Ba luật dữ liệu và MyData

1. Tổng quan

A. Định nghĩa

Ba luật dữ liệu là tên gọi chung của Luật Bảo vệ Thông tin Cá nhân · Luật Mạng Thông tin và Truyền thông · Luật Thông tin Tín dụng của Hàn Quốc, là đợt sửa đổi luật (có hiệu lực năm 2020) tăng cường bảo vệ thông tin cá nhân đồng thời mở đường cho việc khai thác dữ liệu thông qua đưa vào khái niệm thông tin bí danh hóa v.v.. MyData là dịch vụ dựa trên quyền tự quyết về thông tin cá nhân, cho phép chủ thể thông tin trực tiếp quản lý thông tin cá nhân của mình nằm rải rác ở nhiều tổ chức và yêu cầu truyền tới nơi mình muốn (quyền yêu cầu truyền dữ liệu) để tích hợp · khai thác.

Mục đích cốt lõi của việc sửa đổi Ba luật dữ liệu là 'cân bằng giữa bảo vệ và khai thác (Balance between Protection and Utilization)'. Trong thời đại Cách mạng công nghiệp lần thứ tư, dữ liệu trở thành yếu tố sản xuất cốt lõi đến mức được ví như dầu thô, nhưng có một thế lưỡng nan: nếu quy định về thông tin cá nhân quá nghiêm ngặt thì các ngành dựa trên dữ liệu bị thu hẹp, ngược lại nếu quy định lỏng lẻo thì quyền riêng tư bị xâm phạm. Trước khi sửa đổi, tại Hàn Quốc về nguyên tắc muốn sử dụng thông tin cá nhân thì phải có sự đồng ý trước của chủ thể thông tin (opt-in), và trong các ngành cần kết hợp · phân tích lượng lớn dữ liệu như dữ liệu lớn · huấn luyện AI, chi phí thu thập sự đồng ý này trên thực tế trở thành rào cản ngăn việc khai thác. Ba luật dữ liệu giải quyết thế lưỡng nan này bằng một cơ chế thể chế là thông tin bí danh hóa (Pseudonymized Data). Thông tin đã được xử lý bí danh để không thể trực tiếp xác định cá nhân được mở cho phép sử dụng mà không cần sự đồng ý của chủ thể thông tin, nhưng chỉ giới hạn trong mục đích lập thống kê · nghiên cứu khoa học · lưu trữ hồ sơ vì lợi ích công cộng, đồng thời nghiêm cấm tái định danh — nhận diện lại một cá nhân cụ thể — và xử lý vi phạm bằng tiền phạt hành chính · hình phạt.

Đồng thời, các cơ quan giám sát thông tin cá nhân vốn phân tán được thống nhất về Ủy ban Bảo vệ Thông tin Cá nhân (PIPC), chỉnh đốn sự chồng chéo và vùng trống của hệ thống quy phạm. Trước khi sửa đổi, Luật Bảo vệ Thông tin Cá nhân (Bộ Hành chính và An ninh), Luật Mạng Thông tin và Truyền thông (Ủy ban Truyền thông Hàn Quốc), Luật Thông tin Tín dụng (Ủy ban Dịch vụ Tài chính) điều chỉnh các vấn đề tương tự theo những tiêu chuẩn khác nhau khiến đối tượng tuân thủ rất bối rối, và nay được gom về một cơ quan giám sát độc lập duy nhất. MyData vận hành chính trên nền tảng đã được chỉnh đốn này. MyData là sự hiện thực hóa cụ thể của chủ quyền dữ liệu (Data Sovereignty), tập hợp 'thông tin của tôi' bị phân mảnh ở nhiều tổ chức về doanh nghiệp do tôi chỉ định, để nhận các dịch vụ cá nhân hóa như tra cứu tài sản hợp nhất, gợi ý tài chính theo nhu cầu, quản lý sức khỏe.

