Cơ chế điều chỉnh để bảo vệ sự đồng ý của chủ thể dữ liệu đối với thỏa thuận xử lý dữ liệu với bên kiểm soát, bên xử lý dữ liệu theo hợp đồng cấp quyền người dùng cuối

Chia sẻ: Tưởng Trì Hoài | Ngày: | Loại File: PDF | Số trang:16

Thêm vào BST

Báo xấu

3
lượt xem 2
download

Download Vui lòng tải xuống để xem tài liệu đầy đủ

Bài viết "Cơ chế điều chỉnh để bảo vệ sự đồng ý của chủ thể dữ liệu đối với thỏa thuận xử lý dữ liệu với bên kiểm soát, bên xử lý dữ liệu theo hợp đồng cấp quyền người dùng cuối" phân tích sự đồng ý hợp pháp và những mâu thuẫn giữa sự đồng ý hợp pháp với EULA. Qua đó, bài viết đề xuất cơ chế điều chỉnh phù hợp nhất để bảo vệ quyền đồng ý của người dùng đúng theo tinh thần của pháp luật Việt Nam hiện nay. Mời các bạn cùng tham khảo!

Chủ đề:

Bình luận(0) Đăng nhập để gửi bình luận!

Lưu

Nội dung Text: Cơ chế điều chỉnh để bảo vệ sự đồng ý của chủ thể dữ liệu đối với thỏa thuận xử lý dữ liệu với bên kiểm soát, bên xử lý dữ liệu theo hợp đồng cấp quyền người dùng cuối

CƠ CHẾ ĐIỀU CHỈNH ĐỂ BẢO VỆ SỰ ĐỒNG Ý CỦA CHỦ THỂ DỮ LIỆU ĐỐI VỚI THỎA THUẬN XỬ LÝ DỮ LIỆU VỚI BÊN KIỂM SOÁT, BÊN XỬ LÝ DỮ LIỆU THEO HỢP ĐỒNG CẤP QUYỀN NGƯỜI DÙNG CUỐI Nguyễn Thị Thái Hoa, Nguyễn Ngọc Thanh Nhàn, Nguyễn Trầm Triều Thanh Trường Kinh tế, Luật và Quản lý Nhà nước, Đại học Kinh tế TP.HCM Tóm tắt: Trong thời đại công nghệ số phát triển mạnh mẽ, việc sử dụng phần mềm máy tính hay ứng dụng di động đã trở nên không thể thiếu đối với mọi người. Để sử dụng các dịch vụ, người dùng phải chấp nhận tất cả điều khoản trong hợp đồng cấp quyền người dùng cuối (EULA). Tuy nhiên, Nghị định 13/2023/NĐ-CP quy định “Chủ thể dữ liệu có thể đồng ý một phần hoặc với điều kiện kèm theo”. Nhận thấy sự bất cập đó, bài viết phân tích sự đồng ý hợp pháp và những mâu thuẫn giữa sự đồng ý hợp pháp với EULA. Qua đó, bài viết đề xuất cơ chế điều chỉnh phù hợp nhất để bảo vệ quyền đồng ý của người dùng đúng theo tinh thần của pháp luật Việt Nam hiện nay. Abstract: In the era of strong digital technology, the use of computer software or mobile applications has become indispensable for everyone. In order to use services, the users must accept all terms of the end user license agreements (EULA). However, the new regulation in Decree 13/2023/ND-CP requires that “Data subject may agree in part or with attached conditions”. Realizing that inadequacy, this paper analyzes legal consent and the contradictions between legal consent and EULA. From there, the most appropriate regulatory mechanism is proposed to protect the consent of the data subject in accordance with the spirit of current Vietnamese law. Từ khóa: cơ chế điều chỉnh, dữ liệu cá nhân, hợp đồng cấp quyền người dùng cuối, Nghị định 13/2023/NĐ-CP, sự đồng ý Đặt vấn đề 164
Trước bối cảnh công nghệ số ngày càng phát triển, việc bảo vệ dữ liệu cá nhân trở nên khó khăn hơn khi những vụ việc đánh cắp hay phát tán dữ liệu cá nhân xảy ra ngày càng nhiều. Vì mục đích tìm kiếm lợi nhuận mà các doanh nghiệp, tổ chức, cá nhân khác tìm mọi cách để thu thập và thương mại hóa dữ liệu cá nhân của người dùng một cách trái phép. Trong khi đó, hợp đồng cấp quyền người dùng cuối (EULA) là một cơ sở pháp lý cho giao dịch giữa nhà cung cấp dịch vụ với người dùng lại chưa bảo đảm được quyền đồng ý của chủ thể dữ liệu trước những điều khoản trong hợp đồng. Trong giao dịch giữa bên kiểm soát, bên xử lý dữ liệu với người dùng đã xuất hiện sự mất cân bằng giữa hai bên. Điều này được thể hiện thông qua việc người dùng đang bị hạn chế về quyền hơn so với bên kiểm soát, bên xử lý dữ liệu trong các giao dịch. Chính vì thế, phần lớn người dùng đang lo ngại về việc bảo vệ dữ liệu cá nhân cũng như là quyền riêng tư của mình. Dựa trên tình hình cấp thiết trong việc bảo vệ dữ liệu cá nhân nói chung và quyền đồng ý nói riêng, việc tìm ra giải pháp để nâng cao quyền đồng ý của chủ thể dữ liệu nhằm cân bằng lợi ích giữa bên cung cấp dịch vụ và người dùng là điều cần thiết. Vì vậy, bài viết nhằm mục đích tìm ra cơ chế điều chỉnh để bảo vệ quyền đồng ý của chủ thể dữ liệu trước lựa chọn “đồng ý hoặc từ chối” trong hợp đồng cấp quyền người dùng cuối. Để thực hiện mục tiêu trên, bài viết trả lời cho các câu hỏi: Quyền đồng ý của chủ thể dữ liệu theo pháp luật Việt Nam được hiểu như thế nào? Hiện nay, có những bất cập nào đối với quyền đồng ý của chủ thể dữ liệu trong hợp đồng cấp quyền người dùng cuối? Cơ chế điều chỉnh nào có thể được áp dụng để bảo vệ quyền đồng ý của chủ thể dữ liệu trong hợp đồng cấp quyền người dùng cuối? Cơ sở lý thuyết và phương pháp nghiên cứu Dựa trên học thuyết chi phí giao dịch (Transaction Cost Economics - TCE), chi phí toàn diện của các giao dịch bao gồm chi phí hợp đồng (contractual costs) và chi phí giao dịch (transaction costs) (Martin, 2013). Chi phí hợp đồng là những chi phí mà các bên phải chịu để thương thảo, lập ra và duyệt một hợp đồng tùy chỉnh, bao gồm chi phí về thời gian, tiền bạc và tài nguyên để soạn thảo và điều chỉnh các điều khoản của hợp đồng trong từng giao dịch. Chi phí giao dịch là những chi phí liên quan đến việc tổ chức, điều hành và thực hiện giao dịch, bao gồm các chi phí tiến hành thương thảo, tìm kiếm thông tin, kiểm soát và giám sát, giải quyết tranh chấp và giữ gìn mối quan hệ giữa các bên sau khi hợp đồng đã được ký kết (North, 1992). Các công ty sử dụng hợp đồng theo mẫu để họ có thể giao kết với khách hàng một cách thống nhất (Sterkin, 2004). Họ đã áp dụng hợp đồng theo mẫu nhằm tối ưu hóa chi phí trong quá trình thực hiện các giao dịch thương mại. Dựa trên lý thuyết đó, bên cung cấp dịch vụ nhằm tối thiểu 165
