Trung Quốc đã công bố dự thảo quy định mới yêu cầu ứng dụng di động phải xin “đồng ý rõ ràng” trước khi thu thập dữ liệu cá nhân, nhằm siết chặt cách doanh nghiệp internet xử lý thông tin người dùng.
Dự thảo “Quy định quản lý an ninh dữ liệu mạng” nêu chi tiết cách ứng dụng được phép thu thập và sử dụng nội dung do người dùng chia sẻ, đồng thời mở cổng lấy ý kiến công chúng đến hết ngày 9/2.
- Ứng dụng phải giải thích rõ mục đích và xin đồng ý trước khi thu thập dữ liệu, theo nguyên tắc “tối thiểu và cần thiết”.
- Doanh nghiệp phải giám sát công cụ bên thứ ba tích hợp trong app để ngăn lỗ hổng và hành vi thu thập dữ liệu ngầm.
- Micrô và camera chỉ được bật khi người dùng đang sử dụng; nhóm dữ liệu nhạy cảm bị quản chặt hơn.
Trung Quốc yêu cầu ứng dụng chỉ thu thập dữ liệu “tối thiểu và cần thiết” khi có đồng ý rõ ràng
Dự thảo quy định đặt nguyên tắc “tối thiểu và cần thiết” làm tiêu chuẩn: ứng dụng phải nói rõ dữ liệu nào sẽ thu thập và vì sao, đồng thời chỉ được thu thập khi người dùng đã đồng ý một cách rõ ràng.
Trọng tâm của dự thảo là giảm tình trạng điều khoản quyền riêng tư mơ hồ và hạn chế việc “xin quyền quá mức”. Cơ quan quản lý nhấn mạnh rằng doanh nghiệp phải minh bạch về nhu cầu dữ liệu trước khi thu thập, thay vì ẩn sau các chính sách khó hiểu hoặc thông báo không cụ thể.
Dự thảo cũng nhằm thống nhất cách tuân thủ trong toàn ngành công nghệ tại Trung Quốc, với một bộ tiêu chuẩn rõ ràng cho việc thu thập và sử dụng nội dung do người dùng chia sẻ. Người dân và các bên liên quan được gửi góp ý cho văn bản đến ngày 9/2.
Doanh nghiệp phải giám sát công cụ bên thứ ba tích hợp trong ứng dụng
Công ty công nghệ không chỉ chịu trách nhiệm cho phần mềm của mình, mà còn phải kiểm soát các công cụ bên thứ ba trong ứng dụng để phát hiện lỗ hổng và ngăn thu thập dữ liệu bí mật.
Dự thảo quy định doanh nghiệp phải theo dõi các thành phần bên ngoài được nhúng vào app, bao gồm kiểm tra rủi ro bảo mật và bảo đảm các mô-đun này không âm thầm lấy dữ liệu người dùng. Yêu cầu này mở rộng nghĩa vụ tuân thủ từ “mã nguồn nội bộ” sang toàn bộ chuỗi cung ứng phần mềm trong ứng dụng.
Tài liệu dự thảo nêu các biện pháp bảo vệ cụ thể đối với “thông tin cá nhân nhạy cảm”, bao gồm dữ liệu của trẻ vị thành niên, dấu vân tay và quét khuôn mặt. Chi tiết tham khảo tại tài liệu dự thảo.
Theo dự thảo, ứng dụng phải cho phép người dùng giới hạn một số quyền dữ liệu nhất định mà không bị buộc phải ngừng sử dụng chương trình. Ngoài ra, nhà sản xuất điện thoại và đơn vị phân phối ứng dụng cũng phải rà soát phần mềm họ cung cấp và thông báo cho người dùng về các chương trình có thể gây rủi ro cho thông tin cá nhân.
Micrô và camera chỉ được truy cập khi người dùng đang sử dụng
Quy định mới yêu cầu micrô và camera chỉ được bật trong lúc người dùng đang thao tác, và phải tắt ngay khi kết thúc, nhằm ngăn việc ghi âm hoặc ghi hình nền.
Ví dụ, trong lúc ghi âm tin nhắn thoại hoặc chụp ảnh, ứng dụng có thể xin quyền truy cập micrô/camera. Nhưng ngay khi người dùng hoàn tất thao tác đó, ứng dụng phải chấm dứt quyền truy cập, không được để micrô hoạt động ngầm ở nền.
Dự thảo xuất hiện trong bối cảnh Trung Quốc tăng cường xử phạt vi phạm dữ liệu
Thời điểm ban hành dự thảo phản ánh xu hướng siết quản lý dữ liệu mạnh hơn, khi nhà chức trách tăng cường xử phạt các trường hợp xử lý dữ liệu sai quy định và muốn thiết lập chuẩn chung cho toàn ngành.
Dự thảo nêu bối cảnh Bắc Kinh đang đẩy mạnh giám sát các hành vi quản trị dữ liệu yếu kém. Việc gần đây có các án phạt liên quan tới thương hiệu Dior của LVMH tại Thượng Hải được xem như tín hiệu cho thấy cơ quan quản lý coi bảo vệ quyền riêng tư là ưu tiên thực thi, không chỉ là định hướng trên giấy.
Những câu hỏi thường gặp
Dự thảo quy định mới của Trung Quốc yêu cầu gì với ứng dụng di động?
Ứng dụng phải xin “đồng ý rõ ràng” trước khi thu thập dữ liệu cá nhân và tuân thủ nguyên tắc “tối thiểu và cần thiết”, nêu rõ dữ liệu cần lấy và mục đích sử dụng.
Doanh nghiệp có trách nhiệm gì với SDK và công cụ bên thứ ba trong ứng dụng?
Doanh nghiệp phải giám sát các công cụ bên thứ ba tích hợp trong app, kiểm tra lỗ hổng và bảo đảm không có thành phần nào bí mật thu thập dữ liệu người dùng.
Quy định mới tác động thế nào đến micrô và camera trên điện thoại?
Micrô và camera chỉ được phép hoạt động khi người dùng đang sử dụng tính năng đó, và phải tắt quyền truy cập ngay khi thao tác kết thúc, hạn chế truy cập nền.
Dữ liệu nào được xem là “thông tin cá nhân nhạy cảm” trong dự thảo?
Dự thảo đề cập dữ liệu của trẻ vị thành niên và dữ liệu sinh trắc học như dấu vân tay, quét khuôn mặt là nhóm nhạy cảm, cần các biện pháp bảo vệ cụ thể.
Người dùng có thể giới hạn quyền dữ liệu mà vẫn dùng ứng dụng không?
Có. Dự thảo yêu cầu ứng dụng cho phép người dùng hạn chế một số quyền dữ liệu nhất định mà không bị buộc phải ngừng sử dụng chương trình.
Hạn góp ý cho dự thảo quy định là khi nào?
Cơ quan quản lý mở lấy ý kiến công chúng về dự thảo đến ngày 9/2.