B. Bối cảnh sửa đổi và sự cần thiết

Việc sửa đổi Ba luật dữ liệu là kết quả của ba nhóm yêu cầu vừa đối lập vừa chồng lấn đan xen nhau. Thứ nhất là yêu cầu thúc đẩy nền kinh tế dữ liệu: khi EU năm 2018 thể chế hóa quyền di chuyển dữ liệu cùng với GDPR để đặt nền móng cho ngành dữ liệu, Hàn Quốc cũng cần căn cứ khai thác để bảo đảm sự tương thích quốc tế và năng lực cạnh tranh công nghiệp. Thứ hai là yêu cầu tăng cường bảo vệ quyền riêng tư: kết hợp dữ liệu càng tăng thì nguy cơ tái định danh · rò rỉ càng lớn, nên mở rộng khai thác bao nhiêu thì cũng phải tăng cường cơ chế an toàn bấy nhiêu. Thứ ba là giải quyết sự phân tán cơ quan giám sát như đã nêu. Bản chất của Ba luật dữ liệu là gộp ba yêu cầu này thành một gói sửa đổi, thể chế hóa điểm cân bằng đánh đổi giữa 'con đường khai thác không cần đồng ý (thông tin bí danh hóa)' và 'cấm tái định danh · thống nhất giám sát (bảo vệ)'.

2. Cấu trúc của Ba luật dữ liệu và nội dung sửa đổi chính

A. Cấu trúc tổng thể

Sơ đồ cấu trúc tổng thể dưới đây cho thấy Ba luật dữ liệu bao quát ba đạo luật như thế nào và quy tụ về hai trục là thông tin bí danh hóa và thống nhất giám sát.

flowchart TB
  D["Ba luật dữ liệu (gói sửa đổi)"] --> P["Luật Bảo vệ Thông tin Cá nhân"]
  D --> N["Luật Mạng Thông tin và Truyền thông"]
  D --> C["Luật Thông tin Tín dụng"]
  P --> G1["Đưa vào thông tin bí danh hóa (khai thác không cần đồng ý)"]
  P --> G2["Thống nhất cơ quan giám sát (PIPC)"]
  N --> G2
  C --> G3["Xây dựng căn cứ MyData tài chính"]
  G1 --> BAL["Cân bằng giữa bảo vệ và khai thác"]
  G2 --> BAL
  G3 --> BAL
  style D fill:#e8f0fe,stroke:#2f6fed,stroke-width:2px
  style BAL fill:#ecfdf5,stroke:#059669,stroke-width:2px

Điểm cốt lõi của hình này là ba đạo luật tuy xử lý các lĩnh vực khác nhau (thông tin cá nhân nói chung · trực tuyến · thông tin tín dụng) nhưng rốt cuộc đều quy tụ về một mục tiêu là 'cân bằng giữa bảo vệ và khai thác'. Các điều khoản về thông tin cá nhân của Luật Mạng Thông tin và Truyền thông được chuyển sang Luật Bảo vệ Thông tin Cá nhân để giải quyết chồng chéo, và Luật Thông tin Tín dụng xây dựng căn cứ pháp lý cho MyData tài chính, nhờ đó các quy phạm vốn phân tán đã có được tính nhất quán.

B. Nội dung sửa đổi chính theo từng luật

Bảng dưới đây là tài liệu bổ trợ tóm tắt các điểm sửa đổi của ba đạo luật, còn bối cảnh của từng hạng mục được giải thích trong phần văn xuôi phía trên và phía dưới.

Trọng tâm thực tiễn của đợt sửa đổi nằm ở cho phép khai thác thông tin bí danh hóa và thể chế hóa việc kết hợp dữ liệu. Để kết hợp thông tin bí danh hóa do các tổ chức khác nhau nắm giữ, không được tùy ý gộp lại mà phải kết hợp an toàn thông qua tổ chức chuyên môn dữ liệu (tổ chức chuyên trách kết hợp) do nhà nước chỉ định, rồi được thẩm định rủi ro tái định danh. Ví dụ, nghiên cứu kết hợp dữ liệu khám chữa bệnh của cơ sở y tế với dữ liệu yêu cầu bồi thường của công ty bảo hiểm để xây dựng mô hình dự đoán bệnh tật đã trở nên hợp pháp thông qua thủ tục này. Đặc điểm của đợt sửa đổi là áp dụng cấu trúc mở cửa cho khai thác nhưng ngăn lạm dụng · sử dụng sai bằng cách đặt cơ chế an toàn 'thông qua tổ chức được chỉ định trong điều kiện có kiểm soát' chứ không phải 'bất kỳ ai cũng tùy ý'.

