Bảo vệ dữ liệu và các tiêu chuẩn mở của EU

EU Data Protection and Open Standards

Published 13:44, 09 January 13

Theo: http://blogs.computerworlduk.com/open-enterprise/2013/01/eu-data-protection-and-open-standards/index.htm

Bài được đưa lên Internet ngày: 09/01/2013

Lời người dịch: Người châu Âu tin tưởng rằng năm 2013 sẽ là năm đấu tranh cho việc bảo vệ dữ liệu điện tử, và để làm được điều này, điều cốt tử là phải sử dụng các tiêu chuẩn mở đúng, để thực thi được tính khả chuyển của dữ liệu cá nhân, bất kể nó được sử dụng ở đâu, với công nghệ nào, của nhà cung cấp dịch vụ nào. “Nhờ có bản chất tự nhiên toàn cầu của các hoạt động những ngày này, hiếm khi khả thi để thiết lập những hệ thống quá khác biệt cho các phần khác nhau của thế giới mà vận hành theo các cách thức khác nhau. Nếu các qui định của EU ép các công ty cung cấp các dịch vụ cho những người dân châu Âu để áp dụng các tiêu chuẩn mở để cho phép tính khả chuyển dữ liệu đúng, thì những tiêu chuẩn mở y hệt đó sẽ được triển khai toàn cầu. Đó là thứ gì đó thực sự đáng giá để đấu tranh”. Và ở Việt Nam cũng sẽ như vậy, dù có bất kỳ khó khăn nào giữa đường, cuối cùng thì chuẩn mở thực sự cũng sẽ ngự trị tại Việt Nam. Chắc chắn là như vậy!

Như đã xảy ra vào năm ngoái, 2013 không nghi ngờ gì sẽ thấy khá nhiều trận chiến trong các lĩnh vực các tiêu chuẩn mở, bản quyền và bằng sáng chế phần mềm, nhưng cũng sẽ có chủ đề mới: bảo vệ dữ liệu. Đó là hệ quả của một công bố do Ủy ban châu Âu đã thực hiện hầu như chính xác một năm trước: Ủy ban châu Âu hôm nay đã đề xuất một cuộc cải cách tổng thể các qui định bảo vệ dữ liệu năm 1995 của EU để tăng cường các quyền riêng tư trực tuyến và thúc đẩy nền kinh tế số của châu Âu. Sự tiến bộ và toàn cầu hóa của công nghệ đã thay đổi sâu sắc cách mả các dữ liệu của chúng ta được thu thập, được truy cập và được sử dụng. Hơn nữa, 27 nước thành viên EU đã triển khai các qui định 1995 khác nhau, gây ra những khác biệt trong sự ép tuân thủ. Một luật duy nhất sẽ loại bỏ được những phân mảnh và những gánh nặng hành chính tốn kém hiện nay, dẫn tới những tiết kiệm cho các doanh nghiệp khoảng 2.3 tỷ euro một năm. Sáng kiến đó sẽ giúp tăng cường lòng tin của người tiêu dùng vào các dịch vụ trực tuyến, đưa ra một sự khích lệ cần thiết nhiều cho sự tăng trưởng, công ăn việc làm và đổi mới tại châu Âu.

…

Những đề xuất của Ủy ban cập nhật và hiện đại hóa các nguyên tắc được cất giữ trong Chỉ thị Bảo vệ Dữ liệu năm 1995 để đảm bảo cho các quyền riêng tư trong tương lai. Chúng bao gồm một sự thiết lập các mục tiêu của Ủy ban về chính sách Truyền thông và 2 đề xuất pháp lý: một thiết lập Qui định khung chung của EU về bảo vệ dữ liệu và một Chỉ thị về bao vệ dữ liệu cá nhân được xử lý cho các mục đích ngăn chặn, dò tìm, điều tra hoặc tố cáo sự phạm tội của bọn tội phạm và các hoạt động pháp lý có liên quan.

Chúng ta bây giờ đã đề xuất văn bản Qui định đó, nó bao gồm nhiều sửa đổi bổ sung do Jan Alobrecht, nghị sỹ quốc hội châu Âu thuộc Đảng Xanh của Đức, người có trách nhiệm báo cáo của nghị viện châu Âu về vấn đề này. Ông có một trang hữu ích liên kết tới các tài liệu nền tảng phù hợp và các video các cuộc gặp, nhưng chúng hầu hết bằng tiếng Đức.

