Luật pháp và thẩm quyền

GDPR là gì?

Còn được gọi là: General Data Protection Regulation

Định nghĩa

The GDPR is the EU regulation governing processing of personal data of people in the EU, regardless of where the processing happens. It follows the data subject rather than the server, so hosting outside the EU does not exempt you — it adds a transfer-mechanism obligation such as standard contractual clauses.

Tại sao GDPR quan trọng

Quy định này đi theo chủ thể dữ liệu chứ không phải máy chủ, vì vậy lưu trữ bên ngoài EU không miễn trừ cho bạn — nó thêm nghĩa vụ cơ chế chuyển dữ liệu như điều khoản hợp đồng tiêu chuẩn.

GDPR trong thực tế

Về mặt vận hành, GDPR là một bài tập về giấy tờ. Bạn phải biết bạn lưu trường dữ liệu nào cho người dùng cư trú tại EU, tại sao bạn lưu chúng, và cơ sở pháp lý của bạn. Sau đó bạn ghi chép lại. Bạn cập nhật quy trình khi có gì đó thay đổi. Vi phạm có nghĩa là ghi lại sự rò rỉ và đôi khi thông báo, điều này ngốn thời gian bạn không tính trước. Bỏ qua nó và cơ quan giám sát có thể phạt bạn; lúc đó sự ẩn danh của bạn trên nền tảng không giúp được gì, vì cơ quan quản lý theo dữ liệu, không phải máy chủ.

Điều mọi người hiểu sai về GDPR

Lỗi phổ biến là giả định rằng vì bạn lưu trữ bên ngoài EU, GDPR không áp dụng. Thực tế nó vẫn áp dụng nếu bạn xử lý dữ liệu của người dân EU. Ở nước ngoài thêm một nghĩa vụ, không phải miễn trừ. Bạn vẫn cần cơ chế chuyển dữ liệu, chẳng hạn như điều khoản hợp đồng tiêu chuẩn, hoặc cơ sở pháp lý như sự đồng ý.

GDPR — các câu hỏi thường gặp

GDPR có áp dụng cho máy chủ ngoài EU không?

Có. GDPR theo chủ thể dữ liệu, không theo vị trí máy chủ. Nếu bạn xử lý dữ liệu cá nhân của người dân EU, bạn bị điều chỉnh bất kể máy chủ ở đâu. Hosting ngoài khơi thêm nghĩa vụ cơ chế chuyển giao, chẳng hạn như điều khoản hợp đồng chuẩn, thay vì miễn trừ cho bạn.

Điều gì xảy ra nếu tôi bỏ qua GDPR?

Nếu bạn là bên kiểm soát hoặc xử lý dữ liệu, vi phạm có thể dẫn đến phạt tiền và biện pháp cưỡng chế từ cơ quan quản lý EU, ngay cả khi máy chủ ngoài EU. Ngoài ra, việc phản hồi yêu cầu từ chủ thể dữ liệu cần nỗ lực. Bỏ qua không làm vấn đề biến mất; nó làm mọi thứ tồi tệ hơn khi bạn phải giải thích lý do.

Nơi GDPR xuất hiện

Thêm từ luật pháp và thẩm quyền

Canary bảo đảm: Warrant canary là một tuyên bố được tái xuất bản thường xuyên rằng nhà cung cấp chưa nhận được yêu cầu pháp lý bí mật; sự biến mất của nó ngụ ý rằng một yêu cầu đã đến.
KYC: KYC là tập hợp các nghĩa vụ xác minh danh tính áp dụng cho các tổ chức tài chính được quản lý trước khi cung cấp dịch vụ.
Hosting không cần KYC: Lưu trữ No-KYC là dịch vụ lưu trữ máy chủ không yêu cầu xác minh danh tính — không cần ID chính phủ, địa chỉ thanh toán, số điện thoại hoặc thẻ thanh toán.
Hosting ngoài khơi: Lưu trữ nước ngoài (offshore hosting) nghĩa là đặt máy chủ tại một khu vực pháp lý khác với của bạn, thường là nơi nằm ngoài liên minh Fourteen Eyes và ngoài các quy định về lưu giữ dữ liệu của EU.
Five Eyes: Five Eyes là liên minh chia sẻ tình báo tín hiệu giữa Hoa Kỳ, Vương quốc Anh, Canada, Úc và New Zealand.
Fourteen Eyes: Fourteen Eyes là nhóm chia sẻ tình báo tín hiệu rộng nhất, bao gồm Five Eyes cộng thêm Đan Mạch, Pháp, Hà Lan, Na Uy, Bỉ, Đức, Ý, Tây Ban Nha và Thụy Điển.
MLAT: MLAT là một hiệp ước theo đó một quốc gia chính thức yêu cầu quốc gia khác thu thập bằng chứng thay mặt mình.
DMCA: DMCA là đạo luật bản quyền của Hoa Kỳ mà thủ tục thông báo-gỡ xuống và bến cảng an toàn (safe harbour) áp dụng cho các nhà cung cấp dịch vụ đặt tại Hoa Kỳ.