Quyền riêng tư là ràng buộc thiết kế, không phải bước kiểm tra cuối
Xử lý quyền riêng tư sau khi đã xây xong luôn đắt hơn nhiều lần so với thiết kế nó vào từ đầu. Và với dữ liệu cá nhân, sai lầm thường không sửa được — dữ liệu đã rò rỉ thì không thu hồi được.
Bốn nguyên tắc thực hành
- Thu thập tối thiểu. Chỉ thu thập thứ có câu hỏi cụ thể cần tới. "Biết đâu sau này cần" là lý do tệ nhất và phổ biến nhất.
- Giới hạn mục đích. Dữ liệu thu cho mục đích A không tự động dùng được cho mục đích B. Dùng lại cho mục đích mới cần xem xét lại.
- Giới hạn thời gian lưu. Đặt thời hạn cho từng loại dữ liệu và xoá tự động. Dữ liệu không còn cần là rủi ro không còn lợi ích.
- Giới hạn quyền truy cập. Không phải ai trong công ty cũng cần thấy dữ liệu cá nhân. Phần lớn phân tích chạy được trên dữ liệu đã ẩn danh hoặc tổng hợp.
Phân loại dữ liệu, và làm sớm
Ba mức là đủ cho hầu hết tổ chức:
- Công khai — không nhạy cảm.
- Nội bộ — không nên lộ ra ngoài nhưng không phải dữ liệu cá nhân.
- Nhạy cảm — định danh cá nhân, tài chính, sức khoẻ, vị trí.
Ẩn danh khó hơn vẻ ngoài
Bỏ tên và email không làm dữ liệu thành ẩn danh. Kết hợp vài trường tưởng như vô hại — mã bưu điện, ngày sinh, giới tính — thường đủ để xác định lại một cá nhân.
Với dữ liệu thật sự cần ẩn danh, hãy dùng tổng hợp theo nhóm đủ lớn, hoặc các kỹ thuật ẩn danh có cơ sở, chứ đừng chỉ xoá cột tên.
Quản trị nhẹ, không phải quan liêu
Quản trị dữ liệu thất bại khi nó trở thành một hội đồng duyệt mọi thứ. Ba cơ chế nhẹ hiệu quả hơn:
- Danh mục dữ liệu: có gì, ở đâu, ai sở hữu, phân loại mức nào.
- Một người duyệt cho việc thêm dữ liệu nhạy cảm mới.
- Rà soát hằng quý: dữ liệu nào không ai dùng trong sáu tháng thì xoá.
Sai lầm thường gặp
- Thu thập vì biết đâu sau này cần.
- Coi bỏ tên là đã ẩn danh.
- Không có thời hạn lưu trữ.
- Quản trị thành hội đồng duyệt mọi thứ.
Checklist kết bài
- [ ] Tôi chỉ thu thập dữ liệu có câu hỏi cụ thể cần tới.
- [ ] Dữ liệu được phân loại ba mức và mức nhạy cảm được bảo vệ riêng.
- [ ] Có thời hạn lưu trữ và cơ chế xoá tự động.
- [ ] Quản trị của tôi nhẹ: danh mục, một người duyệt, rà soát quý.
Phân loại dữ liệu — bước đầu tiên
Không thể bảo vệ thứ bạn không biết mình có. Phân loại tối thiểu:
| Mức | Gồm gì | Quy tắc |
|---|---|---|
| Công khai | Dữ liệu đã công bố | Không hạn chế |
| Nội bộ | Số liệu vận hành, không có dữ liệu cá nhân | Nhân viên truy cập được |
| Nhạy cảm | Thông tin định danh cá nhân, liên hệ | Chỉ người có nhu cầu công việc |
| Rất nhạy cảm | Tài chính, sức khoẻ, giấy tờ tuỳ thân, sinh trắc | Quyền hạn chế, có nhật ký truy cập |
Bốn nguyên tắc, áp dụng cụ thể
Thu thập tối thiểu. Với mỗi trường dữ liệu cá nhân, hỏi: câu hỏi nghiệp vụ nào cần tới nó? Không trả lời được thì đừng thu. "Biết đâu sau này cần" là lý do tệ nhất và phổ biến nhất.
Giới hạn mục đích. Dữ liệu thu để giao hàng không tự động dùng được cho marketing. Mục đích mới cần xem xét lại — và đôi khi cần sự đồng ý mới.
Giới hạn thời gian lưu. Đặt thời hạn cho từng loại và xoá tự động. Dữ liệu không còn cần là rủi ro không còn lợi ích. Đây là biện pháp giảm rủi ro rẻ nhất tồn tại.
