Lưu ở đâu không quan trọng bằng xin phép người dùng

....

Để bảo vệ người dùng trước các vụ rò rỉ thông tin của nhiều dịch vụ như Facebook, thậm chí lộ cả thông tin thẻ tín dụng ở nhiều trang thương mại điện tử, dự thảo nghị định cần xác lập thêm một nguyên tắc mà nay EU và nhiều nước khác đã luật hóa: doanh nghiệp phải xin phép người dùng trước khi thu thập dữ liệu người dùng, được sự đồng ý rõ ràng mới tiến hành, đồng thời cần nói rõ dữ liệu thu thập nhằm mục đích gì, có trao cho bên thứ ba để kinh doanh, đổi chác hay không. Luật An ninh mạng có nói “Chính phủ quy định chi tiết” việc doanh nghiệp thu thập, khai thác, phân tích, xử lý dữ liệu về thông tin cá nhân nên nghị định hoàn toàn có thể thêm nội dung này.

Quy định bảo vệ dữ liệu chung (GDPR) của EU cấm doanh nghiệp cung cấp dịch vụ thu thập nhiều loại dữ liệu như dữ liệu sinh trắc học nhằm mục đích nhận dạng một người nào đó, giới tính hay xu hướng tình dục, gốc gác chủng tộc... Các dữ liệu cá nhân khác chỉ được thu thập và xử lý khi có sự đồng ý của người dùng, phải cung cấp thông tin như bên thu thập là ai, thu thập nhằm đáp ứng yêu cầu gì, cơ sở pháp lý của yêu cầu đó là gì, ai sẽ nhận dữ liệu, dữ liệu lưu trong bao lâu... Đáng chú ý, quan điểm của EU là chỉ cho phép doanh nghiệp dịch vụ lưu dữ liệu khi cần xử lý, xử lý xong hay nhu cầu chấm dứt thì phải xóa ngay dữ liệu đó đi. GDPR đặc biệt nghiêm khắc với dữ liệu của trẻ em, khi bên thu thập phải có sự đồng ý của ba mẹ hay người giám hộ trẻ.

Một điểm khác cần nhấn mạnh trong các văn bản liên quan đến an ninh mạng: đó là quyền của người dùng được truy cập dễ dàng thông tin doanh nghiệp đã thu thập về mình và quyền yêu cầu doanh nghiệp xóa thông tin đó đi. Người dùng cũng có quyền yêu cầu nơi thu thập dữ liệu chỉnh sửa thông tin nếu phát hiện không chính xác, chưa hoàn chỉnh. Và một khi doanh nghiệp cung ứng dịch vụ bị tấn công mạng, bị rò rỉ thông tin thì trách nhiệm của họ là thông báo ngay, đầy đủ đến người dùng, kèm theo là biện pháp khắc phục.

...

Mời đọc toàn bài ở đây: 

Xa hơn tranh chấp Vinasun - Grab

Nếu Vinasun dùng Luật cạnh tranh để kiện Grab, người viết bài này sẽ ủng hộ 100% và tin chắc công lý cũng như công luận sẽ đứng về phía Vinasun. Này nhé, Luật cạnh tranh 2004 cũng như Luật cạnh tranh 2018 đều cấm “Bán hàng hóa, cung ứng dịch vụ dưới giá thành toàn bộ nhằm loại bỏ đối thủ cạnh tranh”.

Thiết nghĩ chứng minh Grab tính giá cước dưới giá thành là không khó - theo thông tin từ báo chí, doanh nghiệp này đã lỗ tổng cộng hơn 1.700 tỉ đồng trong 4 năm hoạt động, mức lỗ ngày càng tăng. Chứng minh Grab là công ty vận tải chứ không chỉ là công ty công nghệ cũng không khó: Nếu chỉ là công ty công nghệ, vì sao ghi nhận toàn bộ doanh thu từ khách hàng là doanh thu của Grab? Nếu chỉ là công ty công nghệ, vì sao Grab có những khoản lỗ lớn, bao gồm cả tiền trả cho lái xe?

Bán phá giá để dìm chết đối thủ cạnh tranh là lối chơi không đẹp, chẳng khác nào lấy tiền từ các nhà đầu tư, san sẻ cho khách hàng (trợ giá), lái xe (trợ cấp) để chiếm thị phần, đẩy giá trị thị trường của họ lên cao và hưởng lợi từ thị giá cao này!

