GDPR có ý nghĩa gì với email của bạn - và điều gì nằm ngoài phạm vi

GDPR yêu cầu những gì

Về bản chất, GDPR quy định rằng dữ liệu cá nhân phải được thu thập với mục đích cụ thể, chỉ được dùng cho mục đích đó, được bảo vệ ở mức hợp lý và bị xóa khi không còn cần thiết.

Riêng với email, điều đó có nghĩa là một số thứ rất thực tế. Dữ liệu phải nằm ở những nơi được xác định và bảo vệ rõ ràng. Quyền truy cập phải được kiểm soát và ghi nhật ký. Khi người dùng hoặc tổ chức yêu cầu xóa, việc xóa đó phải là thật - không phải chỉ đánh dấu mềm trong cơ sở dữ liệu trong khi nội dung thực tế vẫn tồn tại nhiều năm.

Điểm cuối quan trọng hơn vẻ ngoài của nó. Xóa thật nghĩa là cơ sở dữ liệu thực hiện thao tác delete, và bản sao lưu hết hạn theo lịch đã định. Không phức tạp, nhưng cần có chủ đích.

Khi nào "tuân thủ" trở nên phức tạp

GDPR điều chỉnh việc bảo vệ dữ liệu. Nó không cấm nhà cung cấp sử dụng dữ liệu của bạn trong hệ thống của họ, miễn là điều đó được công bố trong điều khoản dịch vụ. Một nhà cung cấp có thể hoàn toàn tuân thủ GDPR mà vẫn dùng nội dung email để huấn luyện mô hình nội bộ, cải thiện hệ thống lọc hoặc đưa ra quyết định về sản phẩm.

Đa số mọi người không đọc kỹ điều khoản. Đa số mặc định "tuân thủ" nghĩa là thư từ của họ được coi là riêng tư. Hai chuyện đó không phải lúc nào cũng giống nhau.

GDPR trong giao tiếp email khác ở chỗ nào

Phần lớn các cuộc thảo luận về GDPR xoay quanh sự đồng ý - người đó có đồng ý nhận email này không, có đồng ý cho xử lý dữ liệu không. Nhưng thư từ kinh doanh thông thường lại vận hành khác. Khi nhà cung cấp gửi cho bạn một báo giá, khi khách hàng gửi một bản tóm tắt yêu cầu, khi đồng nghiệp chuyển tiếp một tài liệu - không ai ký gì cả. Không ai chọn tham gia.

Nội dung email là dữ liệu cá nhân theo GDPR. Tên, địa chỉ email, tệp đính kèm, các cuộc trò chuyện về người khác - tất cả đều thuộc phạm vi định nghĩa của quy định. Tên người gửi nằm trong header. Lời họ viết nằm trong nội dung. Người ta gửi mật khẩu, thông tin đăng nhập, hợp đồng, chi tiết tài chính - mà không hề nghĩ đến chuyện nội dung đó thực sự sẽ kết thúc ở đâu. Theo GDPR, bất kỳ dữ liệu nào có thể dùng riêng lẻ hoặc kết hợp để nhận dạng một người đều đủ điều kiện. Một chuỗi email thì quá dễ.

Vậy cơ sở pháp lý nào cho phép người nhận lưu trữ và xử lý tin nhắn đó? GDPR yêu cầu mọi hoạt động xử lý phải có cơ sở pháp lý. Cơ sở thường được viện dẫn nhất cho thư từ kinh doanh nhận được là "lợi ích chính đáng" - ý tưởng rằng giữa các bên có mối quan hệ liên quan và tương xứng. Nói nôm na: bạn nhận một email trong quá trình làm việc, lưu nó là hợp lý. Đó là cơ sở mà hầu hết tổ chức đang dựa vào, dù họ có biết hay không.

Một số tổ chức cố gắng bù đắp việc không có thỏa thuận nào bằng cách thêm dòng tuyên bố ở chân thư - kiểu như tin nhắn này chỉ dành cho người nhận được nêu tên và nghiêm cấm sử dụng trái phép. Những dòng tuyên bố này không tạo ra nghĩa vụ pháp lý. Chúng được người gửi thêm vào sau khi tin nhắn đã rời khỏi tầm kiểm soát của họ, đến hạ tầng mà họ không có bất kỳ thỏa thuận nào. Chúng có thể thể hiện ý định, nhưng không ràng buộc ai. Và ngoài câu chuyện pháp lý, còn một câu chuyện thực tế: kỳ vọng ngầm về sự riêng tư trong thư từ là có thật, bất kể điều khoản nào cho phép gì. Khi kỳ vọng đó bị phá vỡ - bởi nhà cung cấp, dù có chủ ý hay không - thiệt hại về niềm tin thường là vĩnh viễn.

Cách chúng tôi tiếp cận với Grace Mail

Chúng tôi thiết kế Grace Mail xoay quanh một nguyên tắc vượt xa mức tối thiểu mà quy định yêu cầu. Dữ liệu của bạn không được đọc, sử dụng hay truy cập bởi bất kỳ ai ngoài tổ chức của bạn, kể cả chúng tôi.

Trên thực tế, điều đó có nghĩa là mỗi khách hàng có một instance riêng - máy chủ của bạn, dữ liệu của bạn, không chia sẻ hạ tầng. Có nghĩa là mã hóa được áp dụng triệt để, giảm tối đa thời gian nội dung tồn tại bên ngoài bộ lưu trữ đã mã hóa. Có nghĩa là xóa thật khi được yêu cầu, và bản sao lưu hết hạn theo lịch định sẵn. Và có nghĩa là một mail client riêng đang được phát triển, đưa khóa mã hóa trực tiếp vào tay người dùng để củng cố thêm bảo mật.

Không điều nào trong số này là bắt buộc theo GDPR. Chúng tôi nghĩ chúng nên là mức cơ bản dù sao đi nữa.

Trong trường hợp hiếm hoi có gì đó trục trặc, mô hình instance riêng nghĩa là phạm vi ảnh hưởng giới hạn ở một tổ chức. Không phải hàng triệu hộp thư. Chỉ một.

Khuyến nghị của chúng tôi

Email hiếm khi được xem xét lại cho đến khi có chuyện buộc phải xem. Nó vẫn chạy, nên cứ để vậy. Nhưng việc thực thi GDPR đang ngày càng chặt chẽ, chuyện huấn luyện AI trên dữ liệu giao tiếp không còn là mối lo của số ít, và những doanh nghiệp coi quyền riêng tư là chuyện phụ ngày càng dễ bị soi - và ngày càng phải chịu trách nhiệm. Đáng để hỏi đội ngũ pháp lý và kỹ thuật xem email của bạn thực sự được xử lý ra sao, nằm ở đâu, và điều khoản của nhà cung cấp cho phép họ làm gì với nó.