Cư dân California có thể yêu cầu mọi data broker xóa thông tin cá nhân

• Cư dân California nay có thể sử dụng tính năng yêu cầu data broker xóa thông tin cá nhân thông qua website của chính quyền bang
• Dịch vụ này hoạt động trên tên miền consumer.drop.privacy.ca.gov và sẽ trải qua quy trình xác minh bảo mật khi truy cập
• Trang web yêu cầu người dùng bật JavaScript và cookie để sử dụng bình thường
• Trang có quy trình xác minh người dùng và kiểm tra bảo mật kết nối
• Đây là một biện pháp quan trọng nhằm tăng cường bảo vệ quyền riêng tư và thực thi quyền xóa dữ liệu

---

Quy trình truy cập consumer.drop.privacy.ca.gov

• Khi truy cập trang, thông báo “Đang xác minh bạn là con người” sẽ được hiển thị
  • Quá trình này mất vài giây
• Sau khi xác minh hoàn tất, sẽ xuất hiện hướng dẫn “Đang chờ phản hồi từ consumer.drop.privacy.ca.gov”
• Sau đó, người dùng phải bật JavaScript và cookie để tiếp tục

Mục đích và chức năng của trang web

• Đây là cổng web hỗ trợ cư dân California yêu cầu xóa thông tin cá nhân được lưu tại các data broker
• Đây là kênh chính thức được vận hành theo Privacy Rights Act của bang
• Người dùng có thể gửi một yêu cầu duy nhất để chuyển yêu cầu xóa đến toàn bộ data broker đã đăng ký

Yêu cầu về bảo mật và truy cập

• Trong quá trình truy cập, hệ thống sẽ tự động kiểm tra kết nối bảo mật
• Nếu JavaScript và cookie bị tắt, việc sử dụng dịch vụ sẽ bị hạn chế
• Các bước này nhằm ngăn chặn truy cập tự động và bảo vệ dữ liệu người dùng

Ý nghĩa của dịch vụ

• Cung cấp cho cư dân công cụ để trực tiếp thực thi quyền kiểm soát dữ liệu cá nhân của mình
• Góp phần tăng cường tính minh bạch và trách nhiệm giải trình của các data broker
• Đây là một ví dụ cho thấy xu hướng siết chặt chính sách bảo vệ quyền riêng tư tại California

[GN⁺]

Ý kiến trên Hacker News

• Có điều khoản yêu cầu phải xác minh là cư dân California trước khi gửi yêu cầu xóa
  Việc xác minh được cho là thực hiện thông qua các nhà cung cấp bên thứ ba như Socure hoặc Login.gov, nghe có gì đó không ổn

  • Có lẽ kết quả sẽ phụ thuộc vào năng lực thực thi của cơ quan quản lý
    Ở châu Âu hay Pháp cũng có những trường hợp tương tự; có lúc nó tạo ra quyền mới, có lúc chỉ dựng thêm rào cản gia nhập
  • Đúng kiểu California
    Đây là ví dụ cho thấy rất rõ sự khác nhau giữa chính sách cánh tả và chính sách tự do chủ nghĩa mới
    Nếu theo kiểu cánh tả thì cơ quan nhà nước đã trực tiếp phụ trách xác minh, còn cách tiếp cận kiểu tân tự do là “cứ lấy tiền thuế giao cho 10 công ty tư nhân làm”
  • Ngành môi giới dữ liệu giống như liều thuốc độc tự biện minh cho chính nó
    Trừ khi cấm hoàn toàn, nó sẽ tiếp tục lách quy định một cách khéo léo và tự tạo ra lý do để tồn tại
  • Nghe như kiểu ngụy biện “vì là nhà thầu của chính phủ nên không thể bị hack” /s

• Tổng hợp tài liệu và liên kết liên quan
  PDF luật CCPA,
  PDF phiên bản có hiệu lực thi hành,
  Sổ đăng ký data broker,
  Trang thông báo chính thức
  Mong là các bang khác cũng sẽ làm theo mô hình này

• Tò mò không biết theo thời gian cơ chế này sẽ vận hành ra sao
  Có phải mỗi tháng lại phải gửi yêu cầu một lần không? Dữ liệu thì vượt qua ranh giới các bang nên hiệu quả thực tế vẫn đáng nghi

  • Có một nghịch lý là để xử lý yêu cầu xóa, rốt cuộc họ vẫn phải lưu lại một phần dữ liệu
    Về mặt pháp lý, yêu cầu xóa phải được xử lý mỗi 45 ngày, nhưng ví dụ Broker A ở California còn Broker B ở nước ngoài, thì
    A vẫn hợp pháp nếu nhận lại dữ liệu trong 44 trên 45 ngày đó
    Cuối cùng vẫn có rất nhiều chỗ để lách kẽ hở pháp luật

• CloudFlare không nhận tôi là con người nên tôi bị chặn truy cập trang web

  • Có vẻ trình duyệt trên điện thoại ít phổ biến của tôi bị xem là không phù hợp với cơ chế độc quyền nhóm của internet

• Hình như vốn đã có luật kiểu này rồi, nhưng lần này thay đổi là California tự tạo nền tảng gửi yêu cầu riêng

  • Một thay đổi nữa là các data broker phải đăng ký bắt buộc với chính quyền bang
    Về lý thuyết, chỉ với một yêu cầu là có thể xóa thông tin của tôi khỏi tất cả các broker

• Tôi không tin các data broker sẽ thực sự xóa dữ liệu hoàn toàn
  Ngay từ đầu, việc những công ty này thu thập thông tin nhạy cảm đã là vấn đề rồi
  Cần có các mức phạt thật nặng

  • Nhiều dữ liệu được scrape từ hồ sơ công khai, nên khó mà xóa sạch hoàn toàn
    Dù vậy, tôi nghĩ vẫn nên hạn chế việc bán lại chúng

• Hôm qua tôi thử rồi, nhưng sau hai lần xác thực hai bước qua SMS, mã vẫn liên tục bị từ chối nên tôi bỏ cuộc
  Tôi không muốn tốn quá nhiều năng lượng cho cuộc chiến kiểu này

• Nghe nói luật sẽ bắt đầu có hiệu lực từ ngày 1 tháng 8 năm 2026

  • Đến lúc đó, dữ liệu có lẽ đã bị chuyển sang các broker ở nước ngoài rồi
    Chỉ luật của Mỹ thì không ảnh hưởng được đến những nơi như Ấn Độ, Trung Quốc hay Nga

• Ý tưởng thì hay nhưng vẫn có vài điểm đáng tiếc
  Luật cần có cơ chế chế tài thực chất, và phải chỉ rõ quy trình ứng phó khi bị phớt lờ
  Ngoài ra, tôi hiểu yêu cầu “xác minh cư dân” nhưng vẫn thấy chưa thỏa đáng
  Cuối cùng, cách gọi con người là ‘người tiêu dùng’ nghe không phù hợp về mặt ngôn ngữ

  • Cách dùng từ “consumer” là thuật ngữ ngay trong dự luật CCPA
    Phần lớn luật bảo vệ quyền riêng tư ở Mỹ thực chất là phần mở rộng của luật bảo vệ người tiêu dùng, chứ không dựa trên quyền công dân như ở EU

• Giá mà có một phiên bản cấp liên bang cho cơ chế này

  • Nhưng với hệ thống chính trị hiện tại thì có vẻ hoàn toàn bất khả thi
    Tôi nghĩ các doanh nghiệp đang duy trì hệ thống đó để né tránh quy định