hóa chi phí nên đã đẩy phần chi phí hợp đồng sang cho người dùng gánh chịu. Vì vậy, bên cung cấp dịch vụ đã được hưởng thêm lợi ích từ việc người dùng bị mất đi một phần quyền đồng ý. Cụ thể hơn, bên cung cấp dịch vụ đã được cắt giảm các chi phí giao dịch trong việc áp dụng hợp đồng theo mẫu đối với người dùng. Trong khi đó, để được sử dụng dịch vụ của bên cung cấp, người dùng phải chấp nhận “từ bỏ” quyền được thương lượng hay quyền đồng ý hợp pháp trong khi giao kết hợp đồng. Do đó, để cân bằng lợi ích giữa hai bên, bên cung cấp dịch vụ phải có một nghĩa vụ nào đó để đảm bảo đối với người dùng. Bài viết sử dụng phương pháp so sánh để tìm ra điểm giống và khác nhau giữa quyền đồng ý trong pháp luật Việt Nam với Quy định chung về bảo vệ dữ liệu (GDPR), qua đó phân tích về quyền đồng ý của chủ thể dữ liệu. Cùng với đó, phương pháp so sánh cũng được áp dụng nhằm tìm ra điểm giống của EULA so với hợp đồng theo mẫu. Phương pháp phân tích được sử dụng trong việc nghiên cứu các điều luật, nhằm làm rõ quy định pháp luật về quyền đồng ý. Bên cạnh đó, phương pháp phân tích cũng được áp dụng trong việc nghiên cứu bản chất của EULA và hợp đồng theo mẫu. Qua đó, chỉ ra những điểm bất cập trong các điều khoản EULA và từ đó phân tích các cơ chế điều chỉnh phù hợp. Bằng cách trả lời câu hỏi nghiên cứu thông qua các phương pháp trên, bài viết được chia làm ba phần: 1. Quyền đồng ý của chủ thế dữ liệu theo pháp luật Việt Nam 2. Vấn đề bất cập đối với quyền đồng ý của chủ thể dữ liệu trong hợp đồng cấp quyền người dùng cuối tại Việt Nam 3. Cơ chế điều chỉnh để bảo vệ quyền đồng ý của chủ thể dữ liệu đối với hợp đồng cấp quyền người dùng cuối Quyền đồng ý của chủ thể dữ liệu theo pháp luật Việt Nam Đối với quyền đồng ý của chủ thể dữ liệu theo pháp luật Việt Nam, Nghị định 13/2023/NĐ-CP đã có quy định về quyền đồng ý “Chủ thể dữ liệu được đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân của mình”. Như vậy, các tổ chức hoặc cá nhân muốn xử lý dữ liệu sẽ phải tuân thủ và chỉ thực hiện việc xử lý dữ liệu khi có sự đồng ý của chủ thể dữ liệu đó trừ những trường hợp được quy định tại Điều 17. Ngoài ra, Nghị định 13/2023/NĐ-CP cũng giải thích rằng: “Sự đồng ý của chủ thể dữ liệu là việc thể hiện rõ ràng, tự nguyện, khẳng định việc cho phép xử lý dữ liệu cá nhân của chủ thể dữ liệu”. Bên cạnh đó, quy định về sự đồng ý theo pháp 166
luật Việt Nam có nhiều điểm tương đồng với quy định của GDPR (Quy định chung về bảo vệ dữ liệu) tại Liên minh Châu Âu. Tính rõ ràng của sự đồng ý Theo pháp luật Việt Nam, tại khoản 3 Điều 11 Nghị định 13/2023/NĐ-CP “sự đồng ý của chủ thể dữ liệu phải được hiện rõ ràng, cụ thể bằng văn bản, giọng nói, đánh dấu vào ô đồng ý, cú pháp đồng ý qua tin nhắn, chọn các thiết lập kỹ thuật đồng ý hoặc qua một hành động khác thể hiện được điều này”. Quy định này có sự tương đồng với GDPR: có thể bao gồm đánh dấu vào ô khi truy cập trang web internet, chọn cài đặt kỹ thuật cho các dịch vụ xã hội thông tin hoặc một tuyên bố hoặc hành vi khác thể hiện sự đồng ý của chủ thể dữ liệu. Bên cạnh đó, theo khoản 5 Điều 11 Nghị định 13/2023/NĐ-CP, sự đồng ý “phải được thể hiện ở một định dạng có thể được in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử hoặc định dạng kiểm chứng được”. Việc này đã đặt ra yêu cầu cụ thể và chi tiết về cách thể hiện sự đồng ý của chủ thể dữ liệu trong việc bảo vệ dữ liệu cá nhân. Điều này đảm bảo tính chính xác và xác thực của sự đồng ý, đồng thời bảo vệ quyền và lợi ích hợp pháp của chủ thể dữ liệu. Đồng thời tại khoản 6 Điều 11 Nghị định 13/2023/NĐ-CP quy định “sự im lặng hoặc không phản hồi của chủ thể dữ liệu không được coi là sự đồng ý”. Điều khoản này giống với quy định của GDPR, sự im lặng, đánh dấu sẵn hoặc không hoạt động không cấu thành sự đồng ý. Tuy nhiên, khác với Việt Nam, GDPR quy định nếu sự đồng ý của chủ thể dữ liệu được đưa ra dưới một tuyên bố bằng văn bản liên quan đến các vấn đề khác thì vấn đề đó phải được trình bày theo cách “có thể phân biệt rõ ràng với các vấn đề khác, ở dạng dễ hiểu và dễ tiếp cận, sử dụng rõ ràng và ngôn ngữ đơn giản”. Ngoài ra, theo Chỉ thị của Hội đồng 93/13/EEC đã tuyên bố sự đồng ý do bên kiểm soát xây dựng trước phải “không được chứa các điều khoản không công bằng”. Tính tự nguyện của sự đồng ý Sự đồng ý của chủ thể dữ liệu phải được thể hiện một cách tự nguyện, không dựa vào bất kỳ hình thức ép buộc hay cưỡng ép nào từ các bên thứ ba. Sự đồng ý của chủ thể dữ liệu chỉ có hiệu lực khi chủ thể dữ liệu tự nguyện và biết rõ các nội dung như: “loại dữ liệu cá nhân được xử lý, mục đích xử lý dữ liệu cá nhân, tổ chức/cá nhân được xử lý dữ liệu cá nhân, các quyền, nghĩa vụ của chủ thể dữ liệu”. Sự tự nguyện phải đảm bảo cho việc lựa chọn thực sự của chủ thể dữ liệu. Nếu có bất kỳ yếu tố gây áp lực hoặc ảnh hưởng không phù hợp có thể tác động đến kết quả của việc lựa chọn thì 167
