Phạm Thanh Bình✔
Writer
Cơ quan Bảo vệ Dữ liệu Na Uy đã phạt Xandr, công ty công nghệ quảng cáo thuộc Microsoft, 92 triệu kroner Na Uy, tương đương khoảng 8,6 triệu euro hay 264 tỷ đồng. Đây là mức phạt cao nhất từ trước đến nay mà cơ quan này từng áp dụng, liên quan đến việc chia sẻ trái phép dữ liệu cá nhân nhạy cảm của người dùng ứng dụng hẹn hò Grindr.
Theo cơ quan quản lý, dữ liệu của hàng nghìn người dùng tại Na Uy đã bị chia sẻ khi chưa có cơ sở pháp lý phù hợp. Những thông tin này có thể tiết lộ xu hướng tình dục của người dùng, thuộc nhóm dữ liệu cá nhân được pháp luật bảo vệ đặc biệt.
Line Coll, người đứng đầu Cơ quan Bảo vệ Dữ liệu Na Uy, cho biết mức phạt nghiêm khắc phản ánh tính chất nghiêm trọng của các vi phạm. Bà nhấn mạnh mỗi doanh nghiệp phải tự chịu trách nhiệm về tính hợp pháp trong hoạt động xử lý dữ liệu, thay vì đổ lỗi cho đối tác.
Vụ việc bắt đầu vào năm 2020, khi Hội đồng Bảo vệ Người tiêu dùng Na Uy gửi đơn khiếu nại về Xandr, công ty công nghệ quảng cáo khi đó có tên AppNexus. Xandr hiện thuộc sở hữu của Microsoft, nhưng tại thời điểm xảy ra vi phạm, công ty chưa phải là công ty con của tập đoàn này.
Cơ quan quản lý kết luận Xandr không có cơ sở pháp lý để xử lý dữ liệu cá nhân của người dùng Grindr tại Na Uy. Theo kết quả điều tra, vi phạm diễn ra từ tháng 7/2018 đến tháng 4/2020, kéo dài gần hai năm.
Theo cơ quan quản lý Na Uy, Xandr tham gia vào hệ thống đấu giá quảng cáo thời gian thực, trong đó công ty vừa đóng vai trò bên mua, vừa là bên bán quảng cáo. Khi người dùng mở Grindr, dữ liệu cá nhân của họ có thể được chuyển qua hệ thống của Xandr đến hàng nghìn công ty tham gia mạng lưới quảng cáo.
Đấu giá quảng cáo thời gian thực, hay Real-Time Bidding (RTB), là công nghệ cho phép các nhà quảng cáo cạnh tranh tự động để giành quyền hiển thị quảng cáo cho một người dùng cụ thể. Để phục vụ việc nhắm mục tiêu, hệ thống có thể chia sẻ dữ liệu về người dùng giữa nhiều bên. Quá trình này diễn ra gần như tức thời và phần lớn không hiển thị rõ ràng cho người dùng.
Cơ quan Bảo vệ Dữ liệu Na Uy cho rằng cơ chế trên khiến thông tin cá nhân có thể được truyền đến nhiều doanh nghiệp mà người dùng khó biết dữ liệu đã đi đâu, được lưu trữ ra sao hoặc sử dụng vào mục đích gì.
Line Coll cảnh báo một khi dữ liệu cá nhân đã được chia sẻ, việc theo dõi đường đi và kiểm soát cách sử dụng chúng trở nên rất khó khăn. Khi kết hợp với những nguồn dữ liệu khác, thông tin ban đầu còn có thể được dùng để xây dựng hồ sơ chi tiết về đời sống của một cá nhân.
Theo kết luận điều tra, Xandr không xác minh liệu người dùng có thực sự đưa ra sự đồng ý hợp lệ cho việc xử lý dữ liệu nhạy cảm hay không, đồng thời không thực hiện các biện pháp cần thiết để bảo đảm hoạt động của mình tuân thủ pháp luật.
Cơ quan quản lý xác định Xandr và Grindr là các bên cùng kiểm soát dữ liệu. Điều này đồng nghĩa trách nhiệm pháp lý không thể được chuyển hoàn toàn từ doanh nghiệp này sang doanh nghiệp khác.
Thông qua vụ việc, cơ quan quản lý muốn nhấn mạnh rằng các công ty phải chứng minh được cơ sở pháp lý cho việc xử lý dữ liệu cá nhân của mình. Sự thiếu minh bạch trong hệ sinh thái quảng cáo trực tuyến có thể khiến người dùng mất quyền kiểm soát đối với những thông tin nhạy cảm nhất.
