- Sau khi xác nhận phạm vi ảnh hưởng của vụ vi phạm bảo mật được công bố vào tháng 10/2023 là tổng cộng 6,9 triệu người, 23andMe đã áp dụng thay đổi điều khoản đưa tranh chấp sang trọng tài thay vì tòa án
- Theo quy trình mới, người dùng trước tiên phải trải qua ít nhất 60 ngày đàm phán không chính thức với bộ phận hỗ trợ khách hàng; nếu không giải quyết được thì thường sẽ chuyển sang trọng tài
- Điều khoản trọng tài, trừ một số ngoại lệ, chặn khởi kiện tập thể và trọng tài tập thể, khiến những người dùng chịu cùng thiệt hại khó phối hợp hành động chung
- Người dùng chỉ có thể từ chối trong vòng 30 ngày kể từ ngày hiệu lực hoặc mốc thời gian áp dụng bằng cách gửi thông báo bằng văn bản tới arbitrationoptout@23andme.com, nhưng email thông báo lại không nêu địa chỉ này
- Thay đổi có hiệu lực từ ngày 30/11/2023 cũng ảnh hưởng tới cả những người dùng đã bị tác động bởi vụ vi phạm, qua đó thu hẹp đáng kể lựa chọn khởi kiện tại tòa trong các tranh chấp về sau
Điều khoản thay đổi sau vụ vi phạm bảo mật
- 23andMe là công ty về bộ gen cá nhân và công nghệ sinh học, và đã liên tục xử lý vụ vi phạm bảo mật lần đầu được công bố vào ngày 6/10/2023
- Vào ngày 19/10, chính hacker từng nhận trách nhiệm ban đầu lại tuyên bố có thêm một vụ xâm nhập khác, lần này nói rằng đã truy cập hơn 4 triệu hồ sơ di truyền
- Ngày 4/12, 23andMe xác nhận tổng phạm vi của vụ việc là 6,9 triệu người dùng
- Đến ngày 14/10, nhiều cá nhân đã nộp đơn kiện do sơ suất chống lại 23andMe, và trong cộng đồng người dùng có nhiều đánh giá cho rằng phản ứng của công ty là rất yếu kém
Điểm chính của quy trình giải quyết tranh chấp mới
- Thông qua việc cập nhật Terms of Service, 23andMe đang triển khai thay đổi đưa người dùng vào quy trình trọng tài ràng buộc
- Trọng tài ràng buộc là hình thức mà hai bên trình bày lập luận với một bên thứ ba trung lập là trọng tài viên, và trọng tài viên sẽ xem xét chứng cứ để đưa ra quyết định
- Điểm cốt lõi là quyết định của trọng tài viên mang tính chung cuộc và có thể được thi hành về mặt pháp lý, nên cả hai bên phải chấp nhận và không thể kháng cáo lên tòa án thông thường
- Cách thức này được dùng trong hợp đồng tiêu dùng, tranh chấp lao động, tranh chấp kinh doanh và nhiều trường hợp thường nhanh hơn, ít hình thức hơn so với thủ tục tại tòa
Các điều khoản chính được đưa vào điều khoản dịch vụ
-
Giai đoạn giải quyết tranh chấp ban đầu
- Nếu có vấn đề liên quan đến dịch vụ của 23andMe, người dùng phải liên hệ trước với bộ phận hỗ trợ khách hàng
- Trước khi chuyển sang bước pháp lý tiếp theo, phải thử đàm phán không chính thức trong ít nhất 60 ngày
- Cần có email chi tiết bao gồm nội dung tranh chấp, thời điểm phát sinh, cách giải quyết mong muốn và thông tin liên hệ
- Nếu có luật sư, luật sư đó cũng phải cùng trao đổi với 23andMe
-
Trọng tài thay cho tòa án
- Nếu không được giải quyết trong 60 ngày, thông thường vụ việc sẽ chuyển sang trọng tài thay vì kiện ra tòa
- Quy trình trọng tài tuân theo quy tắc của công ty dịch vụ trọng tài JAMS
- Nếu có nhiều tranh chấp tương tự phát sinh, quy trình Mass Arbitration thông qua NAM có thể được áp dụng
-
Quyết định của trọng tài viên
- Quyết định của trọng tài viên là chung cuộc
- Trọng tài viên phải tuân theo pháp luật và có thể đưa ra phán quyết mà tòa án có thể đưa ra
-
Ngoại lệ đối với trọng tài
- Một số vấn đề như tranh chấp sở hữu trí tuệ và các vụ kiện giá trị nhỏ có thể được người dùng hoặc 23andMe đưa ra tòa
