Yêu cầu từ chối thu thập dữ liệu cá nhân gửi tới Flock Safety và phản hồi của công ty

 (honeypot.net)
2 điểm bởi GN⁺ 9 ngày trước | 1 bình luận | Chia sẻ qua WhatsApp
  • Một cư dân California đã gửi tới Flock Safety yêu cầu xóa dữ liệu cá nhân và không thu thập dữ liệu liên quan đến bản thân, gia đình và phương tiện của mình
  • Công ty từ chối yêu cầu với lý do họ chỉ là bên xử lý dữ liệu (Processor) và quyền kiểm soát dữ liệu thuộc về cơ quan khách hàng
  • Trong thư phản hồi, công ty giải thích về việc không bán dữ liệu, chính sách tự động xóa sau 30 ngày, và phạm vi thu thập chủ yếu là hình ảnh phương tiện ở nơi công cộng
  • Người gửi yêu cầu cho rằng Flock Safety trên thực tế trực tiếp xử lý thông tin định danh cá nhân nên vẫn có nghĩa vụ phải xóa
  • Hiện vẫn chưa quyết định có tiến hành pháp lý hay không, nhưng khả năng thuê luật sư vẫn được để ngỏ

Yêu cầu xóa dữ liệu cá nhân gửi tới Flock Safety và phản hồi

  • Một cư dân California đã gửi email cho Flock Safety theo CCPA (Đạo luật Quyền riêng tư Người tiêu dùng California) để yêu cầu xóa dữ liệu cá nhân và ngừng thu thập dữ liệu
    • Nội dung yêu cầu là xóa khỏi mọi cơ sở dữ liệu các thông tin liên quan đến bản thân, phương tiện và các thành viên trong gia đình, đồng thời cấm việc thu thập và lưu trữ trong tương lai
  • Flock Safety trả lời rằng không thể xử lý yêu cầu
    • Trong email phản hồi, tên người nhận bị ghi sai hai lần
    • Công ty nêu rõ rằng “Flock Safety là nhà cung cấp dịch vụ và bên xử lý dữ liệu thay mặt cho khách hàng; khách hàng mới là bên sở hữu và kiểm soát dữ liệu”
    • Vì vậy, công ty hướng dẫn rằng yêu cầu xóa phải được gửi trực tiếp tới cơ quan sử dụng dịch vụ (khách hàng) chứ không phải Flock Safety
  • Công ty cũng giải thích thêm về chính sách thu thập và lưu giữ dữ liệu
    • Theo hợp đồng với khách hàng, phạm vi và giới hạn xử lý dữ liệu được xác định, và khách hàng là chủ sở hữu dữ liệu
    • Không bán dữ liệu: Flock Safety xử lý dữ liệu theo chỉ thị của khách hàng và không bán hay chia sẻ vì mục đích thương mại
    • Thông tin được thu thập: thiết bị nhận dạng biển số xe (LPR) không thu thập thông tin nhạy cảm như tên hay địa chỉ, mà chỉ thu thập hình ảnh phương tiện và đặc điểm bên ngoài được chụp ở nơi công cộng
    • Mục đích sử dụng: khách hàng sử dụng dữ liệu cho mục đích an ninh như quản lý an toàn công cộng, ứng phó sự cố và điều tra tội phạm
    • Thời gian lưu trữ: theo mặc định, dữ liệu sẽ tự động bị xóa sau 30 ngày, nhưng khách hàng có thể điều chỉnh thời hạn theo luật hoặc chính sách
  • Flock Safety cũng hướng dẫn tham khảo thêm Privacy Policy và LPR Policy để biết chi tiết

Cách diễn giải pháp lý và quan điểm của cá nhân

  • Người gửi yêu cầu cho rằng phản hồi của Flock Safety là không chính xác về mặt pháp lý
    • Lý do là vì trên thực tế Flock Safety là bên thu thập và xử lý thông tin định danh cá nhân (PII)
    • Theo cách hiểu của người này về CCPA, bên xử lý loại dữ liệu đó có nghĩa vụ phải đáp ứng yêu cầu xóa
  • Hiện vẫn chưa quyết định có tiến hành pháp lý hay không, nhưng vẫn để ngỏ khả năng thuê luật sư

