Google bị phạt 403 triệu Euro vì xử lý dữ liệu vị trí trái luật GDPR

Ủy ban Bảo vệ Dữ liệu Ireland (DPC) vừa công bố quyết định cuối cùng sau cuộc điều tra nhắm vào Google Ireland Limited, với mức phạt hành chính tổng cộng 403 triệu Euro. Đây là kết quả của một cuộc điều tra do chính DPC khởi xướng từ tháng 2/2020, sau khi nhận được khiếu nại từ nhiều tổ chức bảo vệ quyền người tiêu dùng châu Âu, trong đó có BEUC.

Vụ việc liên quan đến cách Google xử lý dữ liệu vị trí trong ba tính năng cụ thể: Web & App Activity, Location History và Location Accuracy, trong khoảng thời gian từ ngày GDPR bắt đầu có hiệu lực (25/5/2018) đến ngày 4/2/2020.

Google vi phạm những gì?

Theo quyết định của các Ủy viên Bảo vệ Dữ liệu — Tiến sĩ Des Hogan, ông Dale Sunderland và bà Niamh Sweeney — Google đã vi phạm GDPR ở bốn điểm chính:

• Tính hợp pháp và công bằng trong xử lý dữ liệu vị trí thuộc Web & App Activity và Location History.
• Nghĩa vụ giải trình khi không thể chứng minh được sự tuân thủ nguyên tắc hợp pháp, công bằng và minh bạch đối với dữ liệu cá nhân trong Location Accuracy.
• Nghĩa vụ minh bạch đối với cả ba tính năng nói trên.
• Thời gian lưu trữ dữ liệu vị trí trong Web & App Activity và Location History vượt quá mức cần thiết.

Ngoài khoản tiền phạt, DPC còn yêu cầu Google phải đưa toàn bộ hoạt động xử lý dữ liệu vào trạng thái tuân thủ trong thời hạn 6 tháng.

Dữ liệu vị trí: lợi ích đi kèm rủi ro

Phó Ủy viên Graham Doyle nhấn mạnh tính chất nhạy cảm của loại dữ liệu này:

"Dữ liệu vị trí là một dạng dữ liệu cá nhân được xử lý thông qua việc theo dõi vị trí, bao gồm dữ liệu do Google thu thập hoặc xử lý, mà chỉ riêng nó hoặc kết hợp với thông tin khác có thể suy ra vị trí của một cá nhân. Dữ liệu vị trí có thể mang lại cả lợi ích lẫn tổn hại cho người dùng. Nó có thể nâng cao đáng kể tính hữu dụng của các dịch vụ trực tuyến, nhưng cũng có thể tiết lộ một lượng lớn thông tin về một cá nhân, kể cả những thông tin vốn thuộc phạm vi riêng tư."

Ông cũng cho rằng chính những thất bại của Google khiến người dùng có thể không biết rằng vị trí của họ đang bị sử dụng để, chẳng hạn, tác động bằng quảng cáo hoặc suy đoán sở thích — từ đó đánh mất quyền kiểm soát dữ liệu cá nhân. Việc lưu trữ dữ liệu vị trí lâu hơn mức cần thiết càng làm trầm trọng thêm tình trạng này.

Ba tính năng nằm trong tầm ngắm

Để hiểu rõ phạm vi vụ việc, cần nắm sơ lược về ba tính năng bị điều tra:

• Web & App Activity: một cài đặt tài khoản Google, chỉ khả dụng với người có tài khoản Google. Khi được bật, Google dùng cài đặt này để xử lý thông tin liên quan đến hoạt động của người dùng trên các dịch vụ Google, bao gồm cả trang web và ứng dụng. Dữ liệu có thể gồm lịch sử duyệt web, lịch sử tìm kiếm và dữ liệu vị trí.
• Location History: dịch vụ theo dõi vị trí người dùng khi họ mang theo thiết bị di động tương thích. Người dùng phải chủ động bật (opt-in). Dịch vụ này suy ra thông tin vị trí như các địa điểm đã ghé thăm, hoạt động và lộ trình di chuyển, rồi hiển thị trên một bản đồ riêng tư qua tính năng "Timeline" của Google Maps. Đáng chú ý, Location History vẫn lưu bản đồ hành trình của người dùng trên các thiết bị đã đăng nhập, kể cả khi người dùng không sử dụng dịch vụ nào của Google.
• Location Accuracy: một tính năng của hệ điều hành Android giúp thiết bị xác định vị trí chính xác hơn so với việc chỉ dựa vào tín hiệu GPS. Tính năng này khả dụng với mọi người dùng Android, bất kể có tài khoản Google hay không.

Ý nghĩa với người dùng Việt Nam

Dù quyết định này được đưa ra bởi cơ quan quản lý Ireland — với vai trò cơ quan giám sát chính của Google tại châu Âu — phán quyết có tác động vượt ra ngoài phạm vi EEA. Các tiêu chuẩn về minh bạch, đồng thuận và giới hạn thời gian lưu trữ dữ liệu thường được Google áp dụng ở phạm vi toàn cầu, nghĩa là người dùng Việt Nam cũng có thể được hưởng lợi từ những thay đổi về sau.

Đối với người dùng Việt Nam, đây là lời nhắc nhở thiết thực: hãy kiểm tra lại các cài đặt vị trí trong tài khoản Google của mình, xem xét việc có thực sự cần bật Location History hay không, và định kỳ xóa dữ liệu vị trí đã lưu. Trong bối cảnh dữ liệu vị trí ngày càng được dùng để cá nhân hóa quảng cáo, quyền kiểm soát dữ liệu cá nhân vẫn là vấn đề đáng quan tâm với mọi người dùng số.

DPC cho biết sẽ công bố toàn văn quyết định trong thời gian tới, và bày tỏ sự hợp tác, hỗ trợ của các cơ quan giám sát đồng cấp trong vụ việc này.