C. Ba cấp phân loại thông tin cá nhân

Sau Ba luật dữ liệu, thông tin cá nhân được phân thành ba cấp theo phạm vi có thể xử lý. Hiểu phân loại này là cốt lõi của chế độ thông tin bí danh hóa.

Điều quan trọng là thông tin bí danh hóa là vùng dung hòa giữa 'khai thác không cần đồng ý' và 'bảo vệ hoàn toàn'. Thông tin ẩn danh có thể dùng tự do nhưng không thể khôi phục nên giá trị phân tích giảm mạnh, còn thông tin cá nhân gốc cần sự đồng ý để khai thác nên chi phí lớn. Thông tin bí danh hóa là một phát minh thể chế nằm ở điểm giao giữa khai thác và bảo vệ, duy trì phần lớn giá trị phân tích trong khi kiểm soát rủi ro bằng cách cấm tái định danh.

3. Khái niệm và cấu trúc vận hành của MyData

A. Quyền yêu cầu truyền dữ liệu và luồng dữ liệu

Trái tim pháp lý của MyData là quyền yêu cầu truyền dữ liệu (quyền yêu cầu truyền thông tin). Đây là quyền cho phép chủ thể thông tin yêu cầu một tổ chức cụ thể (bên cung cấp thông tin) gửi thông tin của mình đang được lưu giữ sang tổ chức khác (doanh nghiệp MyData), tương ứng với 'quyền di chuyển dữ liệu (Right to Data Portability)' của GDPR. Sơ đồ kiến trúc chi tiết dưới đây thể hiện luồng dữ liệu thực tế của MyData.

sequenceDiagram
  participant U as Chủ thể thông tin (cá nhân)
  participant M as Doanh nghiệp MyData
  participant CA as Cổng tổng hợp·tổ chức xác thực
  participant P as Bên cung cấp thông tin (ngân hàng·bệnh viện v.v.)
  U->>M: Đăng ký dịch vụ·đồng ý truyền
  M->>CA: Yêu cầu xác minh danh tính·cấp token truy cập
  CA-->>M: Xác thực·kiểm chứng sự đồng ý
  M->>P: Yêu cầu truyền thông tin qua API chuẩn (xuất trình token)
  P-->>M: Trả về thông tin cá nhân (truyền có mã hóa)
  M-->>U: Cung cấp tra cứu hợp nhất·phân tích cá nhân hóa

Cốt lõi của luồng này là 'cá nhân chỉ thị việc di chuyển thông tin của chính mình, và việc di chuyển đó được trung gian an toàn bằng API chuẩn · xác thực · mã hóa'. Bên cung cấp thông tin chỉ trả thông tin khi đã xác nhận được sự đồng ý của cá nhân và token truy cập hợp lệ, sự đồng ý phải được xác định cụ thể về mục đích · hạng mục · thời hạn và có thể rút lại bất cứ lúc nào. Tức là MyData không phải là việc sao chép dữ liệu đơn thuần mà là hệ thống truyền dữ liệu bảo đảm về mặt thủ tục quyền kiểm soát của chủ thể thông tin.

B. Thông tin cung cấp theo từng ngành

Phạm vi thông tin cung cấp và thời điểm thi hành MyData khác nhau theo từng ngành. Lĩnh vực tài chính đi trước nhất với việc thi hành toàn diện từ tháng 1/2022, và đang lan rộng sang lĩnh vực y tế · công.

