GDPR là gì? Hướng dẫn đơn giản cho người xây dựng ứng dụng

GDPR (General Data Protection Regulation - Quy định Bảo vệ Dữ liệu Chung) là luật bảo vệ dữ liệu chính của Liên minh châu Âu. Luật này đặt ra quy tắc về cách các tổ chức thu thập, sử dụng, lưu trữ và chia sẻ dữ liệu cá nhân, tức là mọi thông tin về một người sống có thể được xác định, và trao cho người đó quyền đối với dữ liệu của chính họ, chẳng hạn quyền xem hoặc yêu cầu xóa. Luật áp dụng từ ngày 25 tháng 5 năm 2018, và có thể áp dụng cho doanh nghiệp ngoài EU nếu họ phục vụ người ở EU.

Không phải tư vấn pháp lý. Hướng dẫn này là phần giải thích chung giúp bạn hiểu những điều cơ bản và đặt câu hỏi tốt hơn. Nó không thay thế cho tư vấn về tình huống cụ thể của bạn. Để có chi tiết chính thức, hãy xem trang bảo vệ dữ liệu của Ủy ban châu Âu và hướng dẫn cho doanh nghiệp nhỏ của Ủy ban Bảo vệ Dữ liệu châu Âu.

Vì sao điều này quan trọng khi bạn xây dựng bằng AI

Các công cụ xây dựng bằng AI khiến việc thu thập dữ liệu trở nên dễ dàng. Chỉ một prompt là bạn có biểu mẫu đăng ký, biểu mẫu liên hệ, phân tích, tải tệp lên và một bảng quản trị liệt kê mọi người dùng. Mỗi thứ trong số đó đều thu thập dữ liệu cá nhân, và GDPR quan tâm đến tất cả.

Tin tốt là hầu hết những gì GDPR yêu cầu cũng là thực hành sản phẩm tốt:

• Chỉ thu thập những gì bạn thực sự cần.
• Cho người dùng biết bạn làm gì với dữ liệu đó.
• Giữ dữ liệu an toàn.
• Xóa dữ liệu khi bạn không còn cần nữa.
• Cho phép người dùng xem, chỉnh sửa hoặc xóa dữ liệu của họ.

Những điều này dễ thiết kế ngay từ đầu hơn nhiều so với việc gắn thêm sau khi ra mắt. Đặt đúng câu hỏi với công cụ xây dựng bằng AI ngay từ sớm sẽ giúp bạn tránh một đợt làm lại đau đớn sau này.

Một ví dụ đời thường

Hãy nghĩ về dữ liệu cá nhân như đồ đạc mà mọi người gửi lại cho bạn, giống như một quầy gửi đồ, nhưng dành cho thông tin. GDPR chính là nội quy của quầy gửi đồ đó:

• Chỉ nhận những thứ mà người gửi đồng ý gửi, vì một lý do họ hiểu được.
• Đừng lục túi để dùng vào việc khác.
• Giữ phòng được khóa cẩn thận.
• Trả lại đồ, hoặc bỏ đi, khi được yêu cầu hoặc khi bạn không còn cần đến chúng nữa.
• Nếu có gì bị mất, hãy báo cho đúng người một cách kịp thời.

Bạn chịu trách nhiệm về những chiếc áo khoác trong lúc chúng nằm trong tay mình, ngay cả khi bạn đã thuê người khác điều hành quầy.

Các ý chính

Dữ liệu cá nhân là gì

Ủy ban châu Âu định nghĩa dữ liệu cá nhân là mọi thông tin liên quan đến một cá nhân sống đã được xác định hoặc có thể được xác định. Định nghĩa này rất rộng. Nó bao gồm tên, địa chỉ email, địa chỉ nhà, địa chỉ IP, mã cookie và ảnh. Dữ liệu đã được "giả danh hóa" (pseudonymised), chẳng hạn tên được thay bằng mã, vẫn có thể là dữ liệu cá nhân nếu có thể liên kết ngược lại với một người.

Một số loại dữ liệu được bảo vệ thêm, bao gồm dữ liệu sức khỏe, dữ liệu sinh trắc học, nguồn gốc chủng tộc hoặc dân tộc, và quan điểm chính trị.

