Cơ quan bảo vệ dữ liệu của Na Uy đã phạt Xandr thuộc Microsoft khoảng 8,5 triệu euro vì cách xử lý dữ liệu cá nhân của người dùng Grindr, bao gồm thông tin nhạy cảm về xu hướng tính dục. Khoản tiền phạt Xandr Grindr này đáng chú ý vì nó nhắm vào một công ty nằm xa hơn trong chuỗi quảng cáo, chứ không chỉ nhắm vào ứng dụng đã thu thập dữ liệu ngay từ đầu.

Bản tóm tắt mà chúng tôi có về quyết định này khá ngắn gọn, nên bài viết này chỉ bám sát những gì đã được xác nhận và giải thích bối cảnh rộng hơn cho độc giả.

Na Uy phạt Xandr vì điều gì

Theo các bài báo đưa tin, mức phạt khoảng 8,5 triệu euro liên quan đến cách Xandr, một doanh nghiệp quảng cáo thuộc sở hữu của Microsoft, xử lý dữ liệu cá nhân thuộc về người dùng Grindr. Dữ liệu đó bao gồm thông tin nhạy cảm về xu hướng tính dục.

Đây không phải lần đầu tiên các hoạt động xử lý dữ liệu của Grindr bị Na Uy soi xét. Cơ quan bảo vệ dữ liệu của nước này trước đó đã phạt chính Grindr 65 triệu krone Na Uy (khoảng 5,5 triệu euro) vì vi phạm Điều 9 của GDPR, điều khoản hạn chế việc xử lý các loại dữ liệu cá nhân đặc biệt. Khoản tiền phạt đó sau đó đã được Tòa phúc thẩm Borgarting giữ nguyên. Hành động mới nhằm vào Xandr mở rộng trọng tâm từ ứng dụng sang một công ty đã xử lý dữ liệu ở phía hạ nguồn.

Dữ liệu nhạy cảm từ ứng dụng đến các nền tảng quảng cáo như thế nào

Hầu hết ứng dụng miễn phí kiếm tiền thông qua quảng cáo. Để hiển thị quảng cáo phù hợp, một ứng dụng có thể chuyển thông tin về người dùng, như mã nhận diện thiết bị, vị trí gần đúng hoặc chi tiết hồ sơ, cho các đối tác quảng cáo. Những đối tác đó có thể bao gồm các sàn trao đổi quảng cáo và nền tảng khớp quảng cáo với đối tượng, thường chỉ trong vòng vài mili giây kể từ khi ứng dụng mở.

Vấn đề nảy sinh khi thông tin liên quan là thông tin nhạy cảm. Theo GDPR, dữ liệu tiết lộ xu hướng tính dục thuộc nhóm được bảo vệ. Chỉ việc là người dùng của một số ứng dụng nhất định cũng có thể tự nó tiết lộ điều gì đó nhạy cảm. Khi tín hiệu đó đi vào chuỗi công nghệ quảng cáo, nó có thể bị sao chép, kết hợp với các mã nhận diện khác và được chuyển qua lại giữa nhiều công ty, khiến người dùng khó biết dữ liệu đã đi đến đâu hoặc rút lại nó.

Đó là lý do các cơ quan quản lý nhìn vào toàn bộ chuỗi. Một công ty nhận hoặc xử lý dữ liệu như vậy phải tự chịu trách nhiệm pháp lý của mình, ngay cả khi họ không phải là bên đầu tiên thu thập dữ liệu đó.

Việc thực thi GDPR có ý nghĩa gì với người dùng

Khoản tiền phạt này là một tín hiệu cho thấy các cơ quan quản lý châu Âu sẵn sàng truy đuổi các công ty trong toàn bộ hệ sinh thái quảng cáo, bao gồm cả những công ty thuộc các tập đoàn công nghệ lớn. Với người dùng, có một vài điểm thực tế cần lưu ý.