sự đồng ý sẽ không hợp lệ. Tức là khi sự đồng ý bị ảnh hưởng, văn bản pháp lý sẽ xem xét sự mất cân bằng nhất định giữa bên kiểm soát và chủ thể dữ liệu (Intersoft Consulting, 2021). Đối với các dữ liệu cá nhân nhạy cảm của chủ thể dữ liệu, trước khi xử lý dữ liệu này, pháp luật quy định: “chủ thể dữ liệu phải được thông báo rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm”. Ngoài ra, khác với Nghị định 13/2023/NĐ-CP, GDPR quy định về tính tự nguyện như sau: Sự đồng ý không nên được coi là được đưa ra một cách tự do nếu chủ thể dữ liệu không có sự lựa chọn thực sự hoặc tự do hoặc không thể từ chối hoặc rút lại sự đồng ý mà không gây tổn hại. Tính khẳng định việc cho phép của sự đồng ý Chủ thể dữ liệu cần thể hiện một cách chắc chắn rằng họ đồng ý cho phép tổ chức hoặc cá nhân khác xử lý dữ liệu cá nhân của mình. Điều này giúp tránh xảy ra tranh chấp và xác định rõ ràng quyền lợi và trách nhiệm của cả hai bên trong việc xử lý dữ liệu. Để đảm bảo tính khẳng định này, chủ thể dữ liệu được cho phép có thể đồng ý một phần hoặc điều kiện kèm theo để đồng ý với bên kiểm soát, bên xử lý dữ liệu cá nhân của mình theo khoản 7 của Điều 11 Nghị định 13/2023/NĐ-CP. Bên cạnh đó, để đảm bảo tính khẳng định cho phép của chủ thể dữ liệu thì “sự đồng ý phải được tiến hành cho cùng một mục đích. Khi có nhiều mục đích, Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân liệt kê các mục đích để chủ thể dữ liệu đồng ý với một hoặc nhiều mục đích nêu ra”. Quy định này tương tự với GDPR: sự đồng ý phải bao gồm tất cả các hoạt động xử lý được thực hiện cho cùng một hoặc nhiều mục đích. Khi quá trình xử lý có nhiều mục đích, cần có sự đồng ý cho tất cả các mục đích đó. Nghị định 13/2023/NĐ-CP cũng quy định “Sự đồng ý của chủ thể dữ liệu có hiệu lực cho tới khi chủ thể dữ liệu có quyết định khác hoặc khi cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản”. Ngoài ra, để bảo vệ quyền lợi cho chủ thể dữ liệu, nghị định cũng cho phép chủ thể có quyền rút lại sự đồng ý. Theo đó, tại khoản 1 Điều 12 quy định: “việc rút lại sự đồng ý không ảnh hưởng đến tính hợp pháp của việc xử lý dữ liệu đã được đồng ý trước khi rút lại sự đồng ý.” Những quy định trên của Nghị định 13/2023/NĐ-CP đã được đưa ra để đảm bảo tính khẳng định việc cho phép của sự đồng ý của chủ thể dữ liệu. Vấn đề bất cập đối với quyền đồng ý của chủ thể dữ liệu trong hợp đồng cấp quyền người dùng cuối tại Việt Nam Bản chất của hợp đồng cấp quyền người dùng cuối (EULA) 168
Theo Owen Carpenter, hợp đồng cấp quyền người dùng cuối (EULA) là hợp đồng chi phối mối quan hệ giữa người dùng cuối của sản phẩm và công ty đã tạo ra nó (Carpenter, 2023). Ngoài ra, theo một định nghĩa khác của Linux Foundation, hợp đồng cấp quyền người dùng cuối (EULA) là hợp đồng pháp lý được ký kết giữa nhà phát triển phần mềm hoặc nhà cung cấp và người dùng phần mềm, thường là nơi người dùng đã mua phần mềm từ một trung gian như nhà bán lẻ. EULA quy định chi tiết về các quyền và hạn chế áp dụng cho việc sử dụng phần mềm (The Linux Information Project, 2006). Một số ít quốc gia có quy định pháp luật định nghĩa về EULA, trong đó theo Luật Bản quyền Úc (Copyright Act 1968): “Hợp đồng cấp phép người dùng cuối (EULA) là hợp đồng giữa hai hoặc nhiều bên dựa trên quyền sở hữu của người cấp phép để cấp quyền cho người được cấp phép sử dụng hoặc truy cập sản phẩm hoặc dịch vụ”. Hiện nay có nhiều quan điểm cho rằng EULA là một loại “giấy phép”. Tuy nhiên, quan điểm này không phù hợp và EULA cần được công nhận là hợp đồng. Vì EULA yêu cầu cần phải có “hành vi xác nhận sự đồng ý của người dùng” mà không thể được xác lập chỉ dựa trên “hành vi đơn phương của chủ sở hữu phần mềm” (Tần, 2021). Trong khi đó, đối với giấy phép không đòi hỏi phải có hành vi xác nhận sự đồng ý rõ ràng của bên được cấp phép. Hơn nữa, việc cấp giấy phép chỉ áp dụng cho “các chương trình phần mềm hoặc ứng dụng mã nguồn mở, trong khi đa số các đối tượng của EULA là các phần mềm giới hạn và nguồn đóng” (Tần, 2021). Như vậy, cùng với những khái niệm về EULA ở trên đã khẳng định EULA là một loại hợp đồng chứ không phải là một loại giấy phép. EULA được soạn thảo bởi bên cung cấp dịch vụ để giao dịch với người dùng cuối. Do đó, người dùng cuối hoàn toàn không có khả năng thương lượng với những nội dung trong EULA. Họ chỉ có thể chấp nhận toàn bộ nội dung trong hợp đồng để sử dụng dịch vụ, hoặc từ chối và không