Với dữ liệu cá nhân, người dân thường có bốn quyền cơ bản mà quy định bảo vệ dữ liệu ở nhiều nơi đều ghi nhận dưới dạng này hay dạng khác: quyền được biết bên nào đang giữ dữ liệu gì về mình và dùng vào việc gì; quyền yêu cầu sửa khi thông tin sai; quyền yêu cầu xoá khi không còn lý do để giữ; và quyền rút lại sự đồng ý đã cho trước đó. Phạm vi cụ thể và ngoại lệ tuỳ quy định từng nơi, nên khi có tranh chấp lớn vẫn cần hỏi người làm luật.
Thời trí tuệ máy, những quyền này quan trọng hơn vì dữ liệu không chỉ nằm trong sổ sách mà còn được dùng để chấm điểm, phân loại, gợi ý, thậm chí dạy máy. Biết quyền là một chuyện; viết yêu cầu sao cho được trả lời, và hiểu chỗ nào quyền gặp giới hạn, là chuyện khác. Bài này đi vào phần thứ hai.
Bốn quyền nhìn qua tình huống thật
Một cô giáo tiểu học ở Quận 3 tuần nào cũng nhận vài cuộc gọi mời vay tiêu dùng, mời mua bảo hiểm, gọi đúng tên cô. Cô chưa từng đăng ký với công ty nào trong số đó. Đây là tình huống của quyền được biết: cô có quyền hỏi bên gọi lấy thông tin của cô từ đâu. Câu trả lời, nếu có, sẽ cho cô biết chỗ nào đã để lộ hay chia sẻ dữ liệu của mình.
Anh tài xế giao hàng ở Thủ Đức bị ứng dụng ghi nhận sai một lần giao trễ, điểm đánh giá tụt, ít được phân đơn hơn. Đó là quyền được sửa: dữ liệu sai về mình đang ảnh hưởng tới thu nhập, và anh có quyền yêu cầu xem lại, đính chính.
Một sinh viên đã xoá ứng dụng học tiếng Anh từ lâu nhưng vẫn nhận email quảng cáo, và lo những đoạn ghi âm giọng nói khi luyện phát âm vẫn nằm đâu đó. Đó là quyền yêu cầu xoá: khi không còn dùng dịch vụ, không còn lý do chính đáng để bên kia giữ.
Chị chủ tiệm may ở Phú Nhuận từng đồng ý cho một ứng dụng bán hàng dùng dữ liệu cửa hàng để "cải tiến dịch vụ". Giờ chị biết điều đó có thể bao gồm dạy máy, và chị không muốn nữa. Đó là quyền rút lại đồng ý: đồng ý không phải là cho luôn, mà là cho có điều kiện và có thể lấy lại.
Ai đang giữ dữ liệu của một người bình thường?
Ngân hàng. Giữ giấy tờ tuỳ thân, lịch sử giao dịch, thu nhập; quyền sửa quan trọng khi thông tin sai làm hồ sơ vay bị từ chối.
Nhà mạng di động. Biết số máy, vị trí kết nối, gói cước; là chỗ nên hỏi khi nghi số mình bị dùng sai.
Ứng dụng giao đồ ăn, gọi xe. Giữ địa chỉ nhà, nơi làm, giờ giấc đi lại; quyền xoá hữu ích khi thôi dùng.
Sàn thương mại điện tử. Biết mình mua gì, ở đâu, chi bao nhiêu; dữ liệu này hay được dùng để gợi ý và chấm điểm khách.
Siêu thị, chuỗi cửa hàng tích điểm. Đổi lấy vài phần trăm giảm giá là cả thói quen mua sắm của gia đình.
Phòng khám, bệnh viện. Giữ dữ liệu nhạy cảm nhất; quyền được biết dữ liệu dùng vào việc gì là quyền nên hỏi đầu tiên.
Trường học của con. Giữ hồ sơ học tập, ảnh, có khi cả dữ liệu sức khoẻ; phụ huynh có quyền hỏi ứng dụng liên lạc lưu dữ liệu ở đâu.
Ban quản lý chung cư. Giữ ảnh khuôn mặt, biển số xe, thẻ ra vào; hỏi rõ thời gian lưu camera và ai được xem.
