn có thể được thực thi bằng các hình phạt thực sự.
Tại sao Ireland phạt công ty mẹ của Tinder
Phát hiện này xoay quanh một vấn đề đơn giản. Người dùng đã yêu cầu ứng dụng hẹn hò cung cấp bản sao dữ liệu cá nhân của họ, và cơ quan bảo vệ dữ liệu Ireland kết luận rằng các bản sao họ nhận được không đầy đủ. Theo luật riêng tư châu Âu, một công ty không thể giao một bản trích xuất không đầy đủ và coi như đã hoàn tất.
Ireland là cơ quan quản lý chính đối với nhiều nền tảng công nghệ và tiêu dùng lớn trong Liên minh châu Âu, vì vậy các quyết định của nước này thường định hình cách các quy tắc được áp dụng trên toàn khối. Đây là một vụ việc về tính minh bạch chứ không phải rò rỉ hay tấn công mạng. Không có vi phạm nào được mô tả trong nguồn. Hình phạt liên quan đến việc liệu mọi người có thể thấy những gì một công ty nắm giữ về họ hay không.
Sự khác biệt đó rất quan trọng. Các ứng dụng hẹn hò xử lý một số thông tin cá nhân nhất trong số bất kỳ dịch vụ nào thu thập, và người dùng chỉ có thể đánh giá rủi ro nếu họ biết những gì được lưu trữ.
Quyền truy cập theo GDPR của bạn bao gồm những gì
Quyền truy cập nằm trong Điều 15 của GDPR. Nói chung, nó cho phép bạn yêu cầu một công ty xác nhận liệu họ có xử lý dữ liệu cá nhân của bạn hay không và cung cấp bản sao dữ liệu đó. Bạn cũng có thể yêu cầu thông tin liên quan, chẳng hạn như lý do dữ liệu được xử lý và dữ liệu được chia sẻ với ai.
Đối với một ứng dụng hẹn hò, dữ liệu cá nhân có thể bao gồm nhiều hơn hồ sơ và ảnh. Tùy thuộc vào dịch vụ, nó có thể bao gồm những thứ như:
- Thông tin tài khoản và đăng ký
- Tin nhắn và lịch sử ghép đôi
- Thông tin vị trí
- Hồ sơ hoạt động và sử dụng
- Hồ sơ về bất kỳ hình thức đình chỉ hoặc cấm nào
Phát hiện của cơ quan quản lý cho thấy rằng việc bỏ sót các phần dữ liệu này là không thể chấp nhận khi người dùng đưa ra yêu cầu. Nếu bạn sống ở EU hoặc EEA, bạn có thể sử dụng quyền này với bất kỳ công ty nào xử lý dữ liệu của bạn, không chỉ các ứng dụng hẹn hò.
Cách yêu cầu bản sao đầy đủ dữ liệu của bạn
Hầu hết các ứng dụng cung cấp công cụ tải xuống tự phục vụ trong phần cài đặt quyền riêng tư hoặc tài khoản. Đó là một bước đầu tiên tốt, nhưng nó có thể không bao quát mọi thứ. Nếu bạn muốn bức tranh đầy đủ, một yêu cầu chính thức bằng văn bản sẽ mạnh mẽ hơn.
- Tìm liên hệ về quyền riêng tư. Hãy tìm trong chính sách quyền riêng tư của ứng dụng để biết Cán bộ Bảo vệ Dữ liệu hoặc biểu mẫu yêu cầu về quyền riêng tư.
- Nêu rõ yêu cầu của bạn. Nói rằng bạn đang thực hiện yêu cầu truy cập dữ liệu chủ thể theo Điều 15 của GDPR và muốn có bản sao của tất cả dữ liệu cá nhân được lưu giữ về bạn.
- Yêu cầu thêm thông tin bổ sung. Yêu cầu thông tin về mục đích xử lý, các loại dữ liệu và ai là người nhận dữ liệu đó.
- Lưu giữ hồ sơ. Lưu tin nhắn của bạn, bất kỳ số tham chiếu nào và ngày bạn gửi.
- Theo dõi thời hạn. Theo GDPR, các công ty thường có một tháng để phản hồi, mặc dù thời hạn này có thể được gia hạn trong các trường hợp phức tạp.