As happened for last year, 2013 will doubtless see plenty of battles in the domains of open standards, copyright and software patents, but there will also be a new theme: data protection. That's a consequence of an announcement made by the European Commission almost exactly a year ago:

The European Commission has today proposed a comprehensive reform of the EU's 1995 data protection rules to strengthen online privacy rights and boost Europe's digital economy. Technological progress and globalisation have profoundly changed the way our data is collected, accessed and used. In addition, the 27 EU Member States have implemented the 1995 rules differently, resulting in divergences in enforcement. A single law will do away with the current fragmentation and costly administrative burdens, leading to savings for businesses of around €2.3 billion a year. The initiative will help reinforce consumer confidence in online services, providing a much needed boost to growth, jobs and innovation in Europe.

…

The Commission's proposals update and modernise the principles enshrined in the 1995 Data Protection Directive to guarantee privacy rights in the future. They include a policy Communication setting out the Commission's objectives and two legislative proposals: a Regulation setting out a general EU framework for data protection and a Directive on protecting personal data processed for the purposes of prevention, detection, investigation or prosecution of criminal offences and related judicial activities.

We now have the proposed text of the Regulation [.pdf], which includes numerous amendments made by the German Green MEP Jan Albrecht, who is the European Parliament's Rapporteur for this matter. He has a useful page linking to relevant background documents and videos of meetings, but most of them are in German.

The Regulation is quite long, and written in the form of the original Commission text and the proposed changes, so it's not the easiest of reading. A better place to start is the commentary from the European Digital Rights organisation EDRI:

The draft Report of the European Parliament on the European Commission's proposed Data Protection Regulation was published today. The Parliamentarian responsible, German Green MEP Jan Albrecht, has sought to improve on the Commission's initial proposal and also to address many of the concerns raised by his colleagues in the discussions that have taken place so far in various Committees. The draft text is therefore a mix of straightforward attempts at positive improvements and attempts at compromise based on the opinions so far expressed by his colleagues.

One place where EDRI feels that Albrecht has improved the original text regards “legitimate interest”:

Qui định đó khá dài, và được viết ở dạng văn bản gốc của Ủy ban và những thay đổi được đề xuất, nên nó không thật dễ để đọc. Chỗ tốt hơn để bắt đầu là bình luận từ tổ chức các Quyền Số châu Âu - EDRI (European Digital Rights):

Báo cáo dự thảo của Nghị viện châu Âu về Qui định Bảo vệ Dữ liệu được EC đề xuất đã được xuất bản hôm nay. Nghị sỹ có trách nhiệm, Jan Albrecht của Đảng Xanh của Đức, đã tìm cách cải thiện về đề xuất ban đầu của Ủy ban và cũng đề cập tới nhiều quan tâm nảy sinh từ các đồng nghiệp của ông trong các thảo luận đã diễn ra cho tới nay trong một loạt các Ủy ban. Văn bản phác thảo vì thế là một sự pha trộn những ý định trực diện trong những cải thiện tích cực và những ý định thỏa hiệp dựa vào những ý kiến cho tới nay được các đồng nghiệp của ông thể hiện.

Một địa điểm nơi EDRI thấy Albrecht đã cải tiến văn bản gốc ban đầu về “lợi ích pháp lý”:

Theo tiếp cận này, các công ty có thể quyết định xử lý các dữ liệu cá nhân mà không có phép và không có điều đang cần thiết này cho kết luận của một hợp đồng. Họ có thể làm thế nếu họ cảm thấy rằng những lý do của họ để làm thế là quyến rũ hơn so với quyền về tính riêng tư của các cá nhân (dù quyết định này có thể bị thách thức tại các tòa án hoặc bởi một Nhà chức trách Bảo vệ Dữ liệu). Các đề xuất đối nghịch từ các đồng nghiệp đảng Xanh để xóa ngoại lệ này. Ông Albrechtgợi ý một sự thỏa hiệp - cho phép tiếp cận một phía này nếu đây là “ngoại lệ”. Người kiểm soát dữ liệu có thể được yêu cầu chứng minh sử dụng tiếp cận này và để thông báo chủ thể của dữ liệu 5 sự chứng minh rộng rãi được liệt kê để sử dụng ngoại lệ “lợi ích pháp lý” - một ví dụ là gửi các thư rác từ một công ty đang cung cấp các dịch vụ ruồi cho chủ thể của dữ liệu (như nó đang là theo luật EU về gửi thư rác).

