Tóm tắt Chương 3: The legal framework — BT

Legal framework của doanh nghiệp đến từ năm nguồn: parliamentary legislation, government regulations, treaty obligations, official regulations, international bodies.
Legislation do quốc hội thông qua (Act of Parliament, primary legislation). Government regulations do chính phủ, bộ trưởng ban hành theo thẩm quyền một đạo luật trao (statutory instruments). Official regulations là quy tắc của cơ quan quản lý chuyên ngành (FCA, ICO).
Ba tầng: supra-national (EU: thành viên chuyển một phần quyền lập pháp; Regulation áp dụng thẳng, Directive phải chuyển thành luật trong nước), national (quốc hội, chính phủ), regional (Scotland, Wales, Bắc Ireland; các bang của Mỹ).
International bodies (FATF, Basel Committee) chỉ đặt chuẩn mực; chuẩn mực thành luật khi từng nước tiếp nhận.

Hệ thống chính trị quyết định ai làm luật và ưu tiên gì: chính sách → đạo luật → quy định chi tiết.
Tác động: chi phí tuân thủ, cơ hội mới, hạn chế hoạt động; chính trị ổn định thì luật dễ đoán.

GDPR của EU áp dụng từ năm 2018; Anh có Data Protection Act 2018 và sau khi rời EU giữ nội dung GDPR thành UK GDPR. Đề không đòi nhớ điều khoản, chỉ cần nguyên tắc.
Data subject: người sống nhận ra được, trực tiếp hoặc gián tiếp, từ dữ liệu đang được giữ.
Data controller quyết định mục đích và cách xử lý, chịu trách nhiệm chính; data processor xử lý thay controller. Thuê ngoài không chuyển trách nhiệm của controller.
Special category data: chủng tộc, sắc tộc, chính trị, tôn giáo, công đoàn, di truyền, sinh trắc học, sức khỏe, đời sống và xu hướng tính dục.
Rủi ro cho data subject: identity theft, mất tài sản, mất quyền riêng tư, mất uy tín hoặc bị tống tiền, mất việc, bị quảng cáo, thông tin sai dẫn tới quyết định bất lợi.

Lawfulness, fairness and transparency; purpose limitation; data minimisation (adequate, relevant, not excessive); accuracy; storage limitation (xóa hoặc anonymise khi hết cần); integrity and confidentiality (security); accountability (chứng minh được tuân thủ).
Purpose limitation: mục đích nói rõ từ lúc thu; dùng cho mục đích khác phải xin consent, trừ khi có căn cứ pháp lý.
Dữ liệu sai mà vẫn dùng là accuracy; dữ liệu hết cần mà vẫn giữ là storage limitation.

To be informed (báo ngay lúc thu, hoặc trong một tháng nếu dữ liệu lấy từ nguồn khác), access, rectification (sai, gây hiểu nhầm hoặc thiếu), erasure (right to be forgotten, chỉ trong một số trường hợp), restrict processing (giữ nhưng không dùng), data portability, to object, automated decision making and profiling.
Yêu cầu bằng lời hoặc văn bản; trả lời trong một tháng; access thường miễn phí.
Object: tuyệt đối với direct marketing; mục đích khác được từ chối nếu có lý do thuyết phục.
Automated decision making: được biết, được yêu cầu human intervention, được khiếu nại quyết định.

Bốn rủi ro chính: human error, technical malfunction, deliberate/malicious action, hacking.
Rủi ro khi dùng internet: virus, nhân viên bất mãn, hacker, tải thông tin sai hoặc phần mềm nhiễm virus, bị chặn bắt đường truyền (dùng encryption), đứt kết nối.
Dữ liệu hay bị nhắm tới: thông tin về lợi thế cạnh tranh, dữ liệu cá nhân, thông tin an ninh, thông tin gắn với hạn chót (hồ sơ dự thầu).

Tổ chức (controller): tuân thủ bảy nguyên tắc, chứng minh được, đáp ứng quyền, quản lý processor, báo ICO trong 72 giờ khi lộ dữ liệu có rủi ro, có DPO khi luật yêu cầu. Phạt tối đa theo UK GDPR: £17.5 million hoặc 4% doanh thu toàn cầu, lấy số lớn hơn.
Cá nhân: làm theo chính sách; cố ý hoặc bất chấp hậu quả (knowingly or recklessly) lấy, tiết lộ dữ liệu không được controller cho phép là tội theo Data Protection Act 2018; giám đốc chịu trách nhiệm cá nhân nếu đồng ý, làm ngơ hoặc lơ là.