sử dụng dịch vụ đó (Nam, 2020). Đối chiếu với quy định về hợp đồng theo mẫu tại khoản 1 Điều 405 Bộ luật Dân sự 2015, EULA là loại hợp đồng theo mẫu. Bên cạnh đó, nội dung của EULA thường bao gồm “các điều khoản phổ biến trong hợp đồng theo mẫu như quy định trọng tài, giới hạn trách nhiệm pháp lý và các quyền được truy cập thông tin người dùng” (Tần, 2021). Sự mâu thuẫn giữa EULA và quyền đồng ý của chủ thể dữ liệu Với những yêu cầu để có thể đảm bảo được quyền đồng ý của chủ thể dữ liệu như đã phân tích ở trên thì hiện nay, EULA vẫn còn những hạn chế trong việc đảm bảo quyền đồng ý cho chủ thể dữ liệu. Đặc biệt là mâu thuẫn đối với Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân vừa được ban hành và có hiệu lực vào 01/7/2023. 169
Thứ nhất, EULA là một loại hợp đồng theo mẫu. Do đó, người dùng cuối không có khả năng thương lượng và phải đồng ý với toàn bộ điều khoản trong hợp đồng. Điều này đang mâu thuẫn với quy định của Nghị định 13/2023/NĐ-CP về việc chủ thể dữ liệu có quyền “đồng ý một phần hoặc với điều kiện kèm theo”. Với EULA, người dùng đã mất đi quyền được đồng ý một phần hoặc đồng ý với điều kiện kèm theo mà pháp luật quy định. Mâu thuẫn này đã hạn chế quyền của người dùng trong việc đưa ra quyết định đồng ý. Vì trong trường hợp nếu người dùng không chấp nhận một số điều khoản trong hợp đồng thì người dùng không thể thương lượng để thay đổi những điều khoản đó. Thứ hai, EULA chưa phù hợp với quy định về “sự đồng ý” theo pháp luật. Vì sự đồng ý phải được “thể hiện rõ ràng, tự nguyện, khẳng định việc cho phép xử lý dữ liệu cá nhân của chủ thể dữ liệu”. Việc người dùng không thể thương lượng mà chỉ có thể đồng ý hoặc từ chối toàn bộ nội dung trong hợp đồng đã vô hình trung tạo nên một áp lực khiến cho người dùng phải ấn “đồng ý” để có thể sử dụng dịch vụ. EULA đã không phù hợp với sự đồng ý tự nguyện và hạn chế không gian trong việc ra quyết định của người dùng, khiến người dùng có quá ít sự lựa chọn mà đáng lẽ ra họ có thể có được. Thứ ba, phần lớn EULA thường được viết dưới ngôn ngữ chuyên ngành, hình thức dài dòng gây khó đọc đối với người dùng. Một số EULA không có phiên bản tiếng Việt dành cho người dùng tại Việt Nam. Theo một nghiên cứu của giáo sư Jeff Sauro về việc người dùng có thực sự đọc EULA khi được cung cấp hay không:“hầu hết trong số 2500 người dùng đã lướt qua trang này. Thời gian trung bình mà người dùng dành cho trang giấy phép chỉ là 6 giây! Giả sử mất tối thiểu hai phút để đọc Thỏa thuận cấp phép (bản thân nó cũng nhanh), chúng tôi có thể tin tưởng 95% rằng không quá 8% người dùng đọc đầy đủ Thỏa thuận cấp phép” (Sauro, 2011). Giáo sư Hondius cũng đã tóm tắt những mặt bất cập của hợp đồng theo mẫu, trong đó có việc “Người tiêu dùng thường không hiểu hết ý nghĩa của văn bản điều kiện chung” (UNCTAD, 2016). Vì vậy, mô hình EULA chưa thể đảm bảo cho người dùng có thể hiểu rõ các ý nghĩa của hợp đồng. Tuy nhiên, sự đồng ý đó vẫn được xem là có hiệu lực và bên cung cấp dịch vụ có các quyền như trong hợp đồng đề cập. Sự đồng ý của chủ thể dữ liệu trong trường hợp này đã có sự mâu thuẫn với quy định pháp luật hiện hành. Minh chứng vấn đề bất cập giữa quy định pháp luật Việt Nam về sự đồng ý của chủ thể dữ liệu đối với EULA Hiện nay, với nhiều hợp đồng cấp quyền người dùng cuối (EULA) của các ứng dụng và phần mềm vẫn chưa phù hợp với quy định của Nghị định 13/2023/NĐ-CP. Bài viết sử dụng EULA 170
của Twitter và gói phần mềm Microsoft Office làm minh chứng cho vấn đề này. Trong đó, Twitter đã xuất hiện cách đây 16 năm với tư cách là một trang web mạng xã hội và trở nên ngày càng phổ biến (Vũ, 2023). Gói phần mềm Microsoft Office được đa số doanh nghiệp và người dùng sử dụng trong công việc và học tập. Đây đều là những ứng dụng, phần mềm có số lượng lớn người dùng truy cập và sử dụng mỗi ngày. Theo Nghị định 13/2023/NĐ-CP: “chủ thể dữ liệu có thể đồng ý một phần hoặc với điều kiện kèm theo”. Tuy nhiên, trên thực tế, EULA của Twitter đã nêu rõ: “bằng cách sử dụng nội dung Twitter và/hoặc thực hiện thỏa thuận này, bạn đồng ý rằng bạn đã đọc, đồng ý tuân thủ và chịu ràng buộc bởi các điều khoản và điều kiện của thỏa thuận này và tất cả các luật và quy định hiện hành trong toàn bộ mà không giới hạn hoặc trình độ. Nếu bạn không đồng ý chịu ràng buộc bởi thỏa thuận này, thì bạn có thể không truy cập hoặc sử dụng nội dung Twitter.” Với nội dung trên, EULA chỉ cho phép người dùng cuối sử dụng ứng dụng Twitter khi đồng ý với toàn bộ nội dung trong hợp đồng. Người dùng cuối không có quyền đồng ý một phần hay có điều kiện kèm theo khi giao kết hợp đồng này. Điều này đã ép buộc người dùng phải đồng ý toàn bộ nội dung của hợp đồng để được sử dụng ứng dụng và không phù hợp với yêu cầu sự đồng ý của người dùng phải “tự nguyện, khẳng định việc cho phép xử lý dữ liệu cá nhân của chủ thể dữ liệu”. Bên cạnh đó, theo quy định của Nghị định 13/2023/NĐ-CP: “Sự đồng ý của chủ thể dữ liệu chỉ có hiệu lực khi chủ thể dữ liệu tự