EDRI không thật vui với câu hỏi về “việc định hình”:

theo sau logic của một loạt các quyền cơ bản khác nhau hạn chế các biện pháp được Ủy ban đề xuất trong lĩnh vực định hình cho các mục đích làm chính sách, báo cáo của ông Albrecht' gợi ý rằng các biện pháp mà đưa ra các hiệu ứng pháp lý về chủ thể dữ liệu có thể không “chỉ” dựa vào việc xử lý được tự động hóa. Câu chữ này quá hẹp mà bất kỳ sự can thiệp nào của con người cũng có thể đủ để làm thỏa mãn “sự bảo vệ” này.

Under this approach, companies can decide to process personal data without permission and without this being necessary for the conclusion of a contract. They may do so if they feel that their reasons for doing so are more compelling than the individual's right to privacy (although this decision may be challenged in the courts or by a Data Protection Authority). Contradicting proposals from Green colleagues to delete this exception, Mr Albrecht suggests a compromise - permitting this unilateral approach if it is “exceptional”. The data controller would be required to justify the use of this approach and to inform the data subject. Five broad justifications are listed for the use of the “legitimate interest” exception - one example being the sending of junk mail by a company that is already providing services to the data subject (as is currently the case under EU law for sending junk e-mail).

EDRI is less happy with the question of "profiling":

following the logic of various fundamental rights restricting measures proposed by the Commission in the area of profiling for policing purposes, Mr Albrecht's report suggests that measures that produce legal effects on the data subject may not be based “solely” on automated processing. This wording is so narrow that any human intervention at all would be enough to satisfy this “safeguard”.

All-in-all, though, EDRI feels that he has done a reasonable job in difficult circumstances:

Generally, many of the proposals from Mr Albrecht represent an improvement on suggestions already been made by lobbyists and certain Parliamentarians. However, it is far from certain whether his colleagues will accept the draft report as a genuine first attempt at compromise or simply a compromised position that can be further eroded during the remainder of the legislative process.

One of the vexed questions in this whole area is how the use of personal data from the EU would be regulated when gathered and processed by US companies. Indeed, there is something of a tussle going on here, as two opposing world-views slug it out.

On the European side, there is a greater focus on protecting the public's data from misuse; on the US side, the main concern is that US technology companies won't be inconvenienced when it comes to providing their services in Europe. Here's how the New York Times puts it:

Although the effort is intended to standardize and consolidate the enforcement of data protection regulation across the 27 European Union countries, some American regulators, industry groups and scholars have objected. They say the draft rule was overly broad and burdensome for technology companies to carry out.

Dù, tất cả, EDRI cảm thấy rằng ông đã làm một công việc hợp lý trong những hoàn cảnh khó khăn:

Nói chung, nhiều đề xuất từ ông Albrecht thể hiện một sự cải thiện trong các gợi ý đã được những người vận động hành lang và các nghị sỹ nhất định thực hiện. Tuy nhiên, nó còn xa với sự chắc chắn liệu các đồng nghiệp của ông có chấp nhận báo cáo phác thảo đó như là một ý định thực sự đầu tiên để thỏa hiệp hoặc đơn giản chỉ là một vị thế thỏa hiệp có thể bị xói mòn hơn nữa trong phần còn lại của quá trình làm luật.

Một trong những câu hỏi gây tranh cãi trong toàn bộ lĩnh vực này là làm thế nào sử dụng các dữ liệu cá nhân từ EU có thể được điều chỉnh khi được thu thập và được xử lý bởi các công ty Mỹ. Quả thực, có cái gì đó của một cuộc ẩu đả đang diễn ra ở đây, khi 2 quan điểm đối nghịch nhau của thế giới chia tách nhau ra.

Về phía châu Âu, có một sự tập trung lớn hơn vào việc bảo vệ dữ liệu công khỏi sử dụng sai; về phía Mỹ, lo ngại chính là các công ty công nghệ của Mỹ sẽ không thoải mái khi cung cấp các dịch vụ của họ ở châu Âu. Đây là cách mà NYT nêu nó ra:

Dù nỗ lực được mong đợi để tiêu chuẩn hóa và tăng cường ép tuân thủ qui định bảo vệ dữ liệu kháp 27 nước thành viên của EU, một số nhà điều chỉnh pháp luật của Mỹ, các nhóm công nghiệp và các học giả đã phản đối. Họ nói qui định phác thảo quá rộng và nặng nề đối với các công ty công nghệ để triển khai.