Luật áp dụng với ai

Theo Ủy ban, GDPR áp dụng cho các tổ chức được thành lập tại EU, và cho các tổ chức ngoài EU cung cấp hàng hóa hoặc dịch vụ cho người ở EU (có phí hoặc miễn phí) hoặc theo dõi hành vi của họ. Một startup ở Mỹ hay UAE có khách hàng châu Âu rất có thể nằm trong phạm vi áp dụng. Vương quốc Anh có phiên bản riêng là UK GDPR, được xây dựng gần như hoàn toàn dựa trên GDPR.

Các nguyên tắc

GDPR được xây dựng trên một danh sách ngắn các nguyên tắc. Nói đơn giản:

Cơ sở pháp lý

Bạn cần một lý do pháp lý, gọi là "cơ sở pháp lý" (lawful basis), cho mỗi cách sử dụng dữ liệu cá nhân. GDPR liệt kê sáu cơ sở: sự đồng ý, thực hiện hợp đồng, nghĩa vụ pháp lý, lợi ích sống còn, nhiệm vụ vì lợi ích công cộng, và lợi ích hợp pháp. Sự đồng ý chỉ là một trong số đó. Ví dụ, xử lý một đơn hàng để giao hàng thường dựa trên hợp đồng chứ không phải sự đồng ý. Cơ sở nào phù hợp là một đánh giá cần được đối chiếu với hướng dẫn chính thức.

Quyền của người dùng

Ủy ban liệt kê các quyền sau đây cho cá nhân:

• Được thông báo về cách dữ liệu của họ được sử dụng
• Được truy cập dữ liệu của họ
• Được chỉnh sửa dữ liệu
• Được xóa dữ liệu
• Được hạn chế việc xử lý
• Quyền di chuyển dữ liệu (nhận dữ liệu ở định dạng có thể sử dụng)
• Quyền phản đối
• Các quyền liên quan đến ra quyết định tự động và lập hồ sơ

Vi phạm dữ liệu

Nếu dữ liệu cá nhân bị rò rỉ và vi phạm có khả năng gây rủi ro cho quyền và tự do của con người, tổ chức thường phải thông báo cho cơ quan bảo vệ dữ liệu của mình mà không chậm trễ quá mức, và nếu khả thi, trong vòng 72 giờ kể từ khi biết về vi phạm. Trong một số trường hợp, những người bị ảnh hưởng cũng phải được thông báo.

Ví dụ minh họa: ứng dụng đặt lịch cho phòng tập yoga

Giả sử bạn đang xây dựng một ứng dụng đặt lịch cho một phòng tập yoga có khách hàng ở Đức. Đây là cách GDPR định hình ứng dụng đó.

Thu thập ít hơn. Biểu mẫu đăng ký hỏi tên, email và số điện thoại (không bắt buộc). Bản nháp đầu tiên cũng hỏi ngày sinh và địa chỉ nhà, nhưng không có gì trong ứng dụng dùng đến chúng, nên chúng bị xóa đi.

Dữ liệu sức khỏe cần được cẩn trọng. Phòng tập muốn hỏi về chấn thương. Đó là dữ liệu sức khỏe, một loại dữ liệu đặc biệt với quy tắc nghiêm ngặt hơn. Phòng tập quyết định xử lý việc này trực tiếp, nên ứng dụng không thu thập loại dữ liệu đó.

Minh bạch. Chính sách quyền riêng tư giải thích những gì được thu thập, vì sao, được giữ trong bao lâu, những bên nào khác xử lý dữ liệu (nhà cung cấp hosting, dịch vụ email, nhà cung cấp thanh toán) và cách liên hệ với phòng tập.

Tiếp thị được tách riêng. Đặt lịch một lớp học không đăng ký ai vào bản tin. Có một ô chọn riêng, để trống mặc định, dành cho việc đó.

Quyền trong sản phẩm. Khách hàng có thể xem và chỉnh sửa hồ sơ của mình, tải về lịch sử đặt lịch, và yêu cầu xóa từ trang tài khoản.

Thời gian lưu giữ. Các tài khoản không hoạt động được đánh dấu sau một khoảng thời gian nhất định và bị xóa nếu khách hàng không phản hồi. Phòng tập chọn khoảng thời gian đó.