Nơi làm việc. Giữ hồ sơ nhân sự, bảng lương, có nơi giữ cả dữ liệu chấm công bằng vân tay hay khuôn mặt.
Ứng dụng có trí tuệ máy. Giữ nội dung mình gõ, ảnh mình tải lên, giọng nói mình ghi; quyền rút lại đồng ý dạy máy là quyền đáng dùng nhất ở đây.
Các bên mua bán dữ liệu. Không ai đăng ký với họ, nhưng họ vẫn có số điện thoại, tên, nghề nghiệp; đây là nhóm khó đòi quyền nhất.
Cách viết yêu cầu để được trả lời
Gửi bằng văn bản có lưu vết. Email, tin nhắn qua kênh chính thức của doanh nghiệp, hoặc thư có ký nhận; gọi điện thì không có bằng chứng.
Ghi rõ mình là ai. Họ tên, số điện thoại hoặc email đã đăng ký với dịch vụ, để bên kia tìm đúng hồ sơ.
Nói thẳng yêu cầu ngay câu đầu. "Đề nghị quý công ty cho biết", "đề nghị xoá", "đề nghị sửa", không vòng vo kể chuyện trước.
Mỗi thư một yêu cầu chính. Gộp năm chuyện vào một thư dễ bị trả lời một chuyện rồi bỏ qua bốn chuyện còn lại.
Nêu cụ thể dữ liệu nào. "Đoạn ghi âm giọng nói trong ứng dụng" rõ hơn "toàn bộ thông tin cá nhân".
Đề nghị thời hạn hợp lý. Hỏi họ sẽ trả lời trong bao lâu; quy định nhiều nơi có thời hạn phản hồi, nhưng con số cụ thể nên kiểm tra theo nơi mình ở.
Yêu cầu xác nhận bằng văn bản. Xin họ xác nhận đã sửa, đã xoá, đã ngừng dùng, để sau này có cơ sở.
Giữ bình tĩnh trong lời lẽ. Thư lịch sự, rõ ràng thường được xử lý nhanh hơn thư giận dữ.
Đừng gửi kèm giấy tờ không cần. Bên kia có thể cần xác minh danh tính, nhưng không cần cả ảnh căn cước hai mặt nếu chỉ hỏi về email quảng cáo.
Lưu lại mọi thư qua lại. Chụp màn hình, lưu email; nếu phải khiếu nại lên trên, đây là hồ sơ của mình.
Nhắc lại nếu quá hạn. Một thư nhắc ngắn, dẫn lại thư đầu và ngày gửi.
Biết nơi phản ánh tiếp. Nếu doanh nghiệp không trả lời, có thể phản ánh với cơ quan quản lý về bảo vệ dữ liệu hoặc bảo vệ người tiêu dùng; hỏi kênh chính thức tại địa phương.
Những chỗ quyền gặp giới hạn
Quyền xoá không phải lúc nào cũng tuyệt đối. Ngân hàng phải giữ hồ sơ giao dịch trong một thời gian theo quy định tài chính, bệnh viện phải lưu bệnh án theo quy định chuyên môn, doanh nghiệp phải giữ hoá đơn cho việc thuế. Khi đó họ có thể từ chối xoá phần đó, nhưng nên giải thích lý do và vẫn phải ngừng dùng dữ liệu vào việc khác như quảng cáo.
Giới hạn khó hơn nằm ở dữ liệu đã dùng để dạy máy. Khi một đoạn văn, một giọng nói đã được dùng trong một đợt huấn luyện, nó không nằm trong mô hình như một tệp riêng có thể nhấc ra. Rút lại đồng ý thường chỉ có hiệu lực với các đợt huấn luyện về sau. Đây là chỗ các nhà làm chính sách nhiều nơi còn đang bàn: có nên buộc huấn luyện lại, hay chấp nhận giới hạn kỹ thuật này kèm bồi hoàn theo cách khác.
Giới hạn thứ ba là dữ liệu đã lan qua nhiều bên. Số điện thoại của cô giáo kia có thể đã qua tay năm bảy công ty, mỗi bên mua lại từ bên trước. Yêu cầu một bên xoá không làm các bên khác xoá theo. Người dân phải đi từng chỗ, và nhiều chỗ thậm chí không rõ là ai. Đó là lý do nhiều người cho rằng gánh nặng không nên dồn hết lên vai từng cá nhân, mà cần cơ chế kiểm tra, xử phạt bên mua bán dữ liệu trái phép.
