GDPR ảnh hưởng thế nào đến Email của bạn - và điều gì không nằm trong phạm vi

GDPR yêu cầu những gì

Về bản chất, GDPR đặt ra nguyên tắc rằng dữ liệu cá nhân phải được thu thập cho một mục đích cụ thể, chỉ dùng cho mục đích đó, được bảo vệ ở mức hợp lý, và bị xóa khi không còn cần thiết.

Với email, điều này có nghĩa cụ thể là vài thứ. Dữ liệu phải nằm ở những nơi xác định và được bảo vệ. Quyền truy cập phải được kiểm soát và ghi log. Khi người dùng hoặc tổ chức yêu cầu xóa, việc xóa phải là xóa thật - chứ không phải đánh dấu mềm trong cơ sở dữ liệu trong khi nội dung thực vẫn còn đó nhiều năm.

Điểm cuối quan trọng hơn bạn tưởng. Xóa thật nghĩa là cơ sở dữ liệu thực hiện lệnh xóa, và bản sao lưu hết hạn theo lịch đã định. Không phức tạc, nhưng cần có chủ đích.

"Tuân thủ" trở nên rối ở chỗ nào

GDPR điều chỉnh việc bảo vệ dữ liệu. Nó không cấm nhà cung cấp sử dụng dữ liệu của bạn trong hệ thống nội bộ của họ, miễn là điều đó được nêu trong điều khoản dịch vụ. Một nhà cung cấp có thể hoàn toàn tuân thủ GDPR mà vẫn dùng nội dung email để huấn luyện mô hình nội bộ, cải thiện hệ thống lọc, hoặc phục vụ các quyết định sản phẩm.

Hầu hết mọi người không đọc kỹ điều khoản. Hầu hết mặc định rằng "tuân thủ" nghĩa là thư từ của họ được giữ riêng tư. Hai điều đó không phải lúc nào cũng giống nhau.

GDPR trong giao tiếp email khác ở chỗ nào

Phần lớn các thảo luận về GDPR tập trung vào việc đồng ý - người đó có đồng ý nhận email này không, có đồng ý cho dữ liệu của họ được xử lý không. Nhưng thư từ kinh doanh thông thường lại hoạt động khác. Khi nhà cung cấp gửi báo giá cho bạn, khi khách hàng gửi đề bài, khi đồng nghiệp chuyển tiếp một tài liệu - chẳng ai ký gì cả. Chẳng ai chủ động đồng ý.

Nội dung email là dữ liệu cá nhân theo GDPR. Tên, địa chỉ email, tệp đính kèm, các cuộc trao đổi về con người - tất cả đều thuộc phạm vi định nghĩa của quy định. Tên người gửi nằm trong header. Lời họ nói nằm trong body. Người ta gửi mật khẩu, thông tin đăng nhập, hợp đồng, chi tiết tài chính - mà không nghĩ nhiều về nơi nội dung đó thực sự kết thúc. Theo GDPR, bất kỳ dữ liệu nào có thể dùng riêng lẻ hoặc kết hợp để nhận diện một người đều đủ tiêu chí. Một chuỗi email thì dễ dàng đáp ứng.

Vậy cơ sở pháp lý nào cho phép người nhận lưu trữ và xử lý thông điệp đó? GDPR yêu cầu phải có cơ sở pháp lý cho mọi hoạt động xử lý. Cơ sở phổ biến nhất với thư từ kinh doanh đã nhận là "lợi ích chính đáng" - tức là có một mối quan hệ phù hợp và tương xứng giữa các bên. Nói thẳng ra: bạn nhận một email trong quá trình làm việc, việc lưu nó là hợp lý. Đó là cơ sở mà hầu hết tổ chức đang dựa vào, dù họ có biết hay không.

Một số tổ chức cố gắng xử lý việc thiếu thỏa thuận này bằng phần chân thư - một dòng nói rằng thông điệp chỉ dành cho người nhận được nêu tên và việc sử dụng trái phép là bị cấm. Những lời tuyên bố kiểu này không tạo ra nghĩa vụ pháp lý nào. Chúng được người gửi thêm vào sau khi thông điệp đã rời khỏi kiểm soát của họ, đến hạ tầng mà họ không có thỏa thuận nào. Chúng có thể thể hiện ý định, nhưng không ràng buộc ai cả. Và ngoài câu chuyện pháp lý, còn một chuyện thực tế: kỳ vọng ngầm về sự riêng tư trong thư từ là có thật, bất kể điều khoản nào cho phép gì. Khi kỳ vọng đó bị phá vỡ - bởi một nhà cung cấp, dù cố ý hay không - tổn thất về niềm tin thường là vĩnh viễn.

Cách chúng tôi nhìn nhận vấn đề với Grace Mail

Chúng tôi thiết kế Grace Mail dựa trên một nguyên tắc vượt xa mức tối thiểu của quy định. Dữ liệu của bạn không nên đọc được, dùng được hay truy cập được bởi bất kỳ ai ngoài tổ chức của bạn, kể cả chúng tôi.

Trong thực tế, điều này nghĩa là mỗi khách hàng có một instance riêng - máy chủ của bạn, dữ liệu của bạn, không dùng chung hạ tầng. Nghĩa là mã hóa được áp dụng triệt để, giảm thiểu khoảng thời gian bất kỳ nội dung nào tồn tại bên ngoài kho lưu trữ đã mã hóa. Nghĩa là xóa thật khi có yêu cầu, và bản sao lưu hết hạn theo lịch đã định. Và nghĩa là một mail client riêng đang được phát triển, đặt khóa mã hóa trực tiếp vào tay người dùng để củng cố thêm bảo mật.

GDPR không yêu cầu bất kỳ điều nào trong số này. Chúng tôi cho rằng dù sao đây cũng nên là mức tối thiểu.

Trong trường hợp hi hữu có sự cố xảy ra, mô hình instance riêng đảm bảo phạm vi ảnh hưởng chỉ giới hạn ở một tổ chức. Không phải hàng triệu hộp thư. Chỉ một.

Khuyến nghị của chúng tôi

Email hiếm khi được rà soát lại cho đến khi có chuyện buộc phải làm. Nó vẫn chạy, nên cứ để đó. Nhưng việc thực thi GDPR đang ngày càng chặt chẽ, AI huấn luyện trên dữ liệu giao tiếp không còn là mối lo của thiểu số, và những doanh nghiệp xem quyền riêng tư là chuyện phụ ngày càng lộ ra - và ngày càng phải chịu trách nhiệm. Đáng để hỏi đội pháp lý và kỹ thuật của bạn xem email thực sự được xử lý ra sao, nó nằm ở đâu, và điều khoản của nhà cung cấp cho phép họ làm gì với nó.