Công cụ rút gọn liên kết và GDPR — những điều bạn cần biết trước khi chèn liên kết vào bản tin (newsletter)

Một cú nhấp chuột vào một liên kết rút gọn trung bình sẽ lưu lại bốn dữ liệu một cách âm thầm: địa chỉ IP, trình duyệt, hệ điều hành, nguồn truy cập. Bốn. Và bây giờ hãy nhân con số đó với 3000 người nhận bản tin, những người nhấp vào liên kết ưu đãi của bạn vào sáng Chủ nhật. Bạn đột nhiên có một cơ sở dữ liệu gồm vài nghìn bản ghi mà thậm chí bạn còn chưa bao giờ nhìn thấy qua.

Và đây chính xác là thời điểm mà việc trình rút gọn liên kết và GDPR không còn là vấn đề pháp lý lý thuyết của các luật sư nữa, mà bắt đầu trở thành vấn đề của bạn.

Vì địa chỉ IP trong Liên minh Châu Âu là dữ liệu cá nhân. Không phải "gần như", không phải "trong một số trường hợp". Là dữ liệu cá nhân. Nếu bạn chèn một liên kết rút gọn vào chiến dịch của công ty, với tư cách là quản trị viên, bạn phải chịu trách nhiệm về những gì xảy ra với IP của những người nhấp vào đó.

Thực sự trình cắt thấy gì khi ai đó nhấp vào

Danh sách ngắn hơn so với vẻ ngoài, nhưng đủ dày đặc:

• IP của người truy cập (tức là dữ liệu cá nhân đã đề cập ở trên),
• user agent, tức là trình duyệt và hệ điều hành,
• referer — trang web nguồn dẫn đến lượt truy cập,
• vị trí xấp xỉ, được tính toán từ IP này.

Bấy nhiêu là đủ để tạo ra những số liệu thống kê lượt nhấp chuột đẹp mắt. Bấy nhiêu cũng đủ để rơi vào những trách nhiệm mà hầu hết mọi người không nghĩ tới khi dán một liên kết một cách vội vàng trước khi gửi đi.

Dữ liệu này sẽ đi đâu (và tại sao điều đó lại quan trọng hơn chính các số liệu thống kê)

Đây chính là mồi nhử hợp lý. Rất nhiều trình rút gọn link nổi tiếng là các công ty ngoài Châu Âu, thường thấy nhất là từ Mỹ. Bạn nhấn "rút gọn", dán link newsletter vào, và dữ liệu về việc ai, khi nào và từ đâu đã nhấn vào sẽ được gửi sang bên kia đại dương.

Hai vấn đề, lần lượt từng cái một.

Thứ nhất: việc chuyển dữ liệu ra ngoài EU cần có cơ sở pháp lý, và chính nền tảng cho việc chuyển giao này có thể thay đổi. Các quy định đã thay đổi vài lần và không có dấu hiệu nào cho thấy đây là điểm kết thúc.

Thứ hai: dữ liệu sẽ rơi vào một hệ thống pháp luật khác. Với tư cách là bên kiểm soát dữ liệu tại Châu Âu, bạn đơn giản là không thể kiểm soát được nó. Việc máy chủ đặt ở đâu về mặt vật lý không còn là một chi tiết nhàm chán trong tài liệu nữa. Nó trở thành một quyết định về việc liệu bạn có tuân thủ GDPR hay không.

Điều gì thực sự làm giảm nguy cơ

Ba điều. Không có phép thuật.

Máy chủ tại EU. Dữ liệu nhấp chuột không rời khỏi Châu Âu, vì vậy toàn bộ vấn đề về chuyển giao xuyên Đại Tây Dương đơn giản là bị loại bỏ. Ít phải dịch hơn, ít phải giám sát hơn.

Ít dữ liệu được thu thập hơn. Công cụ càng giữ ít dữ liệu, bạn càng ít phải lo lắng. Sẽ tốt hơn nếu IP được băm (hashed) thay vì để ở dạng văn bản thuần túy — khi đó bạn vẫn thấy được các số liệu thống kê, nhưng không lưu trữ địa chỉ thô của một cá nhân cụ thể. Đây chính là tính năng mà chúng tôi đã tích hợp vào cutty.dev, vì nếu thiếu nó, mọi thứ còn lại đều trở nên không trọn vẹn.

Không có theo dõi giữa các dịch vụ. Một trình chặn quảng cáo không kết hợp hồ sơ người truy cập và không bán lại dữ liệu đi nơi khác là bớt đi một vấn đề trong danh sách.

Trong thực tế, hay là nên làm gì vào sáng thứ Hai

Vấn đề không phải là ngừng rút gọn liên kết. Hãy cứ rút gọn. Vấn đề chỉ là hãy chọn công cụ một cách có ý thức, chứ không phải cái đầu tiên bạn thấy trên công cụ tìm kiếm.

1. Kiểm tra xem máy chủ đặt ở đâu và ai là người quản lý nó.
2. Kiểm tra xem nó lưu trữ cái gì và trong bao lâu.
3. Nếu bạn thu thập dữ liệu của khách truy cập, hãy thêm một trình rút gọn link vào chính sách bảo mật của mình. Chỉ một câu thôi. Thực sự không hề khó khăn đâu.

Và thế là xong. Đây không phải là lời khuyên pháp lý (tôi không phải luật sư của bạn), nhưng đây là nền tảng giúp việc tuân thủ trở nên dễ dàng hơn nhiều so với việc dữ liệu bị trôi ra bên kia đại dương ngay từ lần nhấp chuột đầu tiên.

Và nếu bạn chỉ có thể nhớ một câu duy nhất từ điều này: trước khi gửi link bản tin (newsletter), hãy kiểm tra xem IP của người đọc sẽ dừng lại ở đâu. Đây là một câu hỏi mang tính dự phòng cho tương lai, giúp bạn tiết kiệm được rất nhiều sự lo lắng về sau.