Cookie. Cookie đăng nhập là cần thiết. Phần phân tích chỉ được tải sau khi khách truy cập đồng ý. Xem cookie là gì.

Bảo mật. Mật khẩu được hash, khu vực quản trị yêu cầu xác thực hai yếu tố, và chỉ chủ sở hữu được xuất danh sách khách hàng.

Giải thích các thuật ngữ thường gặp

Lỗi thường gặp và những hiểu lầm

• "Chúng tôi không ở EU nên luật không áp dụng." Luật có thể áp dụng tùy theo nơi người dùng của bạn ở.
• "GDPR nghĩa là phải có sự đồng ý cho mọi thứ." Sự đồng ý chỉ là một trong sáu cơ sở pháp lý, và thường không phải cơ sở phù hợp.
• "Có banner cookie là chúng tôi tuân thủ." Cookie chỉ là một phần nhỏ. Việc thu thập dữ liệu, bảo mật, quyền của người dùng và thời gian lưu giữ quan trọng hơn nhiều.
• "Host của chúng tôi tuân thủ GDPR nên chúng tôi cũng tuân thủ." Nhà cung cấp có thể giúp, nhưng bạn quyết định ứng dụng thu thập và làm gì với dữ liệu.
• Thu thập "phòng khi cần". Mỗi trường thừa là thêm một thứ phải bảo vệ, giải thích và xóa.
• Sao chép chính sách quyền riêng tư của trang khác. Nó phải mô tả đúng những gì ứng dụng của bạn thực sự làm.
• Làm cho việc xóa dữ liệu trở nên bất khả thi. Nếu không ai có thể xóa người dùng mà không cần lập trình viên, các yêu cầu về quyền sẽ trở thành tình huống khẩn cấp.

Nên yêu cầu công cụ xây dựng AI của bạn điều gì

• "Liệt kê mọi dữ liệu cá nhân mà ứng dụng này thu thập, được lưu ở đâu và vì sao cần đến nó."
• "Xóa mọi trường biểu mẫu mà chúng ta không dùng."
• "Thêm một trang tài khoản nơi người dùng có thể xem, chỉnh sửa và tải về dữ liệu của họ, và yêu cầu xóa."
• "Xây dựng một thao tác quản trị để xóa hoàn toàn một người dùng cùng các bản ghi liên quan, hoặc ẩn danh các bản ghi mà chúng ta buộc phải giữ."
• "Giữ việc đăng ký tiếp thị là một ô chọn riêng, để trống mặc định."
• "Không tải script phân tích hay tiếp thị trước khi có sự đồng ý."
• "Liệt kê mọi dịch vụ bên thứ ba nhận dữ liệu người dùng, để tôi có thể thêm chúng vào chính sách quyền riêng tư."
• "Giới hạn việc xuất dữ liệu quản trị cho vai trò chủ sở hữu và ghi lại ai đã xuất những gì."

Sau đó, hãy đọc cách viết điều khoản dịch vụ và chính sách quyền riêng tư và cách thêm sự đồng ý cho cookie.

GDPR và Mythex

Mythex cung cấp các khối xây dựng, không phải chứng nhận tuân thủ. Dữ liệu của ứng dụng bạn nằm trong cơ sở dữ liệu riêng của dự án và lưu trữ tệp khi bạn bật chúng, bạn sở hữu code, và với gói Pro bạn có thể xuất dự án nếu cần chuyển đi. Ứng dụng của bạn thu thập gì, giữ trong bao lâu và người dùng thực hiện quyền của họ ra sao là những quyết định bạn đưa ra, và bạn yêu cầu tác tử xây dựng. Trang tài liệu về quyền sở hữu dữ liệu giải thích những gì Mythex lưu trữ, và bảo mật cho ứng dụng bạn xây dựng cảnh báo không nên tuyên bố tuân thủ những gì bạn chưa có. Nếu bạn cần chi tiết cụ thể, chẳng hạn dữ liệu được lưu ở đâu hoặc một thỏa thuận xử lý dữ liệu, hãy hỏi bộ phận hỗ trợ Mythex trước khi ra mắt.

Câu hỏi thường gặp