nguyện và biết rõ các nội dung sau: a) Loại dữ liệu cá nhân được xử lý; b) Mục đích xử lý dữ liệu cá nhân…”. Tuy nhiên, với chính sách bảo mật của Twitter chỉ nêu như sau về mục đích sử dụng dữ liệu cá nhân: “Chúng tôi sử dụng thông tin chúng tôi thu thập để đo lường và phân tích hiệu quả của các sản phẩm và dịch vụ của chúng tôi và để hiểu rõ hơn cách bạn sử dụng chúng nhằm cải thiện chúng. Chúng tôi sử dụng thông tin bạn chia sẻ với chúng tôi hoặc thông tin chúng tôi thu thập để tiến hành nghiên cứu, khảo sát, thử nghiệm sản phẩm và khắc phục sự cố nhằm giúp chúng tôi vận hành và cải thiện các sản phẩm và dịch vụ của mình” (Twitter, 2023). Với cách nêu mục đích như vậy, người dùng không thể xác định được loại dữ liệu cá nhân nào của mình đang được xử lý hay mục đích cụ thể của việc xử lý đó là gì cho dù họ đã đọc kỹ thông tin về các chính sách trước khi đồng ý với EULA của Twitter. Điều này cho thấy sự tự nguyện và khẳng định sự đồng ý của người dùng vẫn chưa được thể hiện rõ. 171
Một minh chứng khác, với gói phần mềm Microsoft Office, trong mục Từ chối trách nhiệm và Giới hạn trách nhiệm pháp lý đối với Dịch vụ của Microsoft đã nêu rõ: “Trong mọi tình huống, Microsoft và/hoặc các nhà cung cấp tương ứng của Microsoft sẽ không chịu trách nhiệm đối với các thiệt hại đặc biệt, thiệt hại gián tiếp, thiệt hại do hậu quả hoặc bất kỳ thiệt hại nào xảy ra do mất khả năng sử dụng, mất dữ liệu hoặc tổn thất lợi nhuận bất kể bằng hành động nào trong hợp đồng, sự bất cẩn hoặc hành động gây hại khác phát sinh từ hoặc liên quan đến việc sử dụng dịch vụ, phần mềm, tài liệu, việc cung cấp hoặc không thể cung cấp dịch vụ hoặc thông tin có trong dịch vụ” (Sarahstafford, 2023). Điều khoản trên có thể dẫn đến việc người dùng không thể đòi hỏi bồi thường hoặc đòi hỏi bồi thường quá hạn chế nếu phần mềm gây thiệt hại cho họ. Điều này đồng nghĩa với việc người dùng phải đồng ý giao kết hợp đồng với nhà cung cấp phần mềm dù cho điều khoản trong hợp đồng không hợp lý. Cơ chế điều chỉnh để bảo vệ quyền đồng ý của chủ thể dữ liệu đối với hợp đồng cấp quyền người dùng cuối Những cơ chế điều chỉnh đang được đề xuất hiện nay trên thế giới Trong bối cảnh dữ liệu cá nhân đang bị thương mại hóa, việc bảo vệ quyền đồng ý của chủ thể dữ liệu là một thách thức không nhỏ. Để giải quyết vấn đề này, hiện nay trên thế giới đã có những đề xuất về cơ chế điều chỉnh nhằm bảo vệ quyền đồng ý của người dùng: Thứ nhất, cơ chế cấm một số kiểu xử lý dữ liệu cá nhân. Bằng cách cấm một số kiểu xử lý dữ liệu cá nhân nhạy cảm hoặc độc hại, cơ chế này đảm bảo rằng thông tin cá nhân sẽ không bị rò rỉ ra ngoài, giảm thiểu tình trạng sử dụng sai mục đích hoặc tiềm ẩn các rủi ro an ninh dữ liệu. Tuy nhiên, cách tiếp cận này có thể khó thực hiện và mang nhiều tác động không mong muốn. Cụ thể là làm suy yếu quyền tự chủ cá nhân (tức là trong khi bạn có thể lựa chọn cách dữ liệu của mình được xử lý, nhưng pháp luật đã thay bạn cấm) và yêu cầu bên xử lý dữ liệu cá nhân phải thực thi mạnh mẽ cơ chế đã đề ra (Schermer et al., 2014). Nhưng thực tế việc kiểm soát các bên xử lý dữ liệu là rất khó khăn, nguyên nhân là do tính chất đa dạng của dữ liệu và mục đích xử lý của bên xử lý dữ liệu cá nhân. Ngoài ra, việc không thu thập những loại dữ liệu cá nhân (thường là dữ liệu nhạy cảm) cũng sẽ không ngăn cản bên xử lý dữ liệu dự đoán những đặc điểm của người dùng và xây dựng hồ sơ dựa trên những dự đoán (Schermer et al., 2014). Theo nghiên cứu từ Michal Kosinski (Giáo sư tại Đại học Stanford), David Stillwell (Giáo sư tại Cambridge Judge Business School) và Thore Graepel (tiến sĩ tại ETH Zurich và Đại học 172
London), bài nghiên cứu được phân tích dựa trên tập dữ liệu của hơn 58.000 tình nguyện viên đã cung cấp lượt thích trên Facebook, dữ liệu nhân khẩu học và kết quả của một số bài kiểm tra tâm lý: “Chúng tôi phân biệt giữa dữ liệu thực sự được ghi lại và thông tin có thể được dự đoán theo thống kê từ các bản ghi đó. Mọi người có thể chọn không tiết lộ một số thông tin nhất định về cuộc sống của họ, chẳng hạn như khuynh hướng tình dục hoặc tuổi tác, tuy nhiên thông tin này có thể được dự đoán theo nghĩa thống kê từ các khía cạnh khác trong cuộc sống mà họ tiết lộ.”. (Kosinski et al., 2013) Thứ hai, cơ chế làm cho thông báo về quyền riêng tư dễ truy cập và dễ đọc hơn. Đây là một giải pháp tốt trong việc giải quyết các vấn đề quá tải thông tin của người dùng. Chẳng hạn như cách tiếp cận thay thế cho các biểu mẫu chấp thuận tiêu chuẩn trong chính sách quyền riêng tư chính là có thể sử dụng hợp đồng pháp lý bằng hình ảnh hoặc bằng cách giới hạn không gian trong thông báo (Schermer et al., 2014). Tuy nhiên, việc trình bày các chi tiết quan trọng về việc xử lý dữ liệu có thể trở nên khó khăn. Điều này có thể dẫn đến việc bỏ sót một số thông tin quan trọng hoặc không thể đưa ra giải thích đầy đủ về việc thu thập và sử dụng dữ liệu. Hay nói cách khác cơ chế này sẽ dẫn đến thiếu tính toàn vẹn thông