Đây không phải lần đầu Grindr bị cơ quan chức năng Na Uy xử lý vì vấn đề tương tự. Năm 2021, ứng dụng này từng bị phạt 65 triệu kroner Na Uy vì các vi phạm liên quan đến việc chia sẻ dữ liệu cá nhân. Vụ việc cũng dẫn đến một phán quyết của Tòa phúc thẩm Borgarting.
Theo cơ quan này, Xandr là doanh nghiệp lớn trong lĩnh vực công nghệ quảng cáo, với mô hình kinh doanh phụ thuộc đáng kể vào việc xử lý dữ liệu cá nhân. Việc chia sẻ dữ liệu trái phép mang lại lợi ích trực tiếp cho hoạt động kinh doanh của công ty, do đó mức phạt cần đủ sức răn đe cả Xandr lẫn các doanh nghiệp khác trên thị trường.
Mức phạt được tính dựa trên doanh thu hằng năm của Xandr, không phải doanh thu của toàn bộ Microsoft, bởi Xandr chưa thuộc Microsoft vào thời điểm xảy ra vi phạm.
Xandr có ba tuần để kháng cáo kể từ khi nhận được quyết định xử phạt.
Vụ việc một lần nữa cho thấy rủi ro về quyền riêng tư trong ngành quảng cáo số, nơi dữ liệu người dùng có thể được chuyển qua nhiều doanh nghiệp chỉ trong vài phần nghìn giây. Với những thông tin có khả năng tiết lộ xu hướng tình dục hoặc các đặc điểm nhạy cảm khác, việc thu thập sự đồng ý hợp lệ và chứng minh tính hợp pháp của quá trình xử lý dữ liệu không thể chỉ được xem là trách nhiệm của ứng dụng ban đầu.
Theo cơ quan quản lý, dữ liệu của hàng nghìn người dùng tại Na Uy đã bị chia sẻ khi chưa có cơ sở pháp lý phù hợp. Những thông tin này có thể tiết lộ xu hướng tình dục của người dùng, thuộc nhóm dữ liệu cá nhân được pháp luật bảo vệ đặc biệt.
Line Coll, người đứng đầu Cơ quan Bảo vệ Dữ liệu Na Uy, cho biết mức phạt nghiêm khắc phản ánh tính chất nghiêm trọng của các vi phạm. Bà nhấn mạnh mỗi doanh nghiệp phải tự chịu trách nhiệm về tính hợp pháp trong hoạt động xử lý dữ liệu, thay vì đổ lỗi cho đối tác.
Vụ việc bắt đầu vào năm 2020, khi Hội đồng Bảo vệ Người tiêu dùng Na Uy gửi đơn khiếu nại về Xandr, công ty công nghệ quảng cáo khi đó có tên AppNexus. Xandr hiện thuộc sở hữu của Microsoft, nhưng tại thời điểm xảy ra vi phạm, công ty chưa phải là công ty con của tập đoàn này.
Cơ quan quản lý kết luận Xandr không có cơ sở pháp lý để xử lý dữ liệu cá nhân của người dùng Grindr tại Na Uy. Theo kết quả điều tra, vi phạm diễn ra từ tháng 7/2018 đến tháng 4/2020, kéo dài gần hai năm.
Dữ liệu người dùng được chuyển qua hệ thống quảng cáo như thế nào?
Grindr là ứng dụng hẹn hò dựa trên vị trí, hướng đến người đồng tính nam, song tính, chuyển giới và những người thuộc cộng đồng LGBTQ+. Việc sử dụng ứng dụng này tự nó có thể tiết lộ thông tin về xu hướng tình dục, do đó dữ liệu liên quan cần được bảo vệ ở mức cao.Theo cơ quan quản lý Na Uy, Xandr tham gia vào hệ thống đấu giá quảng cáo thời gian thực, trong đó công ty vừa đóng vai trò bên mua, vừa là bên bán quảng cáo. Khi người dùng mở Grindr, dữ liệu cá nhân của họ có thể được chuyển qua hệ thống của Xandr đến hàng nghìn công ty tham gia mạng lưới quảng cáo.