MyData tài chính dẫn đầu vì Luật Thông tin Tín dụng đã thể chế hóa trước ngành nghề cần cấp phép là ngành quản lý thông tin tín dụng cá nhân và hệ thống API chuẩn. Ví dụ tiêu biểu là dịch vụ tra cứu hợp nhất trên một ứng dụng các tài sản nằm rải rác ở nhiều ngân hàng · công ty thẻ và phân tích tài sản ròng · chi tiêu; sau khi thi hành, lượng người đăng ký lên tới hàng chục triệu, trở thành chuẩn mực của tài chính cá nhân hóa. Ngược lại, MyData y tế (ví dụ: 'Đường cao tốc thông tin sức khỏe') có tốc độ lan tỏa tương đối chậm do yêu cầu chuẩn hóa dữ liệu và bảo vệ thông tin nhạy cảm khắt khe, đây là kết quả của việc khác biệt về đặc tính dữ liệu và mức độ quản lý của từng ngành được phản ánh vào thứ tự thi hành.

4. So sánh giữa Hàn Quốc và quốc tế cùng hàm ý

Nguồn gốc tư tưởng của MyData là phong trào MyData của châu Âu · Phần Lan và quyền di chuyển dữ liệu của GDPR. Tuy nhiên, nếu quyền di chuyển của GDPR gần với một tuyên bố quyền rằng cá nhân 'có thể tải xuống hoặc chuyển' dữ liệu của mình, thì MyData của Hàn Quốc khác biệt ở chỗ đã được cụ thể hóa thông qua Luật Thông tin Tín dụng thành mô hình công nghiệp có đủ API chuẩn · doanh nghiệp được cấp phép · cơ chế tính phí. Sự khác biệt này xuất hiện vì Hàn Quốc, ngoài việc bảo đảm quyền, còn muốn tạo ra một 'thị trường vận hành được' nên đã bắt buộc bằng thể chế quy cách truyền chuẩn giữa bên cung cấp thông tin và doanh nghiệp cùng cơ cấu quyết toán chi phí. Kết quả là dịch vụ lan tỏa nhanh, nhưng cũng kéo theo các thách thức thực tiễn như gánh nặng xây dựng API của bên cung cấp thông tin và việc điều phối lợi ích xoay quanh chi phí cung cấp dữ liệu.

5. Chuyên sâu — MyData 2.0 và mở rộng sang mọi lĩnh vực

Xu hướng chính sách gần đây là mở rộng MyData vốn giới hạn trong tài chính sang mọi ngành. Khi Luật Bảo vệ Thông tin Cá nhân sửa đổi năm 2023 đưa quyền yêu cầu truyền thông tin cá nhân vào thành quy định chung, nền tảng pháp lý để áp dụng MyData cho mọi lĩnh vực — không chỉ tài chính mà cả y tế · công · viễn thông — đã được hình thành (nghị định thi hành · chuẩn hóa đang được tiếp tục triển khai). Cái gọi là 'MyData 2.0' hướng tới ① mở rộng phạm vi cung cấp thông tin, ② tăng cường quyền kiểm soát của chủ thể thông tin (nâng cao hiệu lực thực tế của lịch sử truyền · rút lại), ③ mở rộng chuẩn hóa dữ liệu · khả năng tương tác, ④ mở rộng kinh doanh kiêm nhiệm · dịch vụ kết hợp của doanh nghiệp MyData.

Tuy nhiên, việc mở rộng sang mọi lĩnh vực cũng có những thách thức rõ rệt. Mỗi lĩnh vực có định dạng · ý nghĩa dữ liệu khác nhau nên chuẩn hóa (ontology · quy cách API) phải được giải quyết trước, và thông tin nhạy cảm như y tế · viễn thông gây thiệt hại lớn khi rò rỉ nên cần bảo mật · quản lý đồng ý được tăng cường. Ngoài ra, nếu một số ít nền tảng lớn độc chiếm dữ liệu thì chủ quyền dữ liệu có thể chỉ còn là hình thức, vì vậy mấu chốt là bảo vệ bằng thể chế tính lấy chủ thể thông tin làm trung tâm. Phần này là ví dụ tốt cho thấy dưới góc nhìn Kỹ sư chuyên nghiệp Quản lý Thông tin, 'chuẩn hóa công nghệ · kiến trúc bảo mật · quản trị' phải ăn khớp hữu cơ với nhau như thế nào.