tin và gây ra sự đồng ý không rõ ràng cho người dùng. Đồng thời một vấn đề quan trọng khác được đặt ra là liệu rằng có thể đơn giản hóa EULA hay không? Khi việc áp dụng cơ chế này, nếu xảy ra các trường hợp tranh chấp thì một hợp đồng không thể đáp ứng những điều khoản chi tiết, rõ ràng sẽ không đảm bảo tất cả các vấn đề được đề cập khi kiểm tra việc tuân thủ của bên xử lý dữ liệu. Thứ ba, cơ chế thúc đẩy người dùng đưa ra quyết định có trách nhiệm về quyền riêng tư của mình. Bằng việc nâng cao các hoạt động tăng cường nhận thức về quyền riêng tư, các trường hợp thực tế như hậu quả của việc rò rỉ dữ liệu cá nhân sẽ giúp người dùng nhận thức rõ hơn về tầm quan trọng của việc bảo thông tin của chính mình. Đồng thời có trách nhiệm hơn trong việc kiểm soát dữ liệu cá nhân và đưa ra quyết định chia sẻ thông tin với bên cung cấp dịch vụ. Thực tế, đa số người dùng không quan tâm hoặc không có sự quan tâm đầy đủ đối với việc quản lý quyền riêng tư của mình, dẫn đến việc họ không đưa ra sự quyền đồng ý rõ ràng và chấp nhận mặc định với các tùy chọn đã được cài đặt sẵn. Cuối cùng là những cơ chế bằng cải tiến kỹ thuật. Ví dụ như bảng điều khiển quyền riêng tư (Privacy Dashboard). Đây là khái niệm liên quan đến giao diện người dùng và cách người dùng tương tác với các yêu cầu về quyền riêng tư trên các ứng dụng/phần mềm. Trong bảng điều khiển này, người dùng có thể xem và điều chỉnh các cài đặt về quyền riêng tư, xem các loại dữ 173
liệu mà ứng dụng hoặc trang web thu thập về họ và có khả năng kiểm soát việc chia sẻ thông tin cá nhân với bên thứ ba (Raschke et al., 2018). Do đó bảng điều khiển quyền riêng tư sẽ giúp tăng cường tính minh bạch và sự chủ động của người dùng trong việc quản lý thông tin cá nhân của họ. Ngoài ra một số bên cung cấp dịch vụ có thể triển khai các trình duyệt web bằng “các phản hồi được thiết lập sẵn” (preference response). Trình duyệt web này nhằm lưu các tùy chọn quyền riêng tư của người dùng. Đây là một phản hồi được thiết lập sẵn, một tùy chọn hoặc cấu hình mà người dùng đã chọn trước đó để quyết định cách trình duyệt hoạt động đối với các yêu cầu tương lai liên quan đến quyền riêng tư (Andreotta et al., 2021). Việc làm này có thể tiết kiệm thời gian của chủ thể dữ liệu và giảm khó khăn trong việc hiểu các điều khoản cần chấp thuận. Tất cả những gì người dùng cần làm là mặc định các yêu cầu bảo mật cơ bản của họ. Sau đó, trình duyệt sẽ đồng ý hoặc từ chối việc sử dụng bất kỳ trang hoặc ứng dụng nào trên cơ sở các tùy chọn này. Cơ chế điều chỉnh để bảo vệ quyền đồng ý của chủ thể dữ liệu cho Việt Nam Các giải pháp nêu trên vẫn chưa thể giải quyết một cách triệt để và đảm bảo quyền lợi cho người dùng một cách tối ưu nhất. Bài viết sẽ trình bày một cơ chế mà hiện nay đang nhận được nhiều sự quan tâm, nghiên cứu trên thế giới. Qua đó, đưa ra một góc nhìn gợi mở cho Việt Nam trong vấn đề bảo đảm quyền đồng ý của người dùng trong EULA. Xuất phát từ cơ chế Data Trust (tạm dịch là Quỹ tín thác dữ liệu), cơ chế này cho phép các chủ thể dữ liệu chọn tập hợp các quyền mà họ có đối với dữ liệu cá nhân của họ trong khuôn khổ pháp lý của Data Trust. Các chủ thể dữ liệu có xu hướng vừa là người chuyển nhượng, vừa là người thụ hưởng của Data Trust: người được ủy thác buộc phải quản lý dữ liệu của các đối tượng theo các Điều khoản của Data Trust (Delacroix & Lawrence, 2019). Trước đây, sự đồng ý của chủ thể dữ liệu được nhìn nhận dưới góc độ quyền tự quyết của cá nhân. Cơ chế thành lập Data Trust đã tiếp cận dữ liệu cá nhân, quyền riêng tư như là một vấn đề chung và được giải quyết bởi một tổ chức, thay vì là một cá nhân. Vậy cơ chế này có ưu điểm nào để đảm bảo quyền đồng ý của chủ thể dữ liệu? Thứ nhất, đảm bảo sự an toàn của người dùng khi đồng ý với các điều khoản trong EULA. Lấy ví dụ trong trường hợp của công ty viễn thông Verizon đã bị “Ủy ban Truyền thông Liên bang (FCC) phạt 1,35 triệu đô la Mỹ vì sử dụng cái gọi là ‘siêu cookie’ để theo dõi dữ liệu trình duyệt của người dùng mà không có sự đồng ý của họ” (Andreotta et al., 2021). Siêu cookie khiến cho người dùng khó xóa hơn so với cookie bình thường. Vậy nên siêu cookie có thể thu 174
thập các dữ liệu duyệt web và dữ liệu đó được sử dụng cho mục đích quảng cáo. Sau đó, “Verizon buộc phải nhận được sự đồng ý của người dùng trước khi họ có thể theo dõi lịch sử duyệt web của người dùng bằng siêu cookie, đồng thời thông báo cho khách hàng của mình về cách hoạt động của hệ thống nhắm mục tiêu quảng cáo” (Andreotta et al., 2021). Việc không thông báo và giải thích rõ ràng đối với việc thu thập dữ liệu và sử dụng dữ liệu khi chưa nhận được sự đồng ý của người dùng là vi phạm theo quy định của luật. Data Trust có thể thay mặt một nhóm lớn các chủ thể dữ liệu bảo vệ dữ liệu khỏi bị tổn hại và cho phép các doanh nghiệp không có quyền truy cập vào dữ liệu đó (Delacroix & Montgomery, 2020). Một cơ chế thực hiện nhiệm vụ xem xét, bảo đảm lợi ích cho dữ liệu của người dùng thì tình