GDPR thực sự yêu cầu các công ty phải làm gì
Quy định Bảo vệ Dữ liệu Chung (GDPR) đặt ra các quy tắc nghe có vẻ đơn giản trên giấy tờ: các tổ chức chỉ được thu thập dữ liệu cá nhân mà họ thực sự cần, phải thông báo rõ ràng cho người dùng về cách dữ liệu đó sẽ được sử dụng, bảo mật dữ liệu đúng cách, và trao cho cá nhân quyền truy cập, chỉnh sửa hoặc xóa thông tin của chính họ. Các công ty hoạt động tại EU, hoặc xử lý dữ liệu thuộc về cư dân EU, đều bị ràng buộc pháp lý bởi những yêu cầu này bất kể trụ sở công ty đặt ở đâu.
Nhưng các vụ phạt GDPR năm 2024 cho thấy khoảng cách giữa việc có một chính sách quyền riêng tư trên giấy và việc thực sự tuân thủ GDPR có thể là vô cùng lớn. Các cơ quan quản lý trên khắp châu Âu đã dành nhiều năm qua để biến những nguyên tắc trừu tượng như "giảm thiểu dữ liệu" và "cơ sở pháp lý cho việc xử lý" thành các nghĩa vụ pháp lý cụ thể với hậu quả tài chính thực tế. Quy mô và tần suất của các khoản phạt gần đây cho thấy các cơ quan bảo vệ dữ liệu không còn coi GDPR là một bài tập thủ tục giấy tờ. Họ đang chủ động điều tra cách các công ty xử lý dữ liệu đằng sau hậu trường.
Các hành động thực thi gần đây: Uber, LinkedIn và hơn thế nữa
Một trong những ví dụ rõ ràng nhất về sự thay đổi này là vụ kiện chống lại Uber. Cơ quan Bảo vệ Dữ liệu Hà Lan đã phạt công ty gọi xe này 825 triệu EUR, một trong những khoản phạt GDPR lớn thứ hai từng được ban hành. Khoản phạt tập trung vào cách Uber xử lý dữ liệu liên quan đến các tài xế bị tự động hủy kích hoạt bởi hệ thống của nền tảng, đặt ra câu hỏi về tính minh bạch, việc ra quyết định tự động, và liệu các tài xế bị ảnh hưởng có cách thức có ý nghĩa để hiểu hoặc khiếu nại về các quyết định liên quan đến tài khoản của họ hay không.
Cùng khoảng thời gian đó, LinkedIn phải đối mặt với sự giám sát của chính mình trong vụ tranh cãi được gọi là 'Browsergate'. Các cáo buộc tập trung vào việc nền tảng mạng xã hội nghề nghiệp này đã bí mật quét các tiện ích mở rộng trình duyệt đã cài đặt của người dùng, đặt ra câu hỏi về việc liệu người dùng có đồng ý một cách có hiểu biết cho loại hình thu thập dữ liệu này hay không. Dù mọi cáo buộc cuối cùng có được chứng minh hay không, vụ việc này cho thấy các cơ quan quản lý và nhà nghiên cứu quyền riêng tư ngày càng tập trung vào việc thu thập dữ liệu nền mà người dùng thông thường không có cách nào tự phát hiện được.
Các vụ việc này nằm trong bối cảnh rộng hơn về việc các cơ quan châu Âu truy đuổi các công ty vì những hành vi xử lý dữ liệu mà trước đây có thể không bị thách thức. Ngoài ra, các sự cố như vụ vi phạm ảnh hưởng đến cơ quan đăng ký nhà nước của Litva, làm lộ hàng trăm nghìn bản ghi và bị liên kết với một bên nước ngoài, nhấn mạnh rằng việc thực thi không chỉ giới hạn ở việc cố ý sử dụng dữ liệu sai mục đích. Các lỗ hổng bảo mật và vi phạm liên quan đến cơ quan đăng ký nhà nước của Litva cũng thuộc cùng một khuôn khổ quy định, vì GDPR yêu cầu các tổ chức phải bảo vệ dữ liệu cá nhân khỏi truy cập trái phép ngay từ đầu.
