PbD (Privacy by Design)

1. Tổng quan

A. Định nghĩa

Phương pháp luận bảo vệ thông tin cá nhân do Ann Cavoukian (Ủy viên Thông tin và Quyền riêng tư bang Ontario) khởi xướng, nội tại hóa một cách chủ động việc bảo vệ quyền riêng tư ngay từ thời điểm thiết kế hệ thống, dịch vụ và quy trình kinh doanh. Nó đã được luật hóa tại Điều 25 GDPR "Data Protection by Design and by Default".

Ý tưởng cốt lõi của PbD là coi quyền riêng tư không phải chức năng gắn thêm sau, mà là đặc tả mặc định (default specification) của thiết kế. Tức là không để bảo vệ thông tin cá nhân thành một tùy chọn riêng mà người dùng phải bật lên, mà làm sao để trạng thái được bảo vệ nhiều nhất là mặc định ngay cả khi không thiết lập gì. Điều này đảo ngược cách tiếp cận truyền thống "cứ làm trước, có vấn đề thì sửa".

B. Bối cảnh ra đời và sự cần thiết

Bảo vệ thông tin cá nhân trước đây là cách hậu kiểm, chữa triệu chứng, ứng phó sau khi sự cố rò rỉ đã xảy ra. Tuy nhiên, trong môi trường big data, IoT, AI, dữ liệu được thu thập, kết hợp và tái sử dụng trên quy mô khổng lồ, nên một khi bị rò rỉ thì gần như không thể khôi phục và ứng phó sau sự việc không ngăn được thiệt hại. Hơn nữa, nếu muốn chèn quyền riêng tư vào sau khi hệ thống đã hoàn thành thì chi phí thiết kế lại lớn và dễ bị bỏ sót. Vì vậy nhu cầu phải cài cắm bảo vệ một cách cấu trúc ngay ở giai đoạn thiết kế tăng lên, và đây là bối cảnh PbD được chấp nhận làm nguyên tắc trong quy định của các nước, bắt đầu từ GDPR.

2. 7 nguyên tắc của PbD

7 nguyên tắc quy định triết lý bảo vệ "khi nào, cái gì, như thế nào". Đặc biệt, nguyên tắc thứ 4 Positive-Sum (tổng dương) thể hiện tính độc đáo của PbD — không xem quyền riêng tư và bảo mật (hoặc sự tiện lợi) là trò chơi tổng bằng không "được cái này mất cái kia", mà cho rằng nếu thiết kế tốt thì có thể đạt được cả hai.

3. 8 chiến lược của PbD

Nếu 7 nguyên tắc là 'triết lý', thì 8 chiến lược của Jaap-Henk Hoepman là hướng dẫn kỹ thuật (engineering) để hiện thực chúng trên thực tế. Chúng được chia thành 4 chiến lược xử lý chính dữ liệu (hướng dữ liệu) và 4 chiến lược xử lý quá trình xử lý (hướng quy trình).

flowchart LR
  subgraph DataOriented[Hướng dữ liệu]
    MI[Minimise<br/>Tối thiểu hóa] --- HI[Hide<br/>Che giấu]
    HI --- SE[Separate<br/>Tách biệt]
    SE --- AB[Abstract<br/>Trừu tượng hóa]
  end
  subgraph ProcessOriented[Hướng quy trình]
    IN[Inform<br/>Thông báo] --- CO[Control<br/>Kiểm soát]
    CO --- EN[Enforce<br/>Thực thi]
    EN --- DE[Demonstrate<br/>Chứng minh]
  end

Chiến lược hướng dữ liệu chủ trương xử lý thông tin cá nhân "ngay từ đầu thật ít, không để lộ, phân tán ra, gộp chung lại". Tối thiểu hóa chỉ thu thập dữ liệu thực sự cần cho mục đích (giảm chính việc thu thập thì rủi ro rò rỉ cũng giảm tận gốc), che giấu ngăn phơi bày bằng mã hóa và kiểm soát truy cập, tách biệt chia dữ liệu vào nhiều kho lưu trữ để làm khó việc định danh bằng kết hợp, và trừu tượng hóa xử lý bằng tổng hợp, phân loại thay cho giá trị riêng lẻ để giảm khả năng định danh.

Chiến lược hướng quy trình là "làm cho quá trình xử lý minh bạch, để chủ thể kiểm soát, cưỡng chế quy tắc và chứng minh việc tuân thủ". Thông báo cho biết xử lý cái gì và vì sao, kiểm soát cho phép chủ thể dữ liệu thực hiện quyền đồng ý, xem, xóa, thực thi đặt các biện pháp kiểm soát kỹ thuật và tổ chức để chính sách thực sự được tuân thủ, và chứng minh chứng minh sự tuân thủ bằng log và kiểm toán để bảo đảm trách nhiệm giải trình (accountability).

4. So sánh với nguyên tắc tại Điều 3 Luật Bảo vệ Thông tin Cá nhân Hàn Quốc

Các chiến lược của PbD tình cờ tương ứng phần lớn với Điều 3 (nguyên tắc bảo vệ thông tin cá nhân) của Luật Bảo vệ Thông tin Cá nhân Hàn Quốc. Đó là vì cả hai hệ thống đều xuất phát từ các nguyên tắc phổ quát chung: thu thập tối thiểu, giới hạn mục đích, an toàn, minh bạch, trách nhiệm giải trình. Ví dụ, không thu số đăng ký cư trú không cần thiết cho dịch vụ khi đăng ký thành viên đồng thời thỏa mãn Minimise của PbD và nguyên tắc thu thập tối thiểu của Điều 3.

5. Các điểm cần cân nhắc và hàm ý

• Liên kết DPIA: PbD được cụ thể hóa thành quy trình nhận diện và giảm thiểu rủi ro quyền riêng tư ngay đầu giai đoạn thiết kế thông qua đánh giá tác động thông tin cá nhân (DPIA/PIA). Thiết kế và đánh giá phải đi thành cặp thì mới có hiệu quả thực tế.
• Hiện thực kỹ thuật bằng PET: Hiện thực thực tế 8 chiến lược bằng các công nghệ tăng cường quyền riêng tư (PET) như bí danh hóa/ẩn danh hóa, quyền riêng tư vi sai, mã hóa đồng cấu, học liên kết.
• Đánh đổi: Tối thiểu hóa và trừu tượng hóa dữ liệu nâng cao quyền riêng tư nhưng làm giảm độ chính xác (tính hữu dụng) của phân tích dữ liệu. Tuy hướng tới Positive-Sum, vẫn phải tìm điểm cân bằng quyền riêng tư-tính hữu dụng theo từng mục đích bằng thiết kế.
• Triển vọng: Trong thời đại AI và big data, khi đồng thời bị đòi hỏi cả khai thác lẫn bảo vệ dữ liệu, PbD đang trở thành nguyên tắc thiết kế bắt buộc chứ không phải lựa chọn, đồng thời là tiền đề của việc tuân thủ quy định.

Tóm tắt một câu: PbD là phương pháp luận nội tại hóa quyền riêng tư một cách chủ động và mặc định ngay từ giai đoạn thiết kế; 7 nguyên tắc (đặc biệt Positive-Sum) và 8 chiến lược hướng dữ liệu/quy trình tương ứng với các nguyên tắc thu thập tối thiểu, an toàn, minh bạch, trách nhiệm giải trình tại Điều 3 Luật Bảo vệ Thông tin Cá nhân Hàn Quốc, và được hiện thực bằng DPIA và PET.