Bài viết trên NYT dấy lên một vấn đề cụ thể mà có thể trở thành mối quan tâm đặc biệt đối với các độc giả của blog này: tính khả chuyển các dữ liệu cá nhân. Đây là văn banr phù hợp từ người có trách nhiệm báo cáo:

2a. Ở những nơi mà chủ thể dữ liệu sẽ có quyền truyền đi những dữ liệu cá nhân đó, nơi mà về mặt kỹ thuật và khả thi và phù hợp, và được hệ thống xử lý tự động tiếp tục dùng, trong một nơi khác, ở định dạng điện tử thường được sử dụng, không có trở ngại từ người kiểm soát đối với những ai mà các dữ liệu cá nhân đó sẽ được rút đi.

Điều này là hợp lý, nó tạo nên một điểm chính:

Nếu các chủ thể dữ liệu muốn thực thi quyền của họ để truy cập các dữ liệu cá nhân của họ, thì nó nên được cung cấp cho họ ở một dạng điện tử mà họ có thể sử dụng. Sự sử dụng tiếp tục này bao gồm các quyền để dịch chuyển nó tới các nền tảng và dịch vụ khác nếu chủ thể dữ liệu muốn điều này. Quyền đối với tính khả chuyển dữ liệu, vì thế, chỉ là một đặc tả của quyền truy cập dữ liệu.

Nghĩa là, thiếu tính khả chuyển dữ liệu thì không có sự truy cập dữ liệu thực sự. Nhưng bài viết trên NYT nêu:

Việc trao cho mọi người quyền truyền các bản cập nhật và các ảnh chụp mà họ đã đưa lên Facebook và Google Plus, ví dụ, có thể là hợp lý tuyệt vời, Yianni Lagos, một đồng nghiệp về pháp lý và chính sách tại Đại học Bang Ohio và là đồng tác giả của phân tích gần đây về qui định phác thảo của châu Âu được xuất bản trên Maryland Law Review. Nhưng qui định được đề xuất đòi hỏi một cách rộng rãi rằng một công ty truyền dữ liệu của một cá nhân “không có cản trở” và ở định dạng được sử dụng rộng rãi.

The NYT article raises one specific issue that may well be of particular interest to readers of this blog: personal data portability. Here's the relevant text from the Rapporteur:

2a. Where the data subject has provided the personal data and the processing is based on consent or on a contract, the data subject shall have the right to transmit those personal data, where technically feasible and appropriate, and retained by an automated processing system, into another one, in an electronic format which is commonly used, without hindrance from the controller from whom the personal data are withdrawn.

Here's the rationale, which makes a key point:

If data subjects want to exercise their right to access their personal data, it should be provided to them in an electronic format which they can use. This further use includes the right to move it to other platforms and services if the data subject wants this. The right to data portability, therefore, is a mere specification of the right to data access.

That is, without real data portability there is no real data access. But as the New York Times post notes:

Granting people the right to transfer the updates and photos they posted on Facebook to Google Plus, for example, may sound perfectly reasonable, said Yianni Lagos, a legal and policy fellow at Ohio State University and the co-author of a recent analysis of the European draft regulation published in the Maryland Law Review. But the proposed rule broadly requires that a company transfer a person’s data “without hindrance” and in a commonly used format.

“Chúng tôi không chắc chắn điều đó có nghĩa gì”, ông Lagos nói.

“Thách thức lớn nhất là khái niệm về tính tương hợp”, ông Lagos nói. “Việc dịch từ định dạng được mã hóa sang định dạng được sử dụng rộng rãi, đó là những gì sẽ khó và đắt để đạt được”.

Tất nhiên, điều này chính xác là những gì mọi người nên sử dụng các tiêu chuẩn thực sự mở. Rồi thì sẽ không cần phải “dịch” từ một định dạng được mã hóa, vì nó đã ở dạng mà có thể được xuất đi rồi. Vì thế quan trọng sống còn là Qui định mới về Bảo vệ Dữ liệu của EU sẽ làm cho điều này là chắn chắn, có lẽ bằng việc sửa đổi bổ sung phần phù hợp sau đây:

2a. Ở những nơi chủ thể dữ liệu đã cung cấp và xử lý các dữ liệu cá nhân là dựa vào sự thỏa thuận hoặc dựa vào một hợp đồng, chủ thể của dữ liệu sẽ có quyền truyền các dữ liệu cá nhân đó, ở những nơi mà khả thi và phù hợp về mặt kỹ thuật, và được hệ thống xử lý tự động tiếp tục sử dụng, trong một hệ thống khác, ở một định dạng diện tử dựa vào các tiêu chuẩn mở, không có cản trở từ người kiểm soát đối với những ai mà các dữ liệu cá nhân đó sẽ được rút đi.