Bài viết liên quan

1 bình luận

 
GN⁺ 9 ngày trước
Ý kiến trên Hacker News

  • Tôi là người đã viết bài này. Tôi không kỳ vọng Flock sẽ chấp nhận yêu cầu của mình, nhưng đã thử như một thí nghiệm. Tuy nhiên, câu trả lời của họ khiến tôi bận tâm. Họ nói rằng “dữ liệu thuộc về khách hàng và khách hàng quyết định việc sử dụng và chia sẻ”, điều này xung đột trực diện với tinh thần của CCPA. Đây là dữ liệu của tôi, vậy tại sao khách hàng của họ lại có quyền kiểm soát thì tôi không hiểu. Dù không kỳ vọng gì, tôi vẫn thất vọng khi bị từ chối theo cách này

    • Điều họ muốn nói là “đừng liên hệ với chúng tôi, hãy liên hệ với chủ sở hữu camera”. Nhưng dữ liệu lại được lưu trên máy chủ của Flock. Điểm cốt lõi là chỉ vì họ cho thuê không gian lưu trữ không có nghĩa là họ không có quyền sở hữu dữ liệu. Hơn nữa, vấn đề là bản thân thiết kế hệ thống đã được xây dựng để dẫn tới xâm phạm quyền riêng tư. Đây chính là chỉ trích cốt lõi nhắm vào Flock, và sẽ rất đáng chú ý nếu chuyện này được đưa ra tòa
    • Tôi tự hỏi liệu có nên liên hệ lại với họ và yêu cầu “vậy thì hãy đưa tôi danh sách khách hàng, và mỗi khi có khách hàng mới thì báo cho tôi” không
    • Sẽ rất thú vị nếu thẩm phán xem xét mức độ kiểm soát trên thực tế mà Flock có đối với hệ thống. Nếu họ đã xây dựng một hệ thống khiến việc thu thập dữ liệu cá nhân trở nên dễ dàng như vậy, thì họ cũng phải làm cho quy trình xử lý yêu cầu xóa trở nên đơn giản tương ứng. Cuối cùng, chính vì người tiêu dùng đã chấp nhận những tình huống như thế này nên thế giới mới trở thành nơi các công ty xem nhẹ quyền riêng tư. Thật may là vẫn có những cá nhân quan tâm đến vấn đề này. Tôi cũng tự hỏi liệu có cách nào để ủng hộ tài chính cho chi phí pháp lý hay không
    • Nếu lôi kéo được những YouTuber như LegalEagle thì có lẽ sẽ thu hút được sự chú ý. Benn Jordan cũng có thể sẽ thú vị nếu làm nhân chứng chuyên môn
    • Nhưng liệu đó có thật sự là “dữ liệu của tôi” không? Nếu tôi lái xe ngang qua và bị camera Ring của nhà người khác ghi lại, tôi có thể khẳng định quyền sở hữu đoạn video đó thuộc về mình không?

  • Tôi không chắc những yêu cầu kiểu này có đứng vững về mặt pháp lý hay không. Ví dụ, nếu một thành phố lắp đặt hệ thống ALPR để thu thập bằng chứng phục vụ điều tra tội phạm, thì một cá nhân không thể yêu cầu Flock rằng “đừng thu thập dữ liệu của tôi”. Theo luật hiện hành, yêu cầu như vậy có vẻ là một đòi hỏi quá mức

  • Trong các bài đăng gần đây, tên công ty chỉ được ghi là “Flock” chứ không còn “Flock Safety (YC S17)”, và bài trước cũng vậy. Không rõ cách ghi YC đã thay đổi hay chưa

    • Có thể YC đang muốn giữ khoảng cách với tranh cãi về quyền riêng tư, nhưng thành thật mà nói tôi nghi ngờ họ có đủ nhạy bén để làm vậy
    • Dạo này nhìn chung cách ghi đó có vẻ ít xuất hiện hơn. Dù sao tiêu đề cũng do người gửi tự viết, không phải được tự động hóa

