GDPR và tài liệu: luật nói gì về việc tải PDF lên mạng

Bạn kéo một hóa đơn vào một công cụ trực tuyến miễn phí để nén nó lại. Trên đó có tên khách hàng, một địa chỉ, có thể cả mã số thuế. Năm giây sau bạn có một tệp nhỏ hơn và bạn làm việc khác. Vừa rồi có chuyện gì liên quan đến pháp lý vừa xảy ra không?

Theo GDPR, rất có thể là có. Và phần lớn mọi người chẳng bao giờ nghĩ tới, vì tài liệu trông vô hại còn công cụ thì trông miễn phí.

Đây không phải là tư vấn pháp lý. Tôi không phải luật sư của bạn và mỗi tình huống đều có chi tiết riêng. Nhưng hình hài của các quy tắc thì đáng để hiểu, vì nó thay đổi cách bạn nên xử lý những tài liệu chứa dữ liệu của người khác.

GDPR gọi điều gì là “xử lý”

Người ta hay cho rằng GDPR nói về cơ sở dữ liệu và danh sách tiếp thị. Định nghĩa thực tế rộng hơn nhiều. Xử lý gần như là bất cứ điều gì bạn làm với dữ liệu cá nhân: thu thập, lưu trữ, đọc, thay đổi, chia sẻ, xóa nó. Quy định nêu thẳng “tra cứu” và “sử dụng” là các hình thức xử lý.

Vậy nên khi PDF của bạn chứa dữ liệu cá nhân (một cái tên cộng với một số điện thoại đã là đủ) và bạn làm gì đó với tệp này, thì bạn đang xử lý dữ liệu cá nhân. Nén nó cũng tính. Gộp nó cũng tính. Chuyển đổi nó cũng tính.

Riêng điều đó không phải vấn đề. Doanh nghiệp xử lý dữ liệu cá nhân suốt cả ngày. Câu hỏi mà GDPR đặt ra là bạn làm việc đó như thế nào, và còn ai khác chạm vào dữ liệu trên đường đi.

Vì sao việc tải lên kéo theo một “bên xử lý”

Đây là chỗ mà phần đám mây trở nên quan trọng. Khi bạn tải hóa đơn đó lên một dịch vụ bên ngoài, tệp rời khỏi tầm kiểm soát của bạn và rơi vào máy chủ của người khác. Công ty đó giờ đây xử lý dữ liệu cá nhân thay mặt bạn. GDPR có một tên gọi cho họ: bên xử lý (processor). Còn bạn, người đã quyết định làm việc này, là bên kiểm soát (controller).

Ngay khoảnh khắc có một bên xử lý tham gia, bên kiểm soát gánh thêm những nghĩa vụ thực sự. Nghĩa vụ lớn nhất là Điều 28: bạn cần một hợp đồng bằng văn bản với bên xử lý đó, thường gọi là Thỏa thuận Xử lý Dữ liệu (Data Processing Agreement). Nó phải nêu rõ họ được làm gì với dữ liệu, họ bảo vệ nó ra sao, khi nào họ xóa nó, và liệu họ có được chuyển nó cho bất kỳ ai khác hay không.

Hãy dừng lại và nghĩ về công cụ PDF miễn phí mà bạn đã dùng tháng trước. Bạn đã ký một DPA với họ chưa? Bạn có đọc xem máy chủ của họ đặt ở đâu không? Bạn có kiểm tra các bên xử lý phụ của họ là ai không? Gần như chắc chắn là không. Bạn đã tải một tệp chứa dữ liệu cá nhân của người khác lên một công ty mà bạn không có hợp đồng nào với họ. Đó chính là kẽ hở.

Cái bẫy chuyển dữ liệu quốc tế

Vấn đề càng gai góc hơn khi máy chủ nằm ngoài EU. Gửi dữ liệu cá nhân tới một nhà cung cấp ở quốc gia khác là một cuộc chuyển giao (transfer), và GDPR hạn chế những việc đó. Bạn cần một cơ sở pháp lý hợp lệ cho nó, chẳng hạn như điều khoản hợp đồng tiêu chuẩn hoặc một quyết định công nhận mức độ bảo vệ phù hợp đối với quốc gia đó.