Làm như vậy sẽ không chỉ đạt được các mục tiêu của tính khả chuyển dữ liệu - một mặt chính của những đề xuất đó - mà sẽ còn trao một sự khuyến khích hữu dụng cho toàn bộ ý tưởng về các tiêu chuẩn mở, với những lợi ích rộng lớn hơn cho điện toán tại EU.

“We’re not exactly sure what that means,” Mr. Lagos said.

“The largest challenge is the concept of interoperability,” Mr. Lagos said. “Translating from a coded format to a commonly used format, that is what will be difficult and costly to achieve.”

Of course, this is precisely why people should use truly open standards. Then there is no need to "translate" from a coded format, because it's already in a form that can be readily exported. It is therefore vitally important that the new EU Data Protection Regulation make this explicit, perhaps by amending the relevant section as follows:

2a. Where the data subject has provided the personal data and the processing is based on consent or on a contract, the data subject shall have the right to transmit those personal data, where technically feasible and appropriate, and retained by an automated processing system, into another one, in an electronic format based on open standards, without hindrance from the controller from whom the personal data are withdrawn.

Doing so will not only achieve the goals of data portability - a key facet of the proposals - but will also give a useful fillip to the whole idea of open standards, with wider knock-on benefits for computing in the EU.

As the EDRI piece notes, it's quite possible that the text will be changed substantially as it passes through the EU legislative system. Given the importance of this regulation, I'll be reporting on the key stages as they happen, and noting when it might be useful to contact your MEPs on the topic.

Data protection is an area that affects everyone online, and so it's important that we get a good solution here that offers protection to users while permitting companies to use personal information as easily as possible subject to basic rules. If, along the way, we can boost the use of open standards by major companies like Facebook and Google, that will be an added bonus.

Như mẩu tin của EDRI lưu ý, hoàn toàn có khả năng là văn bản đó sẽ bị thay đổi đáng kể khi nó truyền qua hệ thống làm luật của EU. Biết rằng tầm quan trọng của qui định này, tôi sẽ báo cáo về những bước chính khi chúng xảy ra, và lưu ý khi nó có thể là hữu dụng để liên hệ với các nghị sỹ nghị viện châu Âu (MEP) của các bạn về chủ đề này.

Bảo vệ dữ liệu là một lĩnh vực mà ảnh hưởng tới mọi người trên trực tuyến, và vì thế nó quan trọng rằng chúng ta có được một giải pháp tốt ở đây mà đưa ra sự bảo vệ cho những người sử dụng trong khi cho phép các công ty sử dụng thông tin cá nhân càng dễ dàng càng tốt tuân theo các qui định cơ bản. Nếu, trong quá trình, chúng ta có thể thúc đẩy sử dụng các tiêu chuẩn mở bởi các công ty chính như Facebook và Google, thì điều đó sẽ là một phần thưởng bổ sung thêm.

Sau tất cả, lý do mà các công ty Mỹ và chính phủ của họ quá thực thi về những gì được xem là một vấn đề thuần túy có tính địa phương cho EU là vì nó có những hệ quả khổng lồ ở mọi nơi trên thế giới. Nhờ có bản chất tự nhiên toàn cầu của các hoạt động những ngày này, hiếm khi khả thi để thiết lập những hệ thống quá khác biệt cho các phần khác nhau của thế giới mà vận hành theo các cách thức khác nhau. Nếu các qui định của EU ép các công ty cung cấp các dịch vụ cho những người dân châu Âu để áp dụng các tiêu chuẩn mở để cho phép tính khả chuyển dữ liệu đúng, thì những tiêu chuẩn mở y hệt đó sẽ được triển khai toàn cầu. Đó là thứ gì đó thực sự đáng giá để đấu tranh.

After all, the reason that the US companies and their government are so exercised about what looks to be a purely parochial issue for the EU is that it has huge knock-on consequences for everywhere in the world. Thanks to the global nature of operations these days, it's rarely feasible to set up very different systems for different parts of the world that operate in different ways. If EU regulations force companies providing services to Europeans to adopt open standards in order to allow true data portability, those same open standards will be rolled out worldwide. That's something really worth striving for.

Dịch: Lê Trung Nghĩa

letrungnghia.foss@gmail.com