Nói vậy không có nghĩa là quyền vô ích. Nhiều doanh nghiệp tử tế sẽ xử lý nhanh khi nhận yêu cầu rõ ràng, và mỗi yêu cầu được gửi đi là một tín hiệu cho doanh nghiệp biết khách hàng có quan tâm.
Thói quen giữ dữ liệu của mình gọn gàng
Dùng email riêng cho đăng ký linh tinh. Một địa chỉ phụ cho khuyến mãi, ứng dụng thử; email chính chỉ dùng cho ngân hàng, công việc.
Hỏi "để làm gì" trước khi đưa số điện thoại. Cửa hàng xin số để tích điểm thì cân nhắc có cần không.
Đọc ô đánh dấu sẵn. Nhiều mẫu đăng ký đánh dấu sẵn ô "đồng ý nhận quảng cáo, chia sẻ cho đối tác"; bỏ chọn trước khi gửi.
Xoá tài khoản thay vì chỉ gỡ ứng dụng. Tìm mục xoá tài khoản trong phần cài đặt; gỡ ứng dụng không xoá dữ liệu trên máy chủ.
Rà quyền ứng dụng trên điện thoại. Ứng dụng đèn pin không cần danh bạ và micro.
Ghi lại nơi đã đăng ký. Một danh sách đơn giản giúp biết cần gửi yêu cầu cho những ai khi muốn dọn dẹp.
Không chụp giấy tờ gửi qua mạng xã hội. Ảnh căn cước gửi qua tin nhắn có thể nằm trong nhiều máy, nhiều nhóm chat.
Cẩn thận với khảo sát có quà. Phiếu khảo sát hỏi thu nhập, nghề nghiệp, số con đổi lấy voucher là cách gom dữ liệu phổ biến.
Hỏi về tuỳ chọn dạy máy. Với ứng dụng có trí tuệ máy, tìm xem có công tắc cho phép hay không cho phép dùng nội dung của mình để huấn luyện.
Dạy cha mẹ lớn tuổi. Người lớn tuổi hay đọc số căn cước, mã xác nhận qua điện thoại cho người lạ; vài câu nhắc có thể tránh mất tiền.
Báo cho người thân khi bị lộ. Kẻ lừa đảo thường dùng thông tin bị lộ để gọi cho cả gia đình.
Câu hỏi thường gặp
Doanh nghiệp có bắt buộc phải xoá dữ liệu khi mình yêu cầu không?
Không phải lúc nào cũng bắt buộc, vì có dữ liệu phải lưu theo quy định ngành như hồ sơ ngân hàng, bệnh án, hoá đơn. Nhưng họ nên giải thích lý do giữ lại và ngừng dùng dữ liệu đó vào việc khác như quảng cáo.
Làm sao biết công ty gọi quảng cáo lấy số của mình từ đâu?
Hỏi thẳng trong cuộc gọi và đề nghị trả lời bằng văn bản qua kênh chính thức của công ty đó. Không phải lúc nào cũng có câu trả lời, nhưng lưu lại tên công ty và thời gian gọi giúp ích khi phản ánh lên cơ quan quản lý.
Rút lại đồng ý có xoá được dữ liệu đã dùng để dạy máy không?
Thường là không gỡ được khỏi mô hình đã huấn luyện, vì dữ liệu không nằm trong đó như một tệp riêng. Rút lại đồng ý chủ yếu có hiệu lực với các lần huấn luyện và sử dụng về sau.
Có cần luật sư để gửi yêu cầu về dữ liệu cá nhân không?
Với yêu cầu thông thường như xem, sửa, xoá, người dân tự viết thư được. Chỉ khi có thiệt hại lớn hoặc tranh chấp kéo dài mới cần hỏi luật sư.
Ghi âm giọng nói trong ứng dụng có phải dữ liệu cá nhân không?
Có. Giọng nói nhận ra được một người, và còn có thể bị dùng để giả giọng. Người dùng nên hỏi ứng dụng lưu ghi âm bao lâu, dùng vào việc gì, và có tuỳ chọn xoá không.