Nếu phản hồi đến muộn, không đầy đủ hoặc bị thiếu, bạn có thể chuyển vụ việc lên cơ quan bảo vệ dữ liệu quốc gia của bạn. Phán quyết này là lời nhắc nhở rằng các cơ quan quản lý thực sự hành động dựa trên những khiếu nại này.
Những gì cần kiểm tra trong bản xuất dữ liệu của bạn
Khi tệp đến, đừng chỉ liếc qua. Hãy so sánh nó với những gì bạn biết mình đã chia sẻ với dịch vụ.
- Thiếu danh mục: Bạn có thấy tin nhắn, ảnh và lịch sử hoạt động của mình không, hay chỉ có thông tin hồ sơ cơ bản?
- Dữ liệu vị trí: Nếu bạn đã cấp quyền truy cập vị trí cho ứng dụng, liệu có phần nào trong đó được phản ánh không?
- Chia sẻ với bên thứ ba: Phản hồi có giải thích ai khác nhận dữ liệu của bạn không?
- Định dạng có thể đọc được: Dữ liệu phải được cung cấp ở dạng bạn thực sự có thể mở và hiểu.
- Khoảng trống trong dòng thời gian: Nếu tài khoản của bạn đã tồn tại nhiều năm nhưng dữ liệu chỉ bao gồm một khoảng thời gian ngắn, hãy hỏi lý do.
Nếu có điều gì đó có vẻ bị thiếu, hãy trả lời bằng văn bản và yêu cầu công ty xác nhận rằng phản hồi là đầy đủ. Việc theo dõi đó tạo ra dấu vết giấy tờ nếu sau này bạn cần khiếu nại với cơ quan quản lý.
Điều này có ý nghĩa gì với bạn
Khoản tiền phạt cho thấy rằng quyền truy cập dữ liệu không chỉ là hình thức. Một cơ quan quản lý đã sẵn sàng xử phạt một ứng dụng lớn vì các bản sao dữ liệu người dùng không đầy đủ, điều này mang lại cho mọi người nhiều niềm tin hơn rằng việc yêu cầu là đáng để thực hiện.
Đối với người dùng hàng ngày, lợi ích thực tế là khả năng hiển thị. Biết những gì một ứng dụng đã lưu trữ giúp bạn quyết định có nên thắt chặt quyền, xóa nội dung cũ hay đóng tài khoản hay không. Nó cũng giúp bạn phát hiện dữ liệu mà bạn không bao giờ ngờ rằng công ty nắm giữ. Sự giám sát tương tự đang diễn ra ở nơi khác: vụ kiện Texas đệ trình chống lại Netflix về cáo buộc thu thập dữ liệu bí mật là một ví dụ khác về việc chính quyền gây áp lực lên các công ty về cách họ thu thập và sử dụng thông tin cá nhân. Và khi các chính phủ thử nghiệm các hình thức thu thập dữ liệu dựa trên vị trí mới, chẳng hạn như chương trình thí điểm theo dõi mức sử dụng đường bộ qua GPS và điện thoại thông minh của Michigan, việc biết cách hỏi ai đang nắm giữ dữ liệu của bạn trở nên liên quan hơn.
Những điểm chính cần ghi nhớ
- Khoản phạt 11 triệu euro của Ireland đối với các bản sao dữ liệu người dùng không đầy đủ cho thấy quyền truy cập có hiệu lực thực sự.
- Trước tiên hãy sử dụng công cụ tải xuống của ứng dụng, sau đó gửi yêu cầu chính thức theo Điều 15 nếu bạn muốn mọi thứ.
- Kiểm tra bản xuất của bạn để tìm tin nhắn, dữ liệu vị trí và chi tiết chia sẻ bị thiếu.
- Chuyển vụ việc lên cơ quan bảo vệ dữ liệu của bạn nếu công ty không phản hồi đầy đủ.
Phán quyết về quyền truy cập dữ liệu trong vụ phạt GDPR của Tinder là một lời nhắc tốt để hành động. Hãy chọn các ứng dụng hẹn hò và các dịch vụ khác mà bạn sử dụng nhiều nhất, gửi yêu cầu truy cập dữ liệu trong tuần này và xem xét những gì được trả về. Để biết thêm về cách các công ty đang bị buộc phải chịu trách nhiệm, hãy đọc báo cáo của chúng tôi về vụ kiện của Texas chống lại Netflix.