-
Cấm khởi kiện tập thể
- Người dùng không thể cùng những người khác khởi kiện 23andMe bằng khởi kiện tập thể hoặc trọng tài tập thể
- Mỗi tranh chấp sẽ được xử lý riêng lẻ
-
Tính tách rời
- Ngay cả khi một phần của điều khoản giải quyết tranh chấp không thể thi hành về mặt pháp lý, các phần còn lại vẫn tiếp tục có hiệu lực
Tác động đối với tranh chấp liên quan đến vụ vi phạm bảo mật
- Nếu phát sinh tranh chấp với 23andMe liên quan đến vụ vi phạm an ninh mạng, người dùng trước hết phải cố gắng giải quyết với bộ phận hỗ trợ khách hàng
- Nếu không giải quyết được, thì trừ khi thuộc diện ngoại lệ, vụ việc sẽ được đưa sang trọng tài thay vì tòa án
- Vì không thể cùng những người dùng khác gặp cùng vấn đề nộp đơn kiện tập thể, khả năng phối hợp phản ứng chung sẽ giảm đi
- Thay đổi điều khoản có hiệu lực từ ngày 30/11/2023 và cũng tác động đến những người dùng bị ảnh hưởng bởi vụ vi phạm bảo mật
Quy trình opt-out trong 30 ngày
- 23andMe đã bắt đầu thông báo cho người dùng qua email về việc thay đổi điều khoản dịch vụ
- Người dùng có thể từ chối điều khoản mới về trọng tài và từ bỏ quyền khởi kiện tập thể trong vòng 30 ngày kể từ mốc thời gian áp dụng của điều khoản mới
- Trong email thông báo không có nội dung cho biết phải gửi email tới địa chỉ opt-out được nêu trong điều khoản cập nhật là arbitrationoptout@23andme.com
- Theo bản xem trước điều khoản cập nhật, để không bị ràng buộc bởi điều khoản trọng tài và từ bỏ quyền khởi kiện tập thể, người dùng phải gửi thông báo bằng văn bản tới địa chỉ đó
- Thông báo phải được gửi trong vòng 30 ngày kể từ ngày sử dụng dịch vụ lần đầu hoặc ngày có hiệu lực của điều khoản dịch vụ có chứa điều khoản từ bỏ quyền trọng tài, khởi kiện tập thể và trọng tài tập thể
- Nếu người dùng opt-out khỏi điều khoản trọng tài thì 23andMe cũng sẽ không bị ràng buộc bởi điều khoản đó
Vì sao trọng tài có thể bất lợi cho người tiêu dùng
- Stanford Graduate School of Business đã công bố bài viết và nghiên cứu cho rằng trọng tài có thể vận hành theo hướng bất lợi cho người tiêu dùng
- Bài viết này đánh giá hệ thống trọng tài là bất lợi cho người tiêu dùng dựa trên phân tích khoảng 9.000 vụ trọng tài trong ngành chứng khoán
- Doanh nghiệp có lợi thế thông tin trong việc tìm các trọng tài viên có khả năng ra phán quyết có lợi cho họ
- Bản thân trọng tài viên cũng biết rằng nếu hành xử thân thiện với doanh nghiệp trong một vụ việc thì khả năng được chọn cho các vụ sau sẽ tăng đáng kể
- Thay đổi điều khoản lần này có tác dụng bảo vệ chính 23andMe nhiều hơn là bảo vệ người tiêu dùng, và nếu một vụ vi phạm bảo mật quy mô tương tự xảy ra lần nữa, đây có thể trở thành lá chắn trước làn sóng khiếu nại lớn từ người dùng
Cách viết email opt-out
- Nếu đã bị ảnh hưởng bởi vụ vi phạm bảo mật và muốn rút khỏi cơ chế trọng tài bắt buộc, bạn có thể gửi email đến các địa chỉ sau
- legal@23andme.com
- customercare@23andme.com
- arbitrationoptout@23andme.com
- Ví dụ tiêu đề là
Request to Opt-Out of Updated TOS - Email nên bao gồm các nội dung sau
- Đây là liên hệ liên quan đến thay đổi điều khoản dịch vụ của 23andMe ngày 30/11/2023
- Tên đã đăng ký với 23andMe
- Địa chỉ email gắn với tài khoản 23andMe
- Câu nêu rõ yêu cầu chính thức opt-out khỏi điều khoản dịch vụ đã cập nhật
- Câu nêu rõ không đồng ý với các điều khoản được nêu trong bản cập nhật gần đây
