Nguyên tắc giới hạn mục đích dữ liệu yêu cầu những gì?

Theo Điều 5(1)(b) GDPR, dữ liệu cá nhân phải được thu thập cho các mục đích “cụ thể, rõ ràng và hợp pháp” và không được tiếp tục xử lý theo cách không tương thích với các mục đích đó.

Mục đích xử lý phải được xác định cụ thể, rõ ràng và hợp pháp

“Có mục đích xử lý” chưa đủ để đáp ứng nguyên tắc giới hạn mục đích. Mục đích phải cho biết một cách thực chất dữ liệu được thu thập để thực hiện hoạt động nào và phục vụ nhu cầu nào.

Một tuyên bố quá rộng như “sử dụng dữ liệu để phục vụ hoạt động kinh doanh” không cho chủ thể dữ liệu biết thông tin của họ thực tế sẽ được dùng như thế nào. Ngược lại, các mục đích như xác thực tài khoản, thực hiện hợp đồng, xử lý thanh toán hoặc cung cấp một dịch vụ đã yêu cầu xác lập phạm vi sử dụng rõ hơn.

Tính rõ ràng cũng liên quan trực tiếp đến minh bạch. Mục đích cần được xác định từ đầu và được thông tin cho chủ thể dữ liệu khi thu thập dữ liệu, thay vì thu thập trước rồi mới tìm cách hợp thức hóa mục đích sử dụng sau đó. Ủy ban châu Âu cũng mô tả purpose limitation theo hướng tổ chức chỉ được thu thập và xử lý dữ liệu cho một mục đích cụ thể đã được thông báo cho cá nhân.

Dữ liệu không được tiếp tục xử lý theo mục đích không tương thích

Giới hạn mục đích không có nghĩa dữ liệu chỉ được thực hiện đúng một thao tác duy nhất sau khi thu thập. Điểm quyết định là việc xử lý tiếp theo có còn tương thích với mục đích ban đầu hay không.

Ví dụ, thông tin địa chỉ được khách hàng cung cấp để giao hàng có thể được sử dụng trong các hoạt động trực tiếp cần thiết cho việc hoàn thành đơn hàng. Tuy nhiên, việc lấy chính dữ liệu đó để xây dựng một hồ sơ hành vi phục vụ một mục đích hoàn toàn khác phải được đánh giá riêng, thay vì mặc nhiên coi dữ liệu đã có thì có thể sử dụng cho mọi hoạt động.

Khi xem xét một mục đích mới có tương thích hay không, các yếu tố quan trọng gồm:

·         Mối liên hệ giữa mục đích ban đầu và mục đích mới

·         Bối cảnh dữ liệu được thu thập và mối quan hệ với chủ thể dữ liệu

·         Bản chất của dữ liệu, đặc biệt khi có dữ liệu nhạy cảm

·         Hậu quả có thể phát sinh từ việc xử lý tiếp theo

·         Các biện pháp bảo vệ như mã hóa hoặc giả danh hóa

Vì vậy, “đã thu thập hợp pháp” không đồng nghĩa với “được sử dụng cho mọi mục đích”. Việc tái sử dụng dữ liệu vẫn phải nằm trong giới hạn mà mục đích ban đầu và căn cứ pháp lý cho phép.

Thay đổi mục đích xử lý không tự động đồng nghĩa với phải thu thập lại dữ liệu

Một cách hiểu dễ gây nhầm lẫn là bất kỳ mục đích mới nào cũng tuyệt đối bị cấm. Nguyên tắc giới hạn mục đích kiểm soát tính tương thích của việc xử lý tiếp theo, chứ không tạo ra lệnh cấm mọi hình thức tái sử dụng dữ liệu.

Nếu mục đích mới tương thích với mục đích ban đầu và các điều kiện pháp lý liên quan được đáp ứng, việc xử lý tiếp theo có thể được thực hiện mà không nhất thiết phải thu thập lại toàn bộ dữ liệu. Ngược lại, nếu mục đích mới không tương thích, tổ chức không thể chỉ dựa vào việc dữ liệu đã nằm trong hệ thống để tiếp tục sử dụng. Khi đó phải xác định căn cứ phù hợp cho hoạt động xử lý mới và thực hiện các nghĩa vụ minh bạch tương ứng.

GDPR còn quy định việc xử lý tiếp cho mục đích lưu trữ vì lợi ích công cộng, nghiên cứu khoa học hoặc lịch sử và thống kê có thể được coi là không trái với mục đích ban đầu khi đáp ứng các bảo đảm theo Điều 89(1).

Giới hạn mục đích phải được duy trì trong toàn bộ vòng đời xử lý dữ liệu

Tuân thủ nguyên tắc này không kết thúc sau khi mục đích được ghi vào chính sách quyền riêng tư. Mục đích đã xác định phải tiếp tục kiểm soát cách dữ liệu được truy cập, chia sẻ, kết hợp và tái sử dụng.

Trong thực tế, mỗi hoạt động xử lý nên có thể trả lời được ba câu hỏi: dữ liệu này được thu thập vì mục đích nào, hoạt động hiện tại có phục vụ hoặc tương thích với mục đích đó hay không, và nếu mục đích đã thay đổi thì điều kiện pháp lý nào cho phép thay đổi.

Cách kiểm soát này đặc biệt quan trọng khi dữ liệu được chuyển giữa nhiều bộ phận hoặc hệ thống. Một bộ dữ liệu ban đầu phục vụ chăm sóc khách hàng không mặc nhiên trở thành nguồn dữ liệu chung cho quảng cáo, phân tích hành vi hoặc các mục tiêu khác chỉ vì tổ chức đã có quyền truy cập kỹ thuật vào dữ liệu.

Giới hạn mục đích vì thế là giới hạn về quyền sử dụng dữ liệu, không chỉ là mô tả về lý do thu thập.

Giới hạn mục đích khác với nguyên tắc giảm thiểu dữ liệu

Hai nguyên tắc liên quan chặt chẽ nhưng kiểm soát hai vấn đề khác nhau.

Giới hạn mục đích trả lời câu hỏi “dữ liệu được phép dùng để làm gì?”. Giảm thiểu dữ liệu trả lời câu hỏi “cần bao nhiêu dữ liệu để thực hiện mục đích đó?”.

Một tổ chức có thể xác định đúng mục đích nhưng vẫn thu thập quá nhiều dữ liệu; khi đó vấn đề nằm ở nguyên tắc giảm thiểu dữ liệu. Ngược lại, tổ chức có thể chỉ thu thập lượng dữ liệu cần thiết nhưng sau đó sử dụng cho một mục đích không tương thích; khi đó vấn đề nằm ở giới hạn mục đích.

Ủy ban châu Âu tách hai yêu cầu này thành các nguyên tắc riêng: mục đích phải cụ thể và dữ liệu chỉ được sử dụng phù hợp với mục đích đó, đồng thời lượng dữ liệu được xử lý phải giới hạn ở mức cần thiết để hoàn thành mục đích.

Nguyên tắc giới hạn mục đích yêu cầu việc xử lý dữ liệu phải bám vào một mục đích được xác định cụ thể, rõ ràng và hợp pháp ngay từ đầu. Dữ liệu không được tiếp tục sử dụng theo cách không tương thích với mục đích đó chỉ vì dữ liệu đã được thu thập hoặc đang sẵn có trong hệ thống. Khi xuất hiện mục đích mới, tổ chức phải đánh giá tính tương thích và căn cứ pháp lý tương ứng trước khi tiếp tục xử lý.