6. Những điểm cần cân nhắc và hàm ý

1. Chuẩn hóa và hạ tầng truyền an toàn là tiền đề để thúc đẩy. Phải chuẩn hóa bằng API dữ liệu khác nhau của từng tổ chức và có quy cách truyền an toàn dựa trên xác thực · mã hóa · token truy cập thì MyData mới thực sự vận hành. Nếu không có chuẩn, mỗi tổ chức sẽ cung cấp dữ liệu theo cách tùy ý, khả năng tương tác sụp đổ và sự lan tỏa bị đình trệ.

2. Bảo mật · quyền riêng tư là nền tảng của sự tin cậy. Càng gom thông tin rải rác về một nơi thì thiệt hại khi rò rỉ · tái định danh càng tập trung, nên bắt buộc phải bảo đảm thu thập tối thiểu, xác thực mạnh (MFA), mã hóa khi truyền và lưu trữ, hiệu lực thực tế của việc rút lại sự đồng ý. Lợi ích của MyData chỉ thành lập trên 'niềm tin rằng nó an toàn'.

3. Phải song song quản lý rủi ro tái định danh thông tin bí danh hóa và quản trị. Kết hợp dữ liệu · xử lý bí danh càng tăng thì càng phải thường xuyên kiểm tra khả năng tái định danh từ dữ liệu đã kết hợp, và việc kiểm soát kết hợp thông qua tổ chức chuyên môn dữ liệu, tuân thủ cấm tái định danh, đánh giá rủi ro định kỳ phải vận hành như cơ chế an toàn mang tính thể chế ngăn lạm dụng · sử dụng sai.

4. Phải tiến tới hiện thực chủ quyền dữ liệu lấy chủ thể thông tin làm trung tâm. Điều mà công nghệ và thể chế rốt cuộc hướng tới là để cá nhân trở thành chủ nhân dữ liệu của mình và lấy lại giá trị của nó, vì vậy cần thiết kế kiềm chế sự độc chiếm dữ liệu của số ít nền tảng và cho phép cá nhân thực sự thực thi quyền kiểm soát · lịch sử truyền.

5. Phải xem xét tính tương thích quốc tế và vấn đề biên giới dữ liệu. Tính tương thích với các quy định toàn cầu như GDPR và vấn đề chuyển dữ liệu xuyên biên giới (quyết định về mức độ bảo vệ tương xứng) gắn trực tiếp với năng lực cạnh tranh quốc tế của ngành dữ liệu, nên khi thiết kế · vận hành chế độ MyData · thông tin bí danh hóa cần một mô hình quản trị cân nhắc đồng thời việc liên kết với tiêu chuẩn quốc tế và cơ chế công nhận lẫn nhau.

Tài liệu tham khảo

• Ủy ban Bảo vệ Thông tin Cá nhân Hàn Quốc, "Luật Bảo vệ Thông tin Cá nhân và Hướng dẫn xử lý thông tin bí danh hóa"
• Ủy ban Dịch vụ Tài chính · Viện An ninh Tài chính Hàn Quốc, "Quy cách API chuẩn MyData lĩnh vực tài chính"
• EU, "General Data Protection Regulation (GDPR)", Art. 20 Right to data portability

Tóm tắt một câu: Ba luật dữ liệu là đợt sửa đổi thể chế hóa sự cân bằng giữa bảo vệ và khai thác bằng việc đưa vào thông tin bí danh hóa và thống nhất giám sát, còn MyData là dịch vụ chủ quyền dữ liệu dùng quyền yêu cầu truyền dữ liệu để tích hợp · khai thác thông tin cá nhân rải rác bằng API chuẩn · xác thực · mã hóa, với chuẩn hóa, bảo mật, quản lý tái định danh và tính lấy chủ thể thông tin làm trung tâm là tiền đề để thúc đẩy.