- Người dùng nên lưu lại thư trả lời và yêu cầu xác nhận rõ ràng rằng việc opt-out đã được xử lý
- Nếu sau này lại xảy ra một vụ vi phạm khác, thư trả lời đó sẽ là bằng chứng cho thấy người dùng không bị ràng buộc bởi thay đổi điều khoản
1 bình luận
Các ý kiến trên Hacker News
Càng đọc điều khoản dịch vụ, càng thấy cần một giải pháp kiểu thông luật
Ở đây tôi dùng cụm “thông luật” theo nghĩa khá lỏng, chẳng hạn chia dịch vụ phần mềm thành một vài nhóm được định nghĩa sẵn như nhà cung cấp thông tin, mạng xã hội, giao diện với thế giới thực, rồi đặt ra các quy tắc mặc định cho từng nhóm
Ngành bán lẻ ngoại tuyến đã có một khung tương tự: mỗi cửa hàng không thể tùy ý tự đặt luật chơi, mà phải kinh doanh trong các chuẩn mực xã hội
Cấu trúc hiện nay khuyến khích mọi công ty đòi càng nhiều lợi ích pháp lý càng tốt trong điều khoản của mình, và kết quả là tạo ra các nhà nước doanh nghiệp trên thực tế. Nhiều điều khoản trong đó có thể không thể cưỡng chế nếu ra tòa tranh tụng, khiến văn hóa thượng tôn pháp luật cũng suy yếu, còn người dùng thì luôn ở vị thế đàm phán bất lợi rõ rệt
Nhiều nước châu Âu đã có khá nhiều luật kiểu này. Khi mua hàng trên internet, nếu không hài lòng bạn có thể trả lại trong vòng 14 ngày, được bảo đảm chế độ bảo hành hợp lý, và doanh nghiệp không được lạm dụng dữ liệu cá nhân nếu không có sự đồng ý rõ ràng. Trọng tài ràng buộc bắt buộc cũng không được phép
Không nhất thiết phải bắt buộc dùng mẫu điều khoản, chỉ cần có luật bảo vệ người tiêu dùng cơ bản là đủ
Vì vậy theo tôi, thứ cần thiết không phải là thông luật mà là luật thành văn thực sự
Vấn đề là luật phải cực kỳ cụ thể. Nếu muốn ngăn doanh nghiệp bán “dữ liệu của tôi”, trước hết phải định nghĩa cái gì là dữ liệu của tôi và cái gì là dữ liệu của doanh nghiệp, mà việc này khó hơn tưởng tượng. Sẽ nảy sinh các câu hỏi như số an sinh xã hội là thứ tôi sở hữu, hay là thứ chính phủ cho tôi mượn; hồ sơ công khai có phải là dữ liệu công cộng hay không
Quyền riêng tư chỉ là một phần. Còn tài chính thì sao, dịch vụ có được cắt quyền truy cập của người dùng không, nếu người dùng chưa từng trả tiền thì thế nào, có được xóa bài đăng không, trích dẫn của bài đã xóa có được để lại không, nhà quảng cáo có được nhắm vào một nhóm dân cư cụ thể không, v.v. cũng đều phải xử lý
Viết những nội dung này thành luật thực tế là rất khó, và việc tạo ra một đạo luật làm hài lòng đa số gần như là bất khả thi. Tôi hiểu nhu cầu đó, nhưng khi luật thực sự được làm ra thì khả năng cao là bạn sẽ không thích nó
Khi mua nhà, bạn không chỉ ký một chữ ký là xong; thực tế bạn ký gần như trên mọi trang và nhiều vị trí trên cùng một trang. Không có lý do gì điều khoản dịch vụ lại phải khác
Thông thường, bạn không thể từ bỏ những quyền mà mình chưa có, nên khi thiệt hại chưa xảy ra thì bạn không thể ký một điều khoản trọng tài ràng buộc
Ngoài ra, còn có luật giới hạn các điều khoản chung được đưa ra cho số đông, qua đó hạn chế mạnh điều khoản dịch vụ, và cũng có ủy ban trọng tài người tiêu dùng giúp người tiêu dùng dễ đối đầu với doanh nghiệp hơn
Đây là bản nháp yêu cầu từ chối thay đổi điều khoản có thể gửi tới
arbitrationoptout@23andme.comTiêu đề: Request to Opt-Out of Updated TOS
23andMe Team,
I am contacting you regarding the recent changes to the 23andMe Terms of Service, dated November 30, 2023. My name is [your name as registered with 23andMe], and the email associated with my 23andMe account is [your 23andMe account email].
