Google bị phạt 403 triệu euro sau cuộc điều tra kéo dài 6 năm về việc xử lý dữ liệu vị trí người dùng. Điều đáng chú ý không chỉ nằm ở số tiền phạt, mà ở yêu cầu doanh nghiệp phải chứng minh người dùng được thông tin đầy đủ và có khả năng kiểm soát dữ liệu của mình.
Án phạt 403 triệu euro cho những thiếu sót về dữ liệu
Ngày 21/9, Ủy ban Bảo vệ Dữ liệu Ireland (DPC) thông báo phạt Google 403 triệu euro sau cuộc điều tra về việc xử lý dữ liệu vị trí của người dùng.
 |
| Google chưa đưa ra bình luận về khoản phạt. |
Vụ việc liên quan đến ba tính năng gồm Hoạt động trên web và ứng dụng (Web & App Activity), Lịch sử vị trí (Location History ) và Độ chính xác vị trí (Location Accuracy).
Thời kỳ được xem xét kéo dài từ ngày 25/5/2018, khi Quy định bảo vệ dữ liệu chung của EU (GDPR) bắt đầu có hiệu lực, đến ngày 4/2/2020.
DPC xác định Google không đáp ứng đầy đủ các yêu cầu của GDPR về tính hợp pháp, công bằng và minh bạch trong quá trình xử lý dữ liệu vị trí.
Với hai tính năng “Web & App Activity” và “Location History”, cơ quan quản lý Ireland kết luận Google có những thiếu sót liên quan đến tính hợp pháp và công bằng. Đối với “Location Accuracy”, Google không chứng minh được hoạt động xử lý dữ liệu đáp ứng các nguyên tắc về tính hợp pháp, công bằng và minh bạch.
Người dùng chưa được biết đầy đủ dữ liệu được sử dụng thế nào
Điểm đáng chú ý trong quyết định của DPC là nghĩa vụ minh bạch đối với người dùng.
Cơ quan này cho rằng Google chưa thực hiện đầy đủ nghĩa vụ minh bạch đối với cả ba tính năng được điều tra. Bên cạnh đó, dữ liệu vị trí còn được lưu giữ trong thời gian lâu hơn mức cần thiết.
Phó Ủy viên DPC Graham Doyle cho rằng dữ liệu vị trí có thể tiết lộ những thông tin rất riêng tư về một cá nhân, ngay cả khi những thông tin này được kết hợp gián tiếp với các dữ liệu khác mà Google nắm giữ.
Theo ông, những thiếu sót trong cách Google xử lý dữ liệu có thể khiến người dùng không nhận thức đầy đủ việc thông tin vị trí được sử dụng để phục vụ quảng cáo hoặc suy đoán sở thích. Điều này làm giảm khả năng kiểm soát dữ liệu cá nhân của người dùng.
Việc lưu giữ dữ liệu vị trí lâu hơn mức cần thiết càng làm gia tăng rủi ro.
Doanh nghiệp không chỉ cần có dữ liệu, mà phải giải trình cách sử dụng
Cuộc điều tra của DPC được mở vào tháng 2/2020 sau khi cơ quan này nhận được khiếu nại từ một số tổ chức bảo vệ quyền lợi người tiêu dùng châu Âu, trong đó có BEUC.
Các khiếu nại đặt vấn đề về cơ sở pháp lý để Google xử lý dữ liệu vị trí, đồng thời yêu cầu làm rõ việc doanh nghiệp có đáp ứng đầy đủ các nghĩa vụ minh bạch theo GDPR hay không.
Sau 6 năm điều tra, DPC không chỉ đưa ra khoản phạt 403 triệu euro.
Google còn được yêu cầu đưa các hoạt động xử lý dữ liệu liên quan vào trạng thái tuân thủ GDPR trong vòng 6 tháng.
Khoản phạt này là một trong những mức phạt lớn nhất DPC từng áp dụng kể từ khi GDPR có hiệu lực và là mức phạt lớn thứ tư trong tổng số hơn 4 tỷ euro tiền phạt mà cơ quan này đã áp dụng.
Với doanh nghiệp hoạt động trên thị trường số, vụ việc đặt ra một yêu cầu ngày càng rõ: dữ liệu người dùng không thể chỉ được nhìn dưới góc độ tài sản phục vụ quảng cáo, cá nhân hóa sản phẩm hay phát triển dịch vụ.
Doanh nghiệp còn phải chứng minh cơ sở pháp lý của việc xử lý dữ liệu, cung cấp thông tin đủ rõ để người dùng hiểu và bảo đảm thời gian lưu giữ phù hợp với mục đích sử dụng.
Google chưa đưa ra bình luận về khoản phạt.
DPC cho biết toàn văn quyết định xử phạt sẽ được công bố trong thời gian tới. Cơ quan này cũng cho biết Google hiện còn là đối tượng của 3 cuộc điều tra khác theo luật, đều đã ở giai đoạn tương đối nâng cao.