Giới hạn quyền truy cập. Ai xem được gì, và có nhật ký không. Với dữ liệu rất nhạy cảm, nhật ký truy cập là điều kiện chứ không phải tuỳ chọn.
Khi phân tích cần dữ liệu nhạy cảm
Thường không cần dữ liệu gốc. Ba kỹ thuật:
- Ẩn danh — bỏ hẳn định danh, không phục hồi được
- Giả danh — thay định danh bằng mã, giữ khả năng nối
- Gộp nhóm — chỉ cho xem số liệu tổng hợp trên ngưỡng tối thiểu (ví dụ nhóm dưới 10 người thì không hiện)
Làm ngay
Liệt kê mọi trường dữ liệu cá nhân hệ thống bạn đang lưu. Với mỗi trường: câu hỏi nghiệp vụ nào cần nó, và giữ bao lâu? Trường nào không trả lời được cả hai là ứng viên xoá. <!--/les-append-->
<!--case-append-->
Áp dụng vào Căng tin số
App căng tin trông như một sản phẩm vô hại: thực đơn, đặt cơm, mã nhận món. Nhưng chỉ trong pilot, nó đã chạm vào ba loại dữ liệu nhạy cảm. Đăng nhập bằng mã số sinh viên qua hệ thống của trường. Khoảng 300 sinh viên nhận suất ăn hỗ trợ, tức là gắn với hoàn cảnh tài chính. Và những người như Thảo Vy có dị ứng đậu phộng, là thông tin sức khoẻ. Phân loại trước khi xây thêm bất cứ thứ gì:
| Dữ liệu | Mức | Ai được thấy |
|---|---|---|
| Thực đơn, giá, thành phần và chất gây dị ứng của từng món | Công khai | Mọi người, kể cả chưa đăng nhập |
| Số đơn, suất bỏ đi, thời gian xếp hàng theo ngày | Nội bộ | Phòng Quản trị – Đời sống, Hòa Bình |
| Lịch sử đặt món gắn mã số sinh viên | Nhạy cảm | Chỉ hệ thống, và người xử lý hoàn tiền |
| Tư cách nhận suất hỗ trợ | Rất nhạy cảm | Phòng Quản trị – Đời sống, có nhật ký truy cập |
Suất hỗ trợ cho thấy quyền riêng tư cũng là trải nghiệm. Thảo Vy ngại đưa phiếu giấy ra giữa hàng người. Nếu app hiện chữ "suất hỗ trợ" trên phiếu in hay màn hình quầy, nó lặp lại đúng nỗi ngại đó bằng công nghệ. Mã nhận món 4 số giống nhau cho mọi người; việc kiểm quy tắc tối đa một suất mỗi ngày, chỉ ngày thường, không dùng mua nước nên chạy trong hệ thống, và nhân viên quầy không cần biết ai nhận hỗ trợ.
Giới hạn mục đích là chỗ hai tổ chức dễ va nhau. Hòa Bình cần dữ liệu để nấu đủ và đối soát tiền; họ không cần mã số sinh viên để làm việc đó. Dữ liệu chuyển cho Hòa Bình nên là số liệu tổng hợp theo ngày, theo món, theo khung giờ. Và dữ liệu đặt cơm thu để phục vụ bữa trưa không tự động được dùng để theo dõi sinh viên hỗ trợ ăn gì, mua gì. Muốn dùng cho mục đích đó thì phải xem xét lại, công khai với sinh viên.
Gộp nhóm cũng cần ngưỡng. Một báo cáo "suất hỗ trợ theo khoa" nghe vô hại, nhưng khoa nào chỉ có hai em nhận thì báo cáo đó gần như nêu tên. Áp quy tắc: nhóm dưới 10 người thì không hiện.
Thời hạn lưu: giả sử lịch sử đơn gắn mã số sinh viên giữ một học kỳ để xử lý hoàn tiền và khiếu nại, sau đó chỉ còn số liệu tổng hợp. Khi giảng viên và nhân viên trường được vào app, họ cũng cần một định danh không phải mã số sinh viên, và lúc đó là dịp để rà lại toàn bộ bảng này.
Thử ngay: liệt kê mọi trường dữ liệu cá nhân mà app đang lưu. Với mỗi trường, ghi câu hỏi nghiệp vụ cần tới nó và thời hạn giữ. Trường nào không có câu trả lời là ứng viên xoá. <!--/case-append-->