I hereby formally request to opt out of the newly updated Terms of Service. I do not consent to the terms as outlined in the recent update.
Thank you for processing my request promptly.
[Your Name]
arbitrationoptout@23andme.comnày đến từ đâuEmail tôi nhận được ghi “please notify us”, và liên kết là liên kết gửi mail tới
legal@23andme.comHôm qua khi gửi rằng tôi không đồng ý với điều khoản mới, tôi đã dùng địa chỉ đó
Đừng chỉ gửi email; bạn cần một phương thức truyền gửi có thể chứng minh rằng mình đã gửi
Kiểu như “nếu không thông báo thì được xem là đã đồng ý”, nhưng liệu việc thay đổi điều khoản hợp đồng dịch vụ mà không có xác nhận hay chấp thuận của người dùng có hợp pháp hoặc có thể thực thi được không?
“Amazon EU và Amazon Digital UK đã có quy trình cho phép đơn phương thay đổi giá kể từ kỳ đăng ký mới. Những điều kiện như vậy đặc biệt gây hại cho người tiêu dùng trong bối cảnh thẻ thanh toán được liên kết với tài khoản và doanh nghiệp tự trao cho mình quyền tự động thu số tiền mới trong kỳ đăng ký tiếp theo”
“Trong nhiều năm qua, chúng tôi đã khẳng định rằng điều khoản hợp đồng phải điều chỉnh nghĩa vụ của các bên trong hợp đồng một cách công bằng. Với các dịch vụ đăng ký ngày càng phổ biến, người tiêu dùng tin tưởng nhà cung cấp dịch vụ và giao thông tin thẻ thanh toán để thực hiện nghĩa vụ định kỳ. Nhưng điều đó không có nghĩa là từ đó về sau doanh nghiệp có thể thu nhiều hơn số tiền đã được đồng ý trước đó mà không có sự đồng ý của người tiêu dùng”
“Không thể chấp nhận việc tự động thu phí theo bảng giá đã thay đổi bằng cách phong tỏa tiền trên thẻ thanh toán được liên kết, hoặc đơn phương đưa vào các thay đổi trọng yếu đối với điều khoản hợp đồng”
https://uokik.gov.pl/aktualnosci.php?news_id=20132 — thông cáo bằng tiếng Ba Lan
Ở đây là câu chuyện về Amazon, nhưng cơ quan này cũng đang điều tra các dịch vụ đăng ký của những công ty khác. Amazon EU và Amazon Digital UK đã hợp tác với cơ quan này, và trong tương lai sẽ thông báo cho khách hàng về các thay đổi dự kiến, cho phép khách hàng từ chối các thay đổi đó rồi chấm dứt hợp đồng mà không bị phạt
Cách làm này đã được áp dụng với các nhà cung cấp Internet, nên họ không thể tùy tiện thay đổi hợp đồng. Tuy nhiên họ vẫn có thể gọi điện làm phiền với kiểu “một gói cước hoàn toàn mới được thiết kế riêng cho quý khách”
Có thể gây áp lực để thay đổi hành vi của doanh nghiệp, nhưng tôi không chắc liệu điều đó có áp dụng nguyên xi cho một dịch vụ cụ thể như 23andMe hay không. Dù vậy, vụ rò rỉ dữ liệu lần này có thể khiến các cơ quan bảo vệ dữ liệu ở nhiều nước xem xét kỹ hơn 23andMe đang làm gì
Được định nghĩa là trường hợp “trái với yêu cầu về thiện chí, gây ra sự mất cân bằng đáng kể trong quyền và nghĩa vụ theo hợp đồng của các bên, gây bất lợi cho người tiêu dùng”
https://www.legislation.gov.uk/ukpga/2015/15/section/62?view...