Phần lớn các công cụ miễn phí không cho bạn biết chúng chạy ở đâu. Tệp có thể được xử lý trong một trung tâm dữ liệu ở một lục địa khác, đi qua một hàng đợi, được lưu tạm trong một kho lưu trữ, mà bạn chẳng có cách nào biết được. Với một tấm ảnh đi nghỉ cá nhân thì không sao. Nhưng với một hợp đồng đầy dữ liệu khách hàng, bạn đã âm thầm thực hiện một cuộc chuyển dữ liệu quốc tế mà bạn không thể chứng minh bằng giấy tờ.

Tối thiểu hóa, nguyên tắc mà ai cũng quên

GDPR có một nguyên tắc gọi là tối thiểu hóa dữ liệu. Bạn chỉ nên xử lý đúng phần dữ liệu cá nhân mà bạn thực sự cần, theo cách ít xâm phạm nhất. Còn có một nguyên tắc họ hàng nữa: hãy nghĩ về quyền riêng tư khi bạn thiết kế một quy trình, chứ không phải sau khi đã làm.

Hãy áp dụng điều đó vào một tác vụ đơn giản như nén một PDF. Bạn có cần gửi hợp đồng của khách hàng tới máy chủ của bên thứ ba để làm cho nó nhỏ hơn không? Không. Việc nén có thể diễn ra ngay trên máy của bạn. Gửi nó ra ngoài thì thêm một bên xử lý, một hợp đồng mà bạn không có, và có thể cả một cuộc chuyển dữ liệu mà bạn không thể biện minh, tất cả chỉ để thay đổi kích thước một tệp. Đó là điều ngược lại với tối thiểu hóa.

Vì sao xử lý cục bộ né được phần lớn chuyện này

Đây là phần làm cho toàn bộ vấn đề nhỏ lại. Nếu tệp không bao giờ rời khỏi thiết bị của bạn, thì không có bên thứ ba nào xử lý nó. Không có bên xử lý nghĩa là không có hợp đồng Điều 28 nào để đi đòi. Không có gì vượt qua biên giới, nên không có cuộc chuyển giao nào phải biện minh. Bạn vẫn là bên kiểm soát, vẫn nợ chủ thể dữ liệu sự cẩn trọng như thường lệ, nhưng một mảng lớn giấy tờ đơn giản là không áp dụng nữa, vì chẳng có ai khác chạm vào dữ liệu.

Đây chính là ý tưởng đằng sau những công cụ chạy hoàn toàn trong trình duyệt của bạn. Mã làm việc ngay tại chỗ, trong bộ nhớ máy tính của bạn, và PDF của bạn ở yên một chỗ. Đó là cách chúng tôi xây dựng reader.me. Khi bạn nén một PDF, tệp được xử lý trong trình duyệt của bạn và không bao giờ chạm tới máy chủ nào của chúng tôi. Hãy mở DevTools của trình duyệt, quan sát tab Network, và bạn có thể xác nhận không có gì chứa tài liệu của bạn được gửi ra ngoài.

Các bước thực tế cho doanh nghiệp và người làm tự do

Vài thói quen giúp bạn đứng về phía đúng của vấn đề:

• Hãy coi mọi tài liệu có tên, giấy tờ tùy thân hoặc thông tin liên hệ là dữ liệu cá nhân. Hóa đơn, hợp đồng, CV và đơn từ y tế đều thuộc loại này.
• Trước khi tải bất cứ thứ gì lên một công cụ đám mây, hãy hỏi ai là bên xử lý. Không có DPA, không có câu trả lời rõ ràng về vị trí máy chủ? Đừng gửi dữ liệu khách hàng qua đó.
• Mặc định dùng công cụ cục bộ cho các tác vụ thường ngày như nén, gộp hoặc tách. Nếu nó chạy được trong trình duyệt, thì chẳng có bên xử lý nào để phải thẩm định.
• Giữ một bản ghi ngắn gọn về những dịch vụ nào chạm vào dữ liệu cá nhân. Dù sao GDPR cũng kỳ vọng bên kiểm soát phải nắm được điều này.
• Khi bạn thực sự cần một dịch vụ đám mây, hãy chọn một dịch vụ cung cấp DPA thực sự và cho bạn biết dữ liệu nằm ở đâu.

Các quy tắc nghe có vẻ nặng nề, nhưng cách khắc phục thường ngày lại nhẹ nhàng. Phần lớn công việc với PDF chẳng cần máy chủ chút nào. Hãy giữ tệp ở lại trên máy của bạn, và phần lớn gánh nặng pháp lý sẽ không bao giờ rơi xuống đầu bạn ngay từ đầu.