Ủy ban Bảo vệ Thông tin cá nhân Hàn Quốc (PIPC) cho biết quy định về quyền yêu cầu truyền dữ liệu cá nhân có hiệu lực từ ngày 20/8 không đồng nghĩa với việc chặn đồng loạt hoạt động scraping. Thay vào đó, cơ quan này sẽ duy trì các dịch vụ hiện có trong giai đoạn chuyển tiếp, đồng thời mở rộng cơ chế thỏa thuận trước sang cả doanh nghiệp nhỏ và các đơn vị không có tư cách MyData.

Theo PIPC, từ ngày 11 đến 31/8, cơ quan này tiếp nhận hồ sơ đợt ba đối với các đơn vị đóng vai trò đại diện yêu cầu truyền dữ liệu. So với các đợt trước, phạm vi tiếp nhận lần này được nới rộng, cho phép cả doanh nghiệp quy mô nhỏ và đơn vị không có tư cách MyData nộp hồ sơ.

PIPC cho biết sẽ xem xét mô hình dịch vụ, mức độ bảo mật cũng như khả năng áp dụng trên thực tế các biện pháp quản lý an toàn của từng đơn vị đăng ký.

Động thái này được đưa ra nhằm giảm lo ngại gián đoạn dịch vụ đối với các doanh nghiệp đang vận hành mô hình scraping, trong bối cảnh nghị định thi hành Luật Bảo vệ Thông tin cá nhân bắt đầu có hiệu lực từ ngày 20/8.

Theo PIPC, việc áp dụng quy định mới không có nghĩa là cấm hoàn toàn scraping. Nghị định sửa đổi quy định rằng nếu doanh nghiệp thay mặt người dùng sử dụng công cụ tự động, bao gồm scraping, để lấy thông tin từ cơ quan công quyền thì phải thực hiện thỏa thuận trước với cơ quan đó.

Nội dung thỏa thuận trước bao gồm phạm vi dữ liệu được truyền, cách xác minh tư cách đại diện, mức độ truy cập và phương thức xác thực của công cụ tự động, biện pháp bảo vệ dữ liệu cá nhân và phương án quản lý an toàn. Khi đã có cơ chế an toàn phù hợp, doanh nghiệp vẫn có thể tiếp tục sử dụng scraping trong phạm vi đã thống nhất, đồng thời từng bước chuyển sang phương thức truyền dữ liệu dựa trên API trong trung và dài hạn.

PIPC cho biết các doanh nghiệp và tổ chức nộp hồ sơ trong đợt ba sẽ được hỗ trợ duy trì tạm thời phương thức truyền dữ liệu hiện tại trong thời gian đàm phán với cơ quan đang quản lý dữ liệu. Vì vậy, việc quy định có hiệu lực từ ngày 20/8 không đồng nghĩa với việc các dịch vụ như nộp hồ sơ tự động sẽ bị dừng hàng loạt.

Với các đơn vị cần thêm thời gian chuẩn bị, PIPC cho biết sẽ hỗ trợ tiếp tục vận hành dịch vụ hiện hành và chuyển đổi dần sang phương thức an toàn hơn.

Sau khi kết thúc giai đoạn thí điểm đợt ba, cơ chế thỏa thuận trước vẫn sẽ được duy trì. Từ sau ngày 31/8, các doanh nghiệp phát sinh nhu cầu scraping mới hoặc cần ký thỏa thuận có thể làm việc trực tiếp với từng cơ quan công quyền đang nắm giữ dữ liệu.

PIPC nhấn mạnh ngày 20/8 không phải là mốc chấm dứt đồng loạt các dịch vụ scraping, mà là thời điểm cơ chế thỏa thuận trước theo từng cơ quan công quyền chính thức đi vào vận hành đầy đủ.

Cơ quan này cũng cho biết nhu cầu đối với scraping trong hai đợt thí điểm trước cao hơn dự kiến. Ở đợt một, diễn ra từ 25/6 đến 10/7, khoảng 70 doanh nghiệp và tổ chức đã nộp 150 hồ sơ. Đợt hai, từ 20/7 đến 31