Nhìn vào cụm “để giải quyết tranh chấp nhanh chóng và đơn giản hóa thủ tục trọng tài khi có nhiều yêu cầu tương tự được đưa ra”, có vẻ như ai đó đang chuẩn bị cho hậu quả sau vụ rò rỉ dữ liệu
Sau khi vụ hack xảy ra, thật khó tin là họ có thể thay đổi điều khoản hồi tố để giảm thiệt hại do bảo mật kém
Nếu chuyện này là có thể thì còn cần quan tâm đến bảo mật làm gì. Sau này chỉ cần đổi điều khoản là xong. Tôi nghĩ các luật sư giỏi hoàn toàn có thể tranh luận được
Bất kể điều khoản ra sao, thành viên gia đình chưa từng đồng ý với điều khoản vẫn có thể có tư cách khởi kiện
Liệu một người thân bị ảnh hưởng bởi vụ rò rỉ dữ liệu, nhưng chưa ký vào điều khoản, có dẫn dắt một vụ kiện tập thể quy mô hàng nghìn tỷ không?
Vụ kiện tập thể nói ở đây không phải kiểu chỉ làm vài luật sư giàu lên và công ty làm sai chỉ phải trả một phần nhỏ lợi nhuận bất chính rồi phủi trách nhiệm, mà là vụ kiện nhằm khiến một ngành có xu hướng lạm dụng phải sợ công chúng
Mẹ tôi đã dùng dịch vụ này mà không nghĩ ngợi nhiều, rồi điền tên tất cả họ hàng vào biểu mẫu
Kết quả nhận được chẳng hữu ích chút nào, và giờ 50% DNA của tôi nằm trong cơ sở dữ liệu đáng ngờ của họ, còn tôi thì không có cách nào để từ chối
Tôi thật sự ghét tổ chức này
Chỉ cần một tỷ lệ nhỏ đến đáng kinh ngạc dân số thế giới được giải trình tự, mẫu vẫn có thể được đối chiếu với cả những người chưa được giải trình tự. Mượn cách diễn đạt của bài báo, “phả hệ di truyền có thể hoạt động như một công cụ giải ẩn danh đa dụng”
Vì vậy có lẽ cũng không cần quá giận mẹ vì đã đăng ký. DNA của chúng ta khó có thể được xem là thuộc về ta theo cùng cách như tài liệu trên ổ cứng, và ngay từ đầu có lẽ ta đã không có quyền từ chối
“Thông tin cá nhân nhạy cảm liên quan đến cây gia phả, ngày sinh, vị trí địa lý tương đối đã bị lộ. Trong một số trường hợp, công ty cho biết ảnh và tên hiển thị của các thành viên gia đình có liên kết cũng dùng cùng dịch vụ có thể đã bị lộ, chủ yếu thông qua các tài khoản bị xâm phạm. 23andMe nhấn mạnh rằng vật liệu di truyền thực tế hay hồ sơ DNA không bị lộ”
“Người phát ngôn của 23andMe nói với Engadget rằng hacker đã truy cập hồ sơ DNAR của khoảng 5,5 triệu khách hàng theo cách này, và cũng truy cập thông tin hồ sơ Family Tree của 1,4 triệu người tham gia DNA Relative”
“Hồ sơ DNAR chứa không chỉ thông tin tự khai báo như tên hiển thị và vị trí, mà còn các chi tiết nhạy cảm như tỷ lệ DNA chung trong các kết quả ghép cặp DNA Relatives, họ của gia đình, quan hệ dự đoán và báo cáo tổ tiên. Hồ sơ Family Tree chứa thông tin như tên hiển thị và nhãn quan hệ, cũng như năm sinh và vị trí mà người dùng tùy chọn thêm vào. Khi vụ xâm phạm lần đầu được công bố vào tháng 10, công ty cho biết kết quả điều tra cho thấy ‘kết quả xét nghiệm di truyền không bị rò rỉ’”
https://www.engadget.com/23andme-hack-now-estimated-to-affec...
