Cân bằng giữa quyền riêng tư và đổi mới (phần 1)

Trước khi vào chủ đề chính hôm nay, hãy nói về bối cảnh. Trong suốt lịch sử, loài người đã coi trọng các tài nguyên khác nhau. Trong cuộc cách mạng nông nghiệp, đất đai được coi là cực kỳ quan trọng. Trong Kỷ nguyên Công nghiệp, đó là máy móc, than đá và sau đó là dầu mỏ. Giờ đây, trong thế kỷ 21, các học giả, nhà báo và lãnh đạo ngành đã nói rằng dữ liệu là dầu mỏ mới. Trong số các công ty có giá trị nhất thế giới theo vốn hóa thị trường, nhiều công ty là công ty công nghệ và tất cả đều có lượng dữ liệu khổng lồ về người tiêu dùng toàn cầu. Những cái tên quen thuộc:

• Phương Đông: Alibaba, Tencent, Baidu, Flipkart
• Phương Tây: Google, Microsoft, Amazon, Facebook, IBM, Apple

Một góc nhìn khác từ báo cáo của Diễn đàn Kinh tế Thế giới data policy in the Fourth Industrial Revolution là: "Tại Diễn đàn Kinh tế Thế giới, chúng tôi thích nghĩ về dữ liệu như oxy nuôi ngọn lửa của Cuộc cách mạng Công nghiệp lần thứ Tư. Nó sẵn có và cần thiết, nhưng nếu sử dụng không đúng cách có thể tạo ra kết quả nguy hiểm và không mong muốn."

Với tầm quan trọng của "dữ liệu", tôi đang cố gắng tự tìm hiểu chủ đề này và bài viết này là bài đầu tiên trong loạt bài về quyền riêng tư dữ liệu. Vì tôi không phải chuyên gia về chủ đề này, tôi sẽ tổng hợp những gì tôi đã học và cung cấp liên kết đến các nguồn. Hôm nay, chúng ta sẽ nói về 3 câu hỏi chính:

• Dữ liệu cá nhân là gì?
• Ai sở hữu nó? - một câu trả lời nhiều sắc thái
• Quyền của bạn là gì?

Dữ liệu cá nhân là gì?

Cho đến nay tôi thấy định nghĩa của Liên minh Châu Âu trong quy định GDPR là toàn diện nhất.

"'dữ liệu cá nhân' có nghĩa là bất kỳ thông tin nào liên quan đến một thể nhân được xác định hoặc có thể xác định ('chủ thể dữ liệu'); một thể nhân có thể xác định là người có thể được nhận dạng, trực tiếp hoặc gián tiếp, đặc biệt bằng cách tham chiếu đến một mã định danh như tên, số nhận dạng, dữ liệu vị trí, mã định danh trực tuyến hoặc một hoặc nhiều yếu tố đặc trưng cho bản sắc thể chất, sinh lý, di truyền, tinh thần, kinh tế, văn hóa hoặc xã hội của thể nhân đó;" Họ cũng cung cấp các ví dụ về dữ liệu cá nhân tại đây:

• địa chỉ email (yourname@company.com)
• địa chỉ Internet Protocol (IP)
• cookie ID (thường tìm thấy trên trình duyệt web)
• mã định danh quảng cáo của điện thoại

Các ví dụ khác có thể là:

• Thông tin liên lạc riêng tư: nội dung email/tin nhắn riêng
• Hồ sơ tài chính (số dư ngân hàng, giao dịch, khai thuế)
• Hồ sơ giáo dục (trường bạn học, điểm số)
• Hồ sơ y tế
• Dữ liệu sinh trắc học (dấu vân tay, khuôn mặt) v.v.

Dù tôi chỉ đưa vài ví dụ ở đây, cần lưu ý rằng có hơn 100 luật bảo vệ dữ liệu hiện hành tại các nước/vùng lãnh thổ khác nhau.

Personal data protection commission Singapore, "Dữ liệu cá nhân đề cập đến dữ liệu, dù đúng hay không, về một cá nhân có thể được nhận dạng từ dữ liệu đó; hoặc từ dữ liệu đó và thông tin khác mà tổ chức có hoặc có khả năng tiếp cận. Dữ liệu cá nhân tại Singapore được bảo vệ theo Luật Bảo vệ Dữ liệu Cá nhân 2012 (PDPA)."

Ai sở hữu nó?

Câu trả lời rõ ràng nhất với nhiều người là: đó là dữ liệu của tôi nên tôi sở hữu nó. Tuy nhiên, bức tranh thực tế phức tạp hơn thế.

Hồ sơ chính phủ & cơ quan công

Tại nhiều nước, chính phủ lưu giữ rất nhiều dữ liệu về công dân như giấy khai sinh, chứng minh nhân dân (chính phủ cấp cho công dân ngay từ đầu), dữ liệu sinh trắc học v.v. Chính phủ Ấn Độ năm ngoái đã triển khai một trong những chương trình ID sinh trắc học lớn nhất với khoảng 1 tỷ người.