  • Flock cũng đã phản hồi tương tự ở bang Minnesota, với lý do “chúng tôi không phải data controller”. Dù theo MCDPA, vẫn có quyền yêu cầu xóa dữ liệu

    • Đó là làm theo luật. Các khách hàng là chính quyền bang hay thành phố hẳn sẽ không muốn chấp nhận những yêu cầu như vậy

  • Khác biệt giữa “Flock có thể muốn làm gì thì làm” và “Flock phải xóa dữ liệu khi có yêu cầu” rốt cuộc là luật pháp. Vì công dân là người bầu ra nhà lập pháp, nếu muốn họ ưu tiên vấn đề này thì phải gây áp lực bằng lá phiếu

  • Đây có vẻ sẽ là một cuộc chiến khó khăn. Flock để dữ liệu thuộc sở hữu của chính phủ, còn bản thân họ tự nhận chỉ là nhà cung cấp dịch vụ lưu trữ. Nếu gửi yêu cầu xóa cho AWS hay Google Cloud, bạn cũng sẽ nhận được câu trả lời kiểu “chúng tôi chỉ đang lưu trữ mà thôi”. Rốt cuộc, nếu không có lệnh của tòa thì rất khó ép họ xóa. Dù vậy, việc Flock khẳng định rằng họ không sử dụng dữ liệu cho mục đích khác lại càng củng cố phép so sánh với lưu trữ đám mây

    • Nhưng trên thực tế, liệu có cách nào để xác minh rằng nhà cung cấp cloud không nhìn vào dữ liệu hay không, ngoài việc chờ người trong cuộc tố giác?

  • Theo tài liệu chính sách LPR của Flock, họ ghi rõ rằng có thể sử dụng dữ liệu để đáp ứng yêu cầu pháp lý hoặc giải quyết các vấn đề bảo mật và quyền riêng tư. Vậy trường hợp này chẳng phải cũng là một vấn đề về quyền riêng tư sao? Ngoài ra, trong mục “Trust Us”, họ thiếu minh bạch về việc ứng dụng machine learning

    • Nếu xem “Transparency Portal” của họ, trên thực tế hơn 30% cơ quan địa phương thậm chí còn không công khai cả tên

  • Theo các luật của Mỹ liên quan đến kiểu thu thập dữ liệu này, yêu cầu xóa phải được gửi tới chính quyền địa phương. Có thể xem thông tin liên quan tại deflock.org. Trang này do một cư dân ở Boulder, Colorado vận hành

    • Sẽ khá thú vị nếu xây dựng một hệ thống tự động gửi yêu cầu tới mọi chính quyền địa phương

  • Nếu Flock xử lý dữ liệu PII, thì mọi khách hàng của họ sẽ trở thành subprocessor. Vì vậy Flock phải ký DPA với họ. Khi có yêu cầu xóa, yêu cầu đó cũng phải được chuyển tiếp tới mọi subprocessor như AWS, GCP, Cloudflare

    • Nhưng thực tế lại ngược lại. Flock là subprocessor, còn thành phố hoặc chính quyền địa phương đã thuê họ thu thập dữ liệu mới là controller. Vì vậy yêu cầu phải gửi về phía đó

  • Nếu lời biện hộ của họ là hợp lệ, thì CCPA sẽ trở nên vô dụng

    • Nhưng ngay từ đầu có thể yêu cầu đó đã không hợp lệ. Ví dụ, bạn không thể yêu cầu một công ty vận hành camera tốc độ thay cho cảnh sát “hãy xóa ảnh của tôi đi”. Dữ liệu thuộc sở hữu của chính phủ
    • Hơn nữa, ngay từ khi quy định được ban hành thì các đường vòng lách luật cũng xuất hiện. Thậm chí trước khi luật ra đời, những lỗ hổng để né tránh đã được thiết kế sẵn