GDPR có ý nghĩa gì với email của bạn - và nó không bao gồm những gì

GDPR yêu cầu những gì

Về cốt lõi, GDPR quy định rằng dữ liệu cá nhân phải được thu thập cho một mục đích cụ thể, chỉ dùng cho mục đích đó, được bảo vệ với sự cẩn trọng hợp lý, và bị xóa khi không còn cần đến.

Riêng với email, điều này mang ý nghĩa thực tế ở vài điểm. Dữ liệu phải nằm ở những nơi được xác định rõ và được bảo vệ. Quyền truy cập phải được kiểm soát và ghi log. Khi người dùng hoặc tổ chức yêu cầu xóa, việc xóa đó phải là xóa thật - chứ không phải đánh dấu mềm trong cơ sở dữ liệu trong khi nội dung thực sự vẫn tồn tại nhiều năm.

Điểm cuối này quan trọng hơn vẻ ngoài của nó. Xóa thật nghĩa là cơ sở dữ liệu thực thi lệnh xóa, và bản sao lưu hết hạn theo lịch đã định. Không phức tạp, nhưng cần có chủ đích.

Khi "tuân thủ" trở nên phức tạp

GDPR điều chỉnh việc bảo vệ dữ liệu. Nó không cấm nhà cung cấp sử dụng dữ liệu của bạn trong hệ thống của họ, miễn là được nêu rõ trong điều khoản dịch vụ. Một nhà cung cấp có thể tuân thủ GDPR hoàn toàn mà vẫn dùng nội dung email để huấn luyện mô hình nội bộ, cải thiện hệ thống lọc, hoặc phục vụ các quyết định về sản phẩm.

Phần lớn mọi người không đọc kỹ điều khoản. Phần lớn mặc định rằng "tuân thủ" nghĩa là thư từ của họ được giữ riêng tư. Hai chuyện đó không phải lúc nào cũng giống nhau.

GDPR trong giao tiếp email lại khác

Hầu hết các thảo luận về GDPR xoay quanh sự đồng thuận - người đó có đồng ý nhận email này không, có đồng ý cho xử lý dữ liệu không. Nhưng thư từ kinh doanh thông thường lại vận hành khác. Khi một nhà cung cấp gửi báo giá, khi khách hàng gửi yêu cầu, khi đồng nghiệp chuyển tiếp tài liệu - không ai ký gì cả. Không ai chọn tham gia.

Nội dung email là dữ liệu cá nhân theo GDPR. Tên, địa chỉ email, tệp đính kèm, các cuộc trò chuyện về con người - tất cả đều thuộc phạm vi định nghĩa của quy định. Tên người gửi nằm ở header. Lời họ nói nằm trong nội dung. Người ta gửi mật khẩu, thông tin đăng nhập, hợp đồng, chi tiết tài chính - mà không suy nghĩ về việc những nội dung đó thực sự sẽ đi đâu. Theo GDPR, bất kỳ dữ liệu nào có thể dùng riêng lẻ hoặc kết hợp để xác định một người đều thuộc phạm vi này. Một chuỗi email dễ dàng đáp ứng tiêu chí.

Vậy cơ sở pháp lý nào cho phép người nhận lưu trữ và xử lý thư đó? GDPR yêu cầu phải có cơ sở hợp pháp cho mọi hoạt động xử lý. Cơ sở thường được viện dẫn nhất cho thư từ kinh doanh nhận được là "lợi ích chính đáng" - ý tưởng rằng giữa các bên tồn tại một mối quan hệ liên quan và tương xứng. Nói nôm na: bạn nhận một email trong quá trình kinh doanh, việc lưu trữ nó là hợp lý. Đây là cơ sở mà hầu hết các tổ chức dựa vào, dù họ có biết điều đó hay không.

Một số tổ chức cố gắng xử lý việc thiếu thỏa thuận bằng dòng tuyên bố ở chân thư - câu nói rằng thư chỉ dành cho người nhận được nêu tên và việc sử dụng trái phép bị cấm. Những tuyên bố này không tạo ra nghĩa vụ pháp lý. Chúng được người gửi thêm vào sau khi thư đã rời khỏi tầm kiểm soát của họ, đến hạ tầng mà họ không có thỏa thuận gì. Chúng có thể bày tỏ ý định, nhưng không ràng buộc ai. Và ngoài khía cạnh pháp lý còn có khía cạnh thực tế: kỳ vọng ngầm về tính riêng tư trong thư từ là có thật, bất kể điều khoản nào cho phép gì. Khi kỳ vọng đó bị phá vỡ - bởi nhà cung cấp, dù cố ý hay không - thiệt hại về niềm tin thường là vĩnh viễn.

Cách chúng tôi nghĩ về vấn đề này với Grace Mail

Chúng tôi thiết kế Grace Mail dựa trên một nguyên tắc vượt xa mức tối thiểu mà quy định đặt ra. Dữ liệu của bạn không được phép đọc, sử dụng hay truy cập bởi bất kỳ ai bên ngoài tổ chức của bạn, kể cả chúng tôi.

Trên thực tế, điều này có nghĩa là mỗi khách hàng có một instance riêng - máy chủ riêng của bạn, dữ liệu của bạn, không chia sẻ hạ tầng. Mã hóa được áp dụng mạnh mẽ, giảm tối đa thời gian nội dung tồn tại bên ngoài kho lưu trữ đã mã hóa. Khi có yêu cầu xóa, đó là xóa thật, và các bản sao lưu hết hạn theo lịch đã định. Và một mail client tùy chỉnh đang được phát triển sẽ đưa khóa mã hóa trực tiếp vào tay người dùng để tăng cường bảo mật.

GDPR không yêu cầu điều nào trong số này. Nhưng chúng tôi cho rằng đây nên là mức cơ bản.

Trong trường hợp khó xảy ra là có chuyện trục trặc, mô hình instance riêng đảm bảo phạm vi ảnh hưởng chỉ gói gọn trong một tổ chức. Không phải hàng triệu hộp thư. Chỉ một.

Khuyến nghị của chúng tôi

Email hiếm khi được xem xét lại cho đến khi có điều gì đó buộc phải làm vậy. Nó vẫn chạy, nên cứ để vậy. Nhưng việc thực thi GDPR đang ngày càng trưởng thành, việc huấn luyện AI trên dữ liệu trao đổi không còn là mối lo ngách, và những doanh nghiệp xem quyền riêng tư là chuyện phụ ngày càng dễ bị nhận diện - và ngày càng phải chịu trách nhiệm. Bạn nên hỏi các đội pháp lý và kỹ thuật của mình xem email thực sự được xử lý ra sao, nằm ở đâu, và điều khoản của nhà cung cấp cho phép họ làm gì với nó.