Các khoản phạt này tiết lộ điều gì về các vi phạm GDPR phổ biến
Nhìn vào các hành động thực thi này, một vài chủ đề lặp lại nổi lên. Thứ nhất, các hệ thống tự động đưa ra quyết định về con người, như hủy kích hoạt tài khoản, cần có giải thích rõ ràng và sự giám sát của con người, không chỉ đơn thuần là đầu ra thuật toán. Thứ hai, việc thu thập dữ liệu diễn ra một cách vô hình, không có sự nhận biết trực tiếp hoặc đồng ý rõ ràng của người dùng, thu hút sự chú ý quản lý cao hơn bất kể ý định công bố của công ty là gì. Thứ ba, việc không bảo mật dữ liệu cá nhân một cách đầy đủ, dù do kiểm soát nội bộ yếu kém hay do các cuộc tấn công bên ngoài, có thể tạo ra mức trách nhiệm tương đương với việc cố ý sử dụng sai dữ liệu đó.
Điều kết nối các vụ việc này lại với nhau là các cơ quan quản lý không chỉ phạt các công ty vì có chính sách tệ được viết ra trên giấy. Họ phạt các công ty vì những gì thực sự xảy ra với dữ liệu của người dân trong thực tế, dù đó là một thuật toán không minh bạch, một công cụ quét ẩn, hay một cơ sở dữ liệu không được bảo vệ đầy đủ.
Việc thực thi GDPR có ý nghĩa gì đối với dữ liệu cá nhân của bạn
Đối với người dùng hàng ngày, các hành động thực thi này là lời nhắc rằng GDPR không chỉ là sự bảo vệ trên lý thuyết. Nó trao cho bạn các quyền thực tế, bao gồm quyền được biết công ty đang giữ dữ liệu gì về bạn, quyền yêu cầu chỉnh sửa hoặc xóa dữ liệu, và quyền nộp đơn khiếu nại lên cơ quan bảo vệ dữ liệu quốc gia nếu bạn tin rằng các quyền đó đã bị vi phạm. Ở Pháp, ví dụ, cơ quan đó là CNIL, và việc hiểu cách một cơ quan bảo vệ dữ liệu quốc gia như CNIL hoạt động có thể giúp bạn biết nơi cần tìm đến nếu bạn có lo ngại về hoạt động xử lý dữ liệu của một công ty tại quốc gia của mình.
Quy mô của các khoản phạt như của Uber cũng là tín hiệu cho các công ty rằng việc cắt giảm chi phí trong bảo vệ dữ liệu mang lại rủi ro tài chính thực sự, từ đó tạo động lực cho các thực hành tốt hơn trên toàn ngành, dù mức độ tuân thủ vẫn khác biệt đáng kể giữa các tổ chức.
Những điểm chính
Nếu bạn muốn tự bảo vệ dữ liệu của mình trong bối cảnh các xu hướng thực thi này, hãy cân nhắc thực hiện một vài bước cụ thể. Xem lại các cài đặt quyền riêng tư và quyền hạn được cấp cho các ứng dụng và nền tảng bạn sử dụng thường xuyên, đặc biệt là những nền tảng liên quan đến đời sống nghề nghiệp hoặc tài chính của bạn. Đọc các bản cập nhật chính sách quyền riêng tư khi công ty gửi đến, vì những bản này thường phản ánh các thay đổi được thực hiện để đối phó với áp lực quy định. Và hãy biết rằng bạn có quyền nộp đơn khiếu nại lên cơ quan bảo vệ dữ liệu của quốc gia mình nếu bạn tin rằng một công ty đã xử lý sai thông tin của bạn. Các vụ phạt GDPR năm 2024 như của Uber cho thấy những khiếu nại này có thể dẫn đến trách nhiệm giải trình thực sự, không chỉ là các khoản phạt mang tính biểu tượng.