Có lẽ phóng viên của Stackdiary đã chuyển “DNAR profile” thành “genetic profile”, nhưng thuật ngữ này không có định nghĩa chuẩn. Dù vậy, nếu có định nghĩa thì hẳn họ đã đoán rằng nó ít nhất cũng hàm ý một phần thông tin DNA
Có thể 23andMe đang nói dối hoặc không biết thực sự đã xảy ra chuyện gì, nhưng nếu vậy thì khi bị buộc phải công bố thêm, chuyện này sẽ lại thành tin tức một lần nữa
Giả sử ngay ngày mai xuất hiện một dịch vụ DNA có trách nhiệm, dùng thứ gì đó như mã hóa vi sai để vừa bảo vệ quyền riêng tư ở một mức độ nào đó, vừa cho phép chia sẻ DNA và tìm họ hàng
Dù vậy dịch vụ đó cũng không thể bắt đầu được. Vì họ hàng đã ở trên dịch vụ này, hoặc Ancestry, MyHeritage, FamilyTreeDNA. Các công ty này đều là những tập đoàn khổng lồ bẩn thỉu của Mỹ hoặc Israel, và mức độ đáng tin của họ chỉ bằng khoảng cách mà bạn có thể ném họ đi, tức chưa đến 1 inch
Chỉ cần anh chị em họ làm cũng có thể dễ dàng bị nhận dạng. Về cơ bản, chỉ cần bất kỳ ai trong họ hàng huyết thống dùng những dịch vụ như vậy thì người dùng sẽ dễ dàng bị nhận dạng
Có thể có một điểm tốt
Nếu áp dụng trọng tài ràng buộc bắt buộc, chính các công ty đó có thể tự bắn vào chân mình vì không xử lý nổi hàng nghìn vụ việc được nộp riêng lẻ
https://www.nytimes.com/2020/04/06/business/arbitration-over...
“Nếu có từ 25 yêu cầu trọng tài trở lên được nộp, cùng hoặc tương tự về chủ đề và có chung các vấn đề pháp lý hoặc thực tế, và luật sư của các bên nộp yêu cầu là cùng một người hoặc có phối hợp với nhau” thì việc này được xem là “Mass Arbitration”
Mọi tranh chấp trọng tài hàng loạt sẽ được giải quyết tại National Arbitration and Mediation, một “nhà cung cấp trọng tài được công nhận trên toàn quốc”
[1] https://arstechnica.com/tech-policy/2023/12/23andme-changes-...
Mong có ai xác nhận giúp. Ở EU/EEA/EFTA, trọng tài ràng buộc bắt buộc có được phép không?
Nếu không thì khách hàng ở Pháp hoặc Đức sẽ ra sao? Hợp đồng này trông có vẻ hoàn toàn không thể thực thi
Hơn nữa, sẽ tốt nếu hành vi cố ý tạo ra các hợp đồng không thể thực thi là bất hợp pháp. Quá nhiều công ty đang soạn ra những hợp đồng đáng sợ mà người bình thường không thể hiểu, cũng không thể biết liệu chúng có thể thực thi hay không
Điều 10 của Directive 2013/11/EU quy định rằng “các quốc gia thành viên phải bảo đảm rằng thỏa thuận giữa người tiêu dùng và thương nhân về việc đưa khiếu nại ra một tổ chức ADR sẽ không ràng buộc người tiêu dùng nếu thỏa thuận đó được ký trước khi tranh chấp phát sinh và có hiệu lực tước đi quyền khởi kiện ra tòa của người tiêu dùng để giải quyết tranh chấp”
https://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=OJ:L:...
Tuy nhiên, điều này không ngăn việc khách hàng từ bỏ quyền của mình sau khi tranh chấp đã phát sinh, chẳng hạn như một phần của thỏa thuận dàn xếp
Vì tại đây, xét nghiệm DNA không có lệnh của tòa là bất hợp pháp