Các chuyên gia Liên Hợp Quốc kêu gọi cơ quan bảo vệ dữ liệu độc lập

Các chuyên gia nhân quyền Liên Hợp Quốc đã đưa ra một thông điệp rõ ràng: luật bảo mật trên giấy tờ là chưa đủ. Trong một tuyên bố được công bố từ Geneva, các chuyên gia cho biết tính độc lập của các cơ quan bảo vệ dữ liệu và khả năng tiếp cận tòa án hiệu quả là thiết yếu để bảo vệ quyền riêng tư, đặc biệt là khi có sự tham gia của các công ty công nghệ hùng mạnh. Đối với bất kỳ ai có dữ liệu cá nhân nằm trong cơ sở dữ liệu của doanh nghiệp, vấn đề này mang tính thực tiễn. Các cơ quan bảo vệ dữ liệu độc lập và quyền riêng tư luôn song hành cùng nhau, và khi một bên yếu, bên kia cũng chịu tổn hại.

Những gì các chuyên gia Liên Hợp Quốc nói về giám sát và công lý

Tuyên bố, được công bố bởi Văn phòng Cao ủy Nhân quyền Liên Hợp Quốc (OHCHR), xoay quanh một nguyên tắc đơn giản. Theo lời các chuyên gia, "Quyền riêng tư không thể được bảo vệ chỉ bằng luật pháp." Đoạn trích được công bố của tuyên bố rất ngắn gọn, vì vậy chúng tôi giới hạn báo cáo này trong những gì các chuyên gia đã tuyên bố trực tiếp: rằng các cơ quan giám sát phải độc lập, và rằng người dân phải có thể tiếp cận tòa án khi quyền của họ bị xâm phạm.

Đây là hai biện pháp bảo vệ riêng biệt hoạt động cùng nhau. Một cơ quan bảo vệ dữ liệu điều tra các khiếu nại, kiểm toán các tổ chức và có thể áp đặt các hình phạt. Tòa án cung cấp một con đường để các cá nhân tìm kiếm biện pháp khắc phục, và để thách thức các quyết định của các công ty hoặc thậm chí của chính các cơ quan quản lý. Nếu một trong hai tầng bị thiếu hoặc bị tổn hại, một người có dữ liệu bị lạm dụng có thể không có nơi nào thực sự để tìm đến.

Tại sao luật pháp một mình thất bại trước các công ty công nghệ hùng mạnh

Hầu hết các quốc gia hiện nay đều có một số hình thức pháp luật về bảo vệ dữ liệu. Nhưng một đạo luật chỉ mạnh mẽ bằng các thể chế thực thi nó. Các công ty công nghệ lớn nắm giữ một lượng khổng lồ thông tin cá nhân và có nguồn lực pháp lý và tài chính đáng kể. Một người dùng cá nhân đối mặt với một trong số họ đang ở vị thế không cân bằng.

Sự mất cân bằng đó là lý do tại sao các chuyên gia nhấn mạnh tính độc lập và khả năng tiếp cận công lý. Một cơ quan quản lý chịu áp lực chính trị hoặc thương mại có thể miễn cưỡng theo đuổi các công ty lớn. Một cơ quan quản lý không có đủ quyền hạn hoặc nguồn lực có thể không có khả năng. Và nếu tòa án quá tốn kém, chậm chạp hoặc không thể tiếp cận, các cá nhân có thể đơn giản là từ bỏ việc thực thi quyền của họ, ngay cả khi pháp luật đứng về phía họ.

Trên thực tế, điều này có nghĩa là văn bản của một đạo luật bảo mật chỉ cho bạn biết một phần của câu chuyện. Ai bổ nhiệm cơ quan quản lý, nó được tài trợ như thế nào, liệu nó có thể hành động chống lại chính phủ cũng như các công ty hay không, và liệu người dân có thể kháng cáo các quyết định của nó hay không — tất cả đều định hình mức độ bảo vệ thực sự tồn tại trên thực tế.

Khi các cơ quan quản lý thiếu tính độc lập: ví dụ về Đạo luật DPDP của Ấn Độ

Đạo luật Bảo vệ Dữ liệu Cá nhân Kỹ thuật số của Ấn Độ cung cấp một nghiên cứu điển hình hữu ích về lý do tại sao những lo ngại này quan trọng. Khi đạo luật được thông qua vào năm 2023, phần lớn thảo luận công khai tập trung vào thông báo vi phạm, hình phạt và yêu cầu đồng ý đối với các công ty. Ít sự chú ý hơn dành cho cách Đạo luật tương tác với các quy tắc minh bạch. Bài giải thích của chúng tôi về cách Mục 44(3) của Đạo luật DPDP Ấn Độ ảnh hưởng đến quyền truy cập theo luật RTI xem xét cách một điều khoản có thể thu hẹp khả năng của công chúng trong việc tiếp cận thông tin, từ đó hạn chế việc giám sát cách dữ liệu được xử lý.

Bài học phù hợp với cảnh báo của các chuyên gia Liên Hợp Quốc. Một khuôn khổ bảo vệ dữ liệu có thể bao gồm các quy tắc đồng ý và hình phạt mà vẫn để lại những lỗ hổng nếu các trường hợp miễn trừ làm suy yếu trách nhiệm giải trình hoặc nếu việc giám sát thiếu tính độc lập. Độc giả theo dõi cuộc tranh luận ở bất kỳ quốc gia nào cũng có thể sử dụng cùng những câu hỏi: Cơ quan quản lý có tách biệt khỏi các cơ quan mà nó giám sát không? Công dân có thể thách thức các quyết định không? Có những ngoại lệ làm giảm tính minh bạch không?

Điều này có ý nghĩa gì với bạn

Bạn có thể không kiểm soát được cách quốc gia của bạn cấu trúc các cơ quan quản lý, nhưng bạn có thể thực hiện các bước để làm cho các biện pháp bảo vệ hiện có trở nên có giá trị.

• Sử dụng quyền hợp pháp của bạn. Tùy thuộc vào nơi bạn sống, bạn có thể yêu cầu truy cập dữ liệu mà một công ty nắm giữ về bạn, yêu cầu chỉnh sửa hoặc xóa, và phản đối một số mục đích sử dụng nhất định. Những yêu cầu này cũng tạo ra hồ sơ nếu sau này bạn cần khiếu nại.
• Biết cơ quan quản lý của bạn. Tìm hiểu cơ quan bảo vệ dữ liệu nào bao quát bạn và cách nộp khiếu nại. Khiếu nại là một trong những cách chính để các cơ quan quản lý biết về các vấn đề.
• Lưu giữ hồ sơ. Lưu lại các thông báo bảo mật, thư từ và ảnh chụp màn hình khi bạn tin rằng dữ liệu của mình đã bị xử lý sai. Chúng hữu ích nếu một tranh chấp đến được cơ quan quản lý hoặc tòa án.
• Chú ý đến các trường hợp miễn trừ. Khi một đạo luật bảo mật mới được đề xuất hoặc thông qua, hãy nhìn xa hơn các biện pháp bảo vệ hàng đầu. Các trường hợp miễn trừ và các điều khoản thực thi yếu thường quyết định mức độ hiệu quả của nó.
• Xếp lớp các biện pháp phòng vệ của bạn. Quyền hợp pháp hoạt động sau khi dữ liệu đã được thu thập. Các công cụ kỹ thuật hoạt động trước đó. Mã hóa, mật khẩu mạnh và duy nhất, xác thực hai yếu tố và VPN để hạn chế những gì lưu lượng mạng của bạn tiết lộ có thể giảm lượng dữ liệu bị lộ ngay từ đầu. VPN không thay thế các biện pháp bảo vệ pháp lý, và các biện pháp bảo vệ pháp lý không thay thế thói quen bảo mật tốt.

Những điểm chính

Tuyên bố của các chuyên gia Liên Hợp Quốc là một lời nhắc nhở rằng quyền riêng tư là cả một vấn đề kỹ thuật và thể chế. Các cơ quan bảo vệ dữ liệu độc lập và quyền riêng tư phụ thuộc lẫn nhau: luật mạnh cần các cơ quan quản lý có thể hành động mà không bị áp lực, và các cá nhân cần tòa án mà họ có thể thực sự tiếp cận.

Đối với độc giả, phản ứng hữu ích nhất là kết hợp các cách tiếp cận. Thực hiện quyền truy cập, xóa và khiếu nại của bạn, sử dụng mã hóa và các công cụ bảo mật để giảm thiểu việc lộ dữ liệu, và cảnh giác với cách luật pháp được viết và thực thi. Để thấy cách giám sát yếu kém và các trường hợp miễn trừ có thể làm xói mòn cả quyền riêng tư và tính minh bạch trên thực tế như thế nào, hãy đọc nghiên cứu điển hình của chúng tôi về Đạo luật DPDP của Ấn Độ và ảnh hưởng của nó đối với quyền truy cập RTI.