trạng về “siêu cookie” như trên sẽ không được chấp nhận hay gây ảnh hưởng tới dữ liệu người dùng. Thứ hai, giúp hạn chế sự mất cân bằng giữa vị thế của người dùng và bên cung cấp dịch vụ trong EULA. Với bản chất là một hợp đồng theo mẫu, người dùng bị mất đi quyền thương lượng với bên sản xuất hợp đồng. Trong khi đó, lợi ích của Data Trust đó là chủ thể dữ liệu có thể tổng hợp các quyền của mình để mang lại nhiều khả năng thương lượng hơn với người sử dụng dữ liệu và kiểm soát việc sử dụng dữ liệu của họ (Porcaro, 2021). Như vậy, cơ chế này có thể gia tăng tiếng nói của người dùng đối với bên soạn thảo hợp đồng. Bên cạnh đó, Delacroix và Lawrence cũng lập luận rằng Data Trust có thể đảo ngược mất cân bằng quyền lực hiện đang tồn tại giữa các cá nhân và tập đoàn sử dụng dữ liệu vì lợi ích của họ (Community Solutions Portal, 2019). Thứ ba, cung cấp quyền kiểm soát tốt hơn đối với dữ liệu cá nhân của chủ thể. Cơ chế Data Trust cho phép người dùng có nhiều quyền hơn đối với dữ liệu cá nhân của mình bằng cách cho phép người dùng có thể chọn các quyền đối với dữ liệu. Trong khi đó, tổ chức ủy thác quản lý đối tượng vì lợi ích tốt nhất của người thụ hưởng, theo các điều khoản của ủy thác (Community Solutions Portal, 2019). Data trust cung cấp cho các cá nhân quyền kiểm soát tốt hơn đối với thông tin cá nhân của họ, nâng cao quyền riêng tư và mang đến cho công chúng cơ hội chia sẻ giá trị của dữ liệu và trí tuệ nhân tạo (K.C. Halm, 2019). Trong hội thảo Element AI đồng tổ chức với Nesta, những người tham gia khám phá các mô hình của Data Trust có thể được thiết kế để cung cấp cho công chúng quyền truy cập nhiều hơn vào dữ liệu cá nhân của họ cũng như kiểm soát các mục đích mà nó được đang được sử dụng (Community Solutions Portal, 2019). Đồng thời với cơ chế Data Trust, nhằm cân bằng lợi ích giữa bên cung cấp dịch vụ và người dùng cuối, bên cung cấp dịch vụ có nghĩa vụ phải đảm bảo hệ thống bảo mật thông tin cho 175
người dùng. Để đảm bảo rằng các hệ thống sẽ đề cao các giá trị của con người, cần có các phương pháp thiết kế kết hợp các nguyên tắc đạo đức và giải quyết các mối quan tâm của xã hội (Dignum, 2017). Trong đó, một trong những thuật toán hiện nay đang được phát triển nhằm nâng cao sự bảo vệ đối với dữ liệu cá nhân của người dùng đó là thuật toán đạo đức (Ethical Algorithms). Các công ty công nghệ chịu trách nhiệm phát triển và triển khai các thuật toán có đạo đức (Crazover, 2023). Bằng cách sử dụng Dữ liệu lớn (Big data), các công ty, tổ chức có nhiều thông tin về sản phẩm, dịch vụ, người mua, sở thích của người tiêu dùng,... để có thể nắm bắt và phân tích (Kuc-Czarnecka & Olczyk, 2020). Mặc dù Dữ liệu lớn đã thu hút được sự chú ý vì tác động của nó đối với các công ty và người tiêu dùng, nhưng các thuật toán tạo nên ý nghĩa của các tập dữ liệu lớn gần đây đã được đưa tin – không chỉ để tạo ra giá trị mà còn thiên vị và không công bằng. Trên thực tế, tất cả các quyết định thuật toán sẽ tạo ra sai lầm, nhưng các thuật toán đạo đức sẽ đưa ra một cơ chế để xác định, đánh giá và sửa chữa sai lầm (Martin, 2019). Chính vì vậy, thuật toán đạo đức là một phương pháp cần thiết cần được áp dụng và phát triển vào hệ thống xử lý dữ liệu cá nhân nhằm đảm bảo sự an toàn đối với dữ liệu người dùng. Kết luận Như vậy, quyền đồng ý của chủ thể dữ liệu là một phần quan trọng trong quyền riêng tư của con người. Để bảo vệ dữ liệu cá nhân, pháp luật Việt Nam quy định chi tiết trong Nghị định 13/2023/NĐ-CP. Theo đó, Nghị định đã có những điều khoản về tính rõ ràng, tự nguyện và khẳng định của chủ thể dữ liệu đối với sự đồng ý. Tuy nhiên với bản chất hợp đồng theo mẫu của các hợp đồng cấp quyền người dùng cuối (EULA) đã làm cho quyền đồng ý của chủ thể dữ liệu không được bảo đảm. Các điều khoản được quy định tại hợp đồng này phức tạp, rườm rà và gây khó khăn cho người dùng hiểu rõ và quyết định chính xác việc chấp nhận hoặc từ chối việc sử dụng dữ liệu của mình. Đặc biệt khi người dùng chỉ có thể đồng ý với các điều khoản và điều kiện sử dụng được quy định trong EULA nếu muốn sử dụng các dịch vụ của nhà cung cấp. Do đó, việc nghiên cứu các cơ chế điều chỉnh về sự đồng ý của chủ thể dữ liệu cần được phát triển mạnh mẽ. Trong các giải pháp bảo vệ quyền đồng ý đối với người dùng được đề xuất trên thế giới, bài viết đề cao cơ chế điều chỉnh có đảm bảo cân bằng lợi ích giữa bên cung cấp dịch vụ (bên kiểm soát, bên xử lý dữ liệu) với người dùng trong EULA. Đồng thời, cơ chế đang nhận được nhiều sự quan tâm hiện nay đó là cơ chế Data Trust (tạm dịch là Quỹ tín thác dữ liệu) cùng với 176