Thế nhưng lập luận của Vinasun tại phiên tòa chẳng khác nào là lập luận thay cho ông Nhà nước đi soi Grab làm đúng luật hay chưa (vi phạm đề án 24), đóng thuế bao nhiêu, thậm chí lo cả chuyện Grab sẽ “tháo chạy” như Uber(?).

Mời đọc tiếp trên tờ Tuổi Trẻ cuối tuần:

Hiểu dự thảo Nghị định về an ninh mạng như thế nào?

Hiểu dự thảo Nghị định về an ninh mạng như thế nào?

Dự thảo Nghị định quy định chi tiết một số điều của Luật An ninh mạng chủ yếu nói đến hệ thống thông tin quan trọng về an ninh quốc gia, chỉ có Chương 5 là liên quan trực tiếp đến doanh nghiệp và người dân.

Điều 25 đặt ra 4 điều kiện mà doanh nghiệp khi hội đủ thì phải lưu trữ dữ liệu và đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam.

Điều kiện thứ nhất hầu như bao quát hết mọi doanh nghiệp nào có dịch vụ trên mạng Internet; chẳng hạn dịch vụ lưu trữ (như Dropbox); Thương mại điện tử (như Amazon); Mạng xã hội (như Facebook); Dịch vụ viễn thông (như Viber); Thư điện tử (như Gmail)…

Điều kiện thứ hai cũng có thể bao quát hết các doanh nghiệp này vì một khi họ có thu thập thông tin về người dùng (dữ liệu về thông tin cá nhân) thì thông thường họ cũng khai thác, phân tích, xử lý các loại dữ liệu này. Tuy nhiên ở đây cần lưu ý các dữ liệu cũng bao gồm thông tin do người dùng tải lên, đồng bộ hoặc nhập từ thiết bị - có nghĩa nội dung đưa lên Facebook, nội dung trao đổi qua Viber, nội dung lưu trên Dropbox hay nội dung thư điện tử trên Gmail cũng bao gồm.

Điều kiện thứ ba loại trừ khá nhiều doanh nghiệp trên (như Amazon; các doanh nghiệp cung cấp dịch vụ khác như Netflix, Spotify cũng không liên quan), trừ các doanh nghiệp cung ứng dịch vụ mà người dùng có tương tác, tức người dùng có thể đăng tải nội dung như Facebook, YouTube, Viber, Gmail… vì chỉ cần một hai người dùng trong số hàng triệu người dùng vi phạm những điểm nêu trong Luật An ninh mạng thì đều bị quy trách nhiệm như “Xuyên tạc lịch sử”; “Thông tin sai sự thật gây hoang mang trong nhân dân”... Đó là vì họ đã “Để cho người sử dụng dịch vụ thực hiện hành vi được quy định tại Khoản 1, 2 Điều 8 Luật An ninh mạng”.

Điều kiện thứ tư đặt ra một yêu cầu ngược. Các nơi ví dụ như Facebook phải “cung cấp thông tin người dùng cho lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an khi có yêu cầu bằng văn bản để phục vụ điều tra, xử lý hành vi vi phạm pháp luật về an ninh mạng”. Nếu họ cung cấp xem như không hội đủ điều kiện thứ tư nên khỏi lưu trữ dữ liệu, khỏi mở văn phòng tại Việt Nam. Nếu họ từ chối cung cấp sẽ được xem là “vi phạm quy định tại Khoản 4 Điều 8, điểm a hoặc điểm b khoản 2 Điều 26 Luật An ninh mạng” và như thế là hội đủ cả 4 điều kiện!

Ở đây ngoài việc cung cấp thông tin còn có việc phải xóa nội dung được xem là xấu, độc hại. Xóa thì thôi; không xóa là vi phạm nên xem như hội đủ điều kiện. Xem ra Nghị định được soạn rất khéo, rất thông minh. Doanh nghiệp nước ngoài khó lòng kêu ca gì nữa vì yêu cầu lưu dữ liệu và mở văn phòng ở Việt Nam không phải áp dụng cho tất cả. Chỉ áp dụng yêu cầu này cho doanh nghiệp nào để người dùng vi phạm Luật An ninh mạng và không “hợp tác” để “khắc phục” theo quy định tại Luật An ninh mạng. Nói cách khác dự thảo Nghị định này đúng như tên gọi của nó là “quy định chi tiết một số điều” mà thôi, nó không mở rộng, không làm nặng hơn Luật An ninh mạng.