Điều thú vị là tại Davos năm nay trong cuộc trò chuyện về "Setting the rules for the AI race", đại diện chính phủ Ấn Độ đã đề cập rằng dữ liệu thuộc về các thực thể công/chính phủ. Chính phủ có thể cho phép các thực thể công/tư tiếp cận dữ liệu cá nhân.

Khi bạn đi du lịch (hoặc xin visa), nhiều nước yêu cầu bạn nộp dữ liệu sinh trắc học. Sau khi bạn nộp dữ liệu và ký một số giấy tờ, có khả năng bạn bắt đầu chia sẻ dữ liệu sinh trắc học với các chính phủ nước ngoài đó.

Dữ liệu quan sát và suy luận/dự đoán

Báo cáo của Diễn đàn Kinh tế Thế giới data policy in the Fourth Industrial Revolution đề xuất rằng chúng ta cần xem xét bối cảnh trong cuộc trò chuyện. Câu trả lời cho câu hỏi sở hữu dữ liệu quan sát/dữ liệu suy luận không đơn giản.

"Dữ liệu quan sát: sở thích duyệt web, video giám sát, bản ghi chi tiết cuộc gọi v.v.

Dữ liệu suy luận: điểm tín dụng, hồ sơ người tiêu dùng, dự đoán luồng giao thông, mô hình lan truyền bệnh truyền nhiễm, quảng cáo nhắm mục tiêu v.v.

Khi trải qua cuộc sống hàng ngày, chúng ta sử dụng các dịch vụ khác nhau và để lại rất nhiều "dữ liệu quan sát" với các doanh nghiệp khác nhau. Vậy các doanh nghiệp này có sở hữu dữ liệu này không? Điều này có thể từ bệnh viện, hãng hàng không, nhà hàng, dịch vụ đi chung xe v.v. Trong giới quảng cáo, doanh nghiệp thường gọi loại dữ liệu này là dữ liệu bên thứ nhất, dường như cho thấy họ có thể sử dụng nó. Nhưng có thể không? Nếu bạn sử dụng định nghĩa dữ liệu cá nhân của GDPR Liên minh Châu Âu, thì miễn là dữ liệu có thể được sử dụng để nhận dạng một người, người đó sở hữu dữ liệu. Nếu dữ liệu được ẩn danh hoặc trải qua pseudonymisation thì lại là vấn đề khác.

Một điều cần lưu ý là chúng ta đã để lại rất nhiều dữ liệu hành vi, kinh tế từ lâu. Điều thay đổi trong thập kỷ qua là tiến bộ trong big data và machine learning. Giờ đây tương đối dễ dàng/rẻ hơn cho các công ty lưu trữ, xử lý lượng dữ liệu khổng lồ và đưa ra dự đoán. Bất kỳ recommendation engine nào (như Amazon) về cơ bản là vậy.

Quyền của bạn là gì?

Đây là nơi tôi thực sự thích sự diễn đạt rõ ràng từ quy định Liên minh Châu Âu. Tôi không tranh luận liệu họ đúng hay sai ở đây, ít nhất chưa phải ở bài đầu tiên này. GDPR Châu Âu thiết lập các quyền sau cho người tiêu dùng:

• Mỗi người sở hữu dữ liệu cá nhân của chính mình
• Minh bạch với sự đồng ý: Các công ty cần xin phép rõ ràng để lưu trữ và xử lý dữ liệu cá nhân một cách minh bạch và dễ hiểu
• Bảo mật: Dữ liệu cá nhân phải được bảo vệ bằng các biện pháp bảo mật hợp lý.
• Quyền rút lại: bất cứ lúc nào, chúng ta có thể rút lại sự đồng ý cho dữ liệu của mình được xử lý hoặc sử dụng
• Thông tin và quyền truy cập dữ liệu cá nhân
• Quyền chỉnh sửa
• Quyền hạn chế xử lý
• Quyền chuyển đổi dữ liệu
• v.v.

Tất nhiên, có nhiều ngoại lệ và miễn trừ chi tiết được GDPR mô tả.

The California Consumer Privacy, luật bảo vệ dữ liệu cá nhân tại Singapore và các luật quyền riêng tư khác dù không toàn diện bằng, cũng nói về các quyền tương tự. Đó là về bài viết này.

Tiếp theo, tôi sẽ xem xét một số chủ đề phức tạp hơn trong các bài tiếp theo:

• GDPR của Liên minh Châu Âu có quá chi tiết không?
• Chúng ta nên có luật quyền riêng tư dữ liệu toàn cầu với các chế độ pháp lý, mô hình kinh tế khác nhau trên toàn cầu không? Nếu không, cách tiếp cận toàn cầu nên là gì với bản chất kết nối/phụ thuộc lẫn nhau của thế giới?
• Chúng ta tiến về phía trước như thế nào?
• Cân bằng giữa quyền riêng tư dữ liệu và đổi mới, bắt đầu với y tế và giáo dục?
• Làm thế nào để tránh độc quyền dữ liệu ở cấp địa phương, quốc gia và toàn cầu?

Thân mến,

Chandler