việc bên cung cấp dịch vụ có thể triển khai và phát triển Ethical Algorithms (Thuật toán đạo đức). Như vậy khi phối hợp được hai cơ chế này, sự đồng ý với các điều khoản trong EULA của người dùng sẽ bảo vệ tối ưu nhất. Danh mục tài liệu tham khảo Andreotta, A., Kirkham, N., & Rizzi, M. (2021). AI, big data, and the future of consent. AI & Society, 37(4), 1715–1728. DOI: https://doi.org/10.1007/s00146-021-01262-5 Carpenter, O. (2023). EULA, or Eulogy? reckoning end user license agreements and Near-Future cyborgs. Case Western Reserve University School of Law Scholarly Commons. Retrieved August 21, 2023, from https://scholarlycommons.law.case.edu/healthmatrix/vol33/iss1/9 Community Solutions Portal. (2019). Data Trusts: A New Tool for Data Governance. Retrieved August 21, 2023, from https://futurecitiescanada.ca/portal/resources/data-trusts-a-new-tool- for-data-governance/ Crazover, D. (2023). Navigating DEI in Tech: 4 steps towards Ethical Algorithms and inclusive data privacy. DEI & You Consulting. Retrieved August 21, 2023, from https://deiandyou.com/navigating-dei-in-tech-4-steps-towards-ethical-algorithms-and- inclusive-data-privacy/ Delacroix, S., & Lawrence, N. D. (2019). Bottom-up data Trusts: disturbing the ‘one size fits all’ approach to data governance. International Data Privacy Law, 9(4), 236–252. DOI: https://doi.org/10.1093/idpl/ipz014 Delacroix, S., & Montgomery, J. (2020). From research data ethics principles to practice: data trusts as a governance tool. Handbook of Behavioural Data Science. DOI: https://doi.org/10.2139/ssrn.3736090 Dignum, V. (2017). Responsible Artificial Intelligence: Designing Ai for Human Values. ITU Journal: ICT Discoveries, 1. DOI: https://dspace.daffodilvarsity.edu.bd:8080/handle/123456789/2181 Intersoft Consulting. (2021). Consent - General Data Protection Regulation (GDPR). General Data Protection Regulation (GDPR). Retrieved August 21, 2023, from https://gdpr- info.eu/issues/consent/ 177
K.C. Halm. (2019). Data Trusts: a pathway to “Ethical” AI or a solution in search of a problem? Privacy & Security Law Blog. Retrieved August 21, 2023, from https://www.dwt.com/blogs/privacy--security-law-blog/2019/12/ethical-ai-data-trusts Kosinski, M., Stillwell, D., & Graepel, T. (2013). Private traits and attributes are predictable from digital records of human behavior. Proceedings of the National Academy of Sciences of the United States of America, 110(15), 5802–5805. https://doi.org/10.1073/pnas.1218772110 Kuc-Czarnecka, M., & Olczyk, M. (2020). How ethics combine with big data: a bibliometric analysis. Humanities & Social Sciences Communications, 7(1), 137. DOI: https://doi.org/10.1057/s41599-020-00638-0 Martin, K. (2013). Transaction costs, privacy, and trust: the laudable goals and ultimate failure of notice and choice to respect privacy online. Retrieved August 21, 2023, from https://ssrn.com/abstract=2370451 Martin, K. (2019). Designing ethical algorithms. Mis Quarterly Executive, 129–142. DOI: https://doi.org/10.17705/2msqe.00012 Nam, Đ. G. (2020). Từ công bằng thủ tục đến công bằng nội dung: Thành tựu và thách thức của chế định kiểm soát điều khoản mẫu trong pháp luật Việt Nam. Truy cập 21/8/2023, từ http://www.lapphap.vn/Pages/tintuc/tinchitiet.aspx?tintucid=210538 North, D. C. (1992). Transaction Costs, Institutions, and Economic Performance. International Center for Economic Growth. Porcaro, K. (2021). Data trusts, health data, and the professionalization of data management. Duke Law School. DOI: https://doi.org/10.2139/ssrn.3372372 Raschke, P., Küpper, A., Drozd, O., & Kirrane, S. (2018). Designing a GDPR-Compliant and usable privacy dashboard. In IFIP advances in information and communication technology (pp. 221– 236). DOI: https://doi.org/10.1007/978-3-319-92925-5_14 Sarahstafford. (2023). Các Điều khoản Sử dụng. Microsoft Learn. Retrieved August 21, 2023, from https://learn.microsoft.com/vi-vn/legal/termsofuse Sauro, J. (2011). Do Users Read License Agreements? Retrieved August 21, 2023, from https://measuringu.com/eula/ 178
Schermer, B., Custers, B., & Van Der Hof, S. (2014). The Crisis of Consent: How stronger legal protection may lead to weaker consent in data protection. Ethics and Information Technology, 14–15. DOI: https://doi.org/10.2139/ssrn.2412418 Sterkin, S. D. (2004). Challenging Adhesion Contracts in California: A Consumer’s Guide. GGU Law Digital Commons. Retrieved August 21, 2023, from https://digitalcommons.law.ggu.edu/ggulrev/vol34/iss2/3 Tần, N. P. P. (2021). Bảo vệ quyền của người dùng trong hợp đồng cấp quyền người dùng cuối (Luận án tiến sĩ, Trường Đại học Kinh tế - Luật, Tp. Hồ Chí Minh). The Linux Information Project. (2006). EULA Definition. Retrieved August 21, 2023, from https://www.linfo.org/eula.html Twitter. (2023). Twitter Privacy Policy. Privacy Policy. Retrieved August 21, 2023, from https://twitter.com/en/privacy#twitter-privacy-2 UNCTAD. (2016). Manual on Consumer Protection. United Nations Conference on Trade and Development. Retrieved August 21, 2023, from https://unctad.org/system/files/official- document/webditcclp2016d1.pdf Vũ A. (2023). 5 sự khác biệt hàng đầu giữa Thread và Twitter. Báo Lao Động. Truy cập 21/8/2023, từ https://laodong.vn/cong-nghe/5-su-khac-biet-hang-dau-giua-thread-va-twitter-1215198.ldo 179