Đấu giá quảng cáo thời gian thực, hay Real-Time Bidding (RTB), là công nghệ cho phép các nhà quảng cáo cạnh tranh tự động để giành quyền hiển thị quảng cáo cho một người dùng cụ thể. Để phục vụ việc nhắm mục tiêu, hệ thống có thể chia sẻ dữ liệu về người dùng giữa nhiều bên. Quá trình này diễn ra gần như tức thời và phần lớn không hiển thị rõ ràng cho người dùng.
Cơ quan Bảo vệ Dữ liệu Na Uy cho rằng cơ chế trên khiến thông tin cá nhân có thể được truyền đến nhiều doanh nghiệp mà người dùng khó biết dữ liệu đã đi đâu, được lưu trữ ra sao hoặc sử dụng vào mục đích gì.
Line Coll cảnh báo một khi dữ liệu cá nhân đã được chia sẻ, việc theo dõi đường đi và kiểm soát cách sử dụng chúng trở nên rất khó khăn. Khi kết hợp với những nguồn dữ liệu khác, thông tin ban đầu còn có thể được dùng để xây dựng hồ sơ chi tiết về đời sống của một cá nhân.
Xandr không thể chỉ dựa vào sự đồng ý của Grindr
Xandr lập luận rằng Grindr đã thu thập sự đồng ý của người dùng. Tuy nhiên, cơ quan quản lý Na Uy không chấp nhận việc công ty chỉ dựa vào cam kết của đối tác mà không tự kiểm tra tính hợp lệ của sự đồng ý đó.Theo kết luận điều tra, Xandr không xác minh liệu người dùng có thực sự đưa ra sự đồng ý hợp lệ cho việc xử lý dữ liệu nhạy cảm hay không, đồng thời không thực hiện các biện pháp cần thiết để bảo đảm hoạt động của mình tuân thủ pháp luật.
Cơ quan quản lý xác định Xandr và Grindr là các bên cùng kiểm soát dữ liệu. Điều này đồng nghĩa trách nhiệm pháp lý không thể được chuyển hoàn toàn từ doanh nghiệp này sang doanh nghiệp khác.
Thông qua vụ việc, cơ quan quản lý muốn nhấn mạnh rằng các công ty phải chứng minh được cơ sở pháp lý cho việc xử lý dữ liệu cá nhân của mình. Sự thiếu minh bạch trong hệ sinh thái quảng cáo trực tuyến có thể khiến người dùng mất quyền kiểm soát đối với những thông tin nhạy cảm nhất.
Đây không phải lần đầu Grindr bị cơ quan chức năng Na Uy xử lý vì vấn đề tương tự. Năm 2021, ứng dụng này từng bị phạt 65 triệu kroner Na Uy vì các vi phạm liên quan đến việc chia sẻ dữ liệu cá nhân. Vụ việc cũng dẫn đến một phán quyết của Tòa phúc thẩm Borgarting.
Mức phạt dựa trên quy mô hoạt động của Xandr
Khi quyết định mức phạt 92 triệu kroner Na Uy, cơ quan quản lý xem xét nhiều yếu tố, bao gồm thời gian vi phạm kéo dài gần hai năm, tính chất nhạy cảm của dữ liệu và lợi ích kinh tế mà Xandr có được từ hoạt động xử lý dữ liệu.Theo cơ quan này, Xandr là doanh nghiệp lớn trong lĩnh vực công nghệ quảng cáo, với mô hình kinh doanh phụ thuộc đáng kể vào việc xử lý dữ liệu cá nhân. Việc chia sẻ dữ liệu trái phép mang lại lợi ích trực tiếp cho hoạt động kinh doanh của công ty, do đó mức phạt cần đủ sức răn đe cả Xandr lẫn các doanh nghiệp khác trên thị trường.
Mức phạt được tính dựa trên doanh thu hằng năm của Xandr, không phải doanh thu của toàn bộ Microsoft, bởi Xandr chưa thuộc Microsoft vào thời điểm xảy ra vi phạm.
Xandr có ba tuần để kháng cáo kể từ khi nhận được quyết định xử phạt.
Vụ việc một lần nữa cho thấy rủi ro về quyền riêng tư trong ngành quảng cáo số, nơi dữ liệu người dùng có thể được chuyển qua nhiều doanh nghiệp chỉ trong vài phần nghìn giây. Với những thông tin có khả năng tiết lộ xu hướng tình dục hoặc các đặc điểm nhạy cảm khác, việc thu thập sự đồng ý hợp lệ và chứng minh tính hợp pháp của quá trình xử lý dữ liệu không thể chỉ được xem là trách nhiệm của ứng dụng ban đầu.
