Facebook và trách nhiệm với dữ liệu người dùng

Facebook khai thác dữ liệu người dùng nhưng cho bên thứ ba khai thác, đây là lỗ hổng lớn trong bảo mật dữ liệu người dùng.

Với việc hơn 500 triệu tài khoản Facebook bị lộ thông tin cá nhân vừa qua, một lần nữa cho thấy dữ liệu người dùng mặc dù rất quan trọng nhưng vẫn bị các doanh nghiệp lơi là trong công tác bảo mật.

Theo chuyên gia, nhiệm vụ chính của các công ty internet lớn là bảo vệ quyền riêng tư của người dùng và không được phép chia sẻ quyền riêng tư đó với bên thứ ba. Rõ ràng hiện nay trên thế giới cũng như Việt Nam việc thiếu các tiêu chuẩn, quy tắc trực tuyến và quy định đã dẫn đến việc thu thập dữ liệu phá hoại và việc chia sẻ dữ liệu này đã xâm phạm quyền riêng tư của nhiều người dân.

Facebook cho biết rằng các nhà phát triển không chia sẻ dữ liệu riêng tư của người dùng nhưng chưa thực hiện bất kỳ bước nào để buộc các quy tắc này. Có khả năng là nếu Facebook tiếp tục kinh doanh với các nhà phát triển như vậy một lần nữa có nghĩa là Facebook không muốn tuân theo các quy tắc này. Facebook có thể đang thu lợi về tài chính từ dữ liệu nhạy cảm của người dùng, nhưng họ nên hiểu rằng quyền riêng tư của người dùng quan trọng hơn lợi nhuận.

Lợi nhuận của Facebook đến từ nguồn chính bán quảng cáo và bán dữ liệu cho các đơn vị kinh doanh, cung cấp dịch vụ. Chính vì thế, phần lớn dữ liệu cá nhân đang là món hàng mua đi bán lại giữa các doanh nghiệp. Các trường thông tin của người dùng Facebook có thể dễ dàng bị thu thập và sử dụng vào mục đích khác.

Tuy nhiên, việc quản lý những dữ liệu này lại tồn tại lỗ hổng, khiến tội phạm lợi dụng đánh cắp nhằm mục đích lừa đảo, giao bán thông tin cá nhân.

Do vậy, đa phần nguyên nhân các vụ lộ dữ liệu người dùng Facebook là do tin tặc tấn công vào bên thứ ba, đánh cắp dữ liệu, chứ không trực tiếp tấn công vào máy chủ Facebook.

Theo nhận định của các chuyên gia của diễn đàn WhiteHat, các dữ liệu bị đánh cắp có thể bắt nguồn từ bên thứ ba khi người dùng sử dụng thông tin đăng nhập Facebook để đăng ký tài khoản nhanh (single sign-on).

Đó có thể là các đơn vị cung cấp dịch vụ, ứng dụng như game, các trang mua sắm online, giải trí, các diễn đàn... Từ đó, các đơn vị này sẽ lấy được thông tin của người dùng qua API mà Facebook cung cấp.

Từ đây, dữ liệu người dùng Facebook có thể bị lộ lọt vào tay hacker do lỗ hổng của bên thứ ba này hoặc bị chính các đơn vị này rao bán.

Ngoài ra, chính các ứng dụng của Facebook cũng là nơi thu thập thông tin người dùng mà nhiều người không hay biết. Các thông tin này khi được lưu trữ và bảo vệ bởi nhà phát triển không rõ danh tính là hết sức nguy hiểm.

Quảng cáo trên Facebook được lựa chọn xuất hiện trên bảng tin người dùng từ chính dữ liệu thu thập từ họ.

Vì thế, các chuyên gia của WhiteHat khuyến cáo, người Việt cần tự bảo vệ dữ liệu cá nhân bằng cách cân nhắc kỹ trước khi chấp nhận các thông báo từ bên thứ ba về việc xác nhận quyền truy cập, kiểm tra lại các thông tin đang để công khai trên Facebook, sử dụng các ứng dụng từ nguồn chính thống được cung cấp bởi các đơn vị tin cậy.

Được biết, Facebook hiện đã triển khai hệ thống sàng lọc để nhận diện và chặn thông tin nhạy cảm của người dùng trước khi xâm nhập vào hệ thống của Facebook.

Facebook hiện đã coi trọng việc duy trì quyền riêng tư của người dùng và đã làm rõ với các nhà phát triển ứng dụng rằng họ có nhiệm vụ ngăn chặn việc chia sẻ dữ liệu nhạy cảm của người dùng.

Nhưng việc làm rõ nghĩa vụ với các nhà phát triển là chưa đủ vì họ đã biết việc cấm chia sẻ thông tin nhạy cảm, Facebook cần phải làm nhiều hơn nữa để ngừng chia sẻ thông tin nhạy cảm ngay từ đầu thay vì đưa nó vào hệ thống sàng lọc sau đó.

Người phát ngôn của Facebook cho biết việc chia sẻ dữ liệu nhạy cảm của người dùng là vấn đề của toàn ngành và công ty đang cố gắng hết sức để giải quyết những thách thức này. “Chúng tôi cũng đã đưa ra chính sách hướng dẫn các nhà quảng cáo thiết lập và sử dụng các công cụ kinh doanh của chúng tôi để giảm vấn đề này xuống mức có thể chấp nhận được” – người phát ngôn cho biết.

Tại Việt Nam, tình trạng mua bán trái phép dữ liệu thông tin đã diễn ra tràn lan gây ảnh hưởng nghiêm trọng đến đời sống người dân. Để chấn chỉnh tình hình này, cuối tháng 2/2021, Bộ Công an đã hoàn thành Nghị định quy định về bảo vệ dữ liệu cá nhân và đưa ra lấy ý kiến trong vòng 2 tháng.

Theo dự thảo nghị định, dữ liệu cá nhân được chia làm hai loại. Trong đó, loại "dữ liệu cơ bản" gồm họ và tên khai sinh; ngày, tháng, năm sinh; nhóm máu; giới tính; số điện thoại; nơi sinh, nơi thường trú; số chứng minh nhân dân, căn cước công dân; tình trạng hôn nhân; số giấy phép lái xe; mã số thuế cá nhân...

Còn loại "dữ liệu cá nhân nhạy cảm" gồm quan điểm chính trị, tôn giáo, tình trạng sức khỏe, dữ liệu về di truyền, tình trạng giới tính, xu hướng tình dục...

Bộ Công an đề xuất xử phạt 50 - 80 triệu đồng với trường hợp cá nhân, tổ chức tiết lộ, chia sẻ các dữ liệu cá nhân trái phép, chưa được sự đồng ý của cá nhân, gây tổn hại đến nhân phẩm, danh dự của người bị tiết lộ.

Mức phạt này cũng được Bộ Công an đề xuất với các vi phạm về xử lý dữ liệu cá nhân của trẻ em hay hủy, xóa dữ liệu cá nhân trái phép...

Mức phạt 80 - 100 triệu đồng được đề xuất áp dụng với các hành vi chuyển dữ liệu cá nhân trái phép qua biên giới, vi phạm đăng ký xử lý dữ liệu cá nhân nhạy cảm.

Theo dự thảo nghị định, thẩm quyền xử phạt hành chính với các hành vi trên là cục trưởng Cục An ninh mạng và phòng chống tội phạm sử dụng công nghệ cao (A05, Bộ Công an).