  • Dữ liệu thuộc loại đặc biệt có quy định nghiêm ngặt hơn. Thông tin về xu hướng tính dục, sức khỏe, tôn giáo và các chủ đề tương tự nói chung không thể được xử lý nếu không có cơ sở pháp lý hợp lệ theo GDPR.
  • Việc thực thi có thể diễn ra chậm. Vụ Grindr trước đó đã trải qua một khoản phạt, một kháng nghị và một phán quyết của tòa án. Hành động quản lý không thể hoàn tác sự phơi bày đã xảy ra.
  • Tiền phạt không giống với biện pháp khắc phục. Một khoản phạt trừng phạt công ty, nhưng các cá nhân vẫn cần tự quản lý sự phơi bày của mình trong tương lai.

Các công ty ở quy mô này cũng nắm giữ khối lượng dữ liệu lớn trong nhiều bối cảnh khác, và các sự cố bảo mật ở nơi khác trong hệ sinh thái là lời nhắc nhở rằng dữ liệu được lưu trữ tập trung là một mục tiêu. Ví dụ, chúng tôi đã đưa tin về một thợ săn lỗi tuổi teen được cho là đã giành được quyền truy cập cấp quản trị vào dịch vụ phân tích Titan nội bộ của Microsoft, và về các cáo buộc rằng cơ sở dữ liệu nhân viên đã bị đánh cắp khỏi hạ tầng Microsoft Azure. Đây là những vấn đề riêng biệt với quyết định về Xandr, nhưng chúng minh họa lý do vì sao việc hạn chế những gì bạn chia sẻ ngay từ đầu lại quan trọng.

Điều này có ý nghĩa gì với bạn

Bạn không thể thấy đối tác quảng cáo nào nhận dữ liệu từ một ứng dụng, nên cách đáng tin cậy nhất là giảm bớt những gì ứng dụng có thể gửi đi. Dưới đây là nơi nên bắt đầu:

  • Xem lại quyền của ứng dụng. Kiểm tra quyền truy cập vị trí, danh bạ, ảnh và theo dõi trên điện thoại của bạn. Thu hồi bất cứ quyền nào mà ứng dụng không thực sự cần.
  • Đặt lại hoặc tắt ID quảng cáo của bạn. Cả Android và iOS đều cho phép bạn xóa hoặc đặt lại mã nhận diện quảng cáo, hoặc hạn chế theo dõi quảng cáo, khiến các nền tảng quảng cáo khó liên kết hoạt động giữa các ứng dụng hơn.
  • Xem cài đặt quyền riêng tư trong ứng dụng. Nhiều ứng dụng có các nút bật/tắt cho quảng cáo cá nhân hóa hoặc chia sẻ dữ liệu với đối tác. Hãy tắt những gì bạn có thể.
  • Thận trọng với các chi tiết hồ sơ nhạy cảm. Nếu một ứng dụng yêu cầu thông tin mà bạn không muốn bị chia sẻ, hãy cân nhắc để trống.
  • Xóa những tài khoản bạn không còn dùng. Các tài khoản không hoạt động vẫn có thể lưu giữ dữ liệu.

VPN phù hợp ở đâu

VPN có thể che giấu địa chỉ IP của bạn và mã hóa lưu lượng giữa thiết bị của bạn và máy chủ VPN, điều này hữu ích trên Wi-Fi công cộng và để hạn chế những gì nhà cung cấp internet của bạn nhìn thấy. Nhưng nó không ngăn một ứng dụng gửi dữ liệu mà bạn đã cung cấp cho nó, như chi tiết hồ sơ hoặc ID quảng cáo, cho các đối tác của nó. Hãy coi VPN là một lớp bảo vệ một phần, không phải là giải pháp cho việc chia sẻ dữ liệu trong ứng dụng.

Những điểm chính cần ghi nhớ

Khoản tiền phạt Xandr Grindr cho thấy các cơ quan quản lý đang nhìn xa hơn các ứng dụng thu thập thông tin nhạy cảm để tới các công ty công nghệ quảng cáo xử lý thông tin đó. Với người dùng hằng ngày, những bước hiệu quả nhất nằm trong tầm kiểm soát của bạn: rà soát quyền của ứng dụng, đặt lại hoặc tắt ID quảng cáo, điều chỉnh cài đặt quyền riêng tư trong ứng dụng và chỉ dùng VPN cho những gì nó làm tốt. Hãy dành mười phút trong tuần này để xem qua các ứng dụng trên điện thoại của bạn, bắt đầu với những ứng dụng nắm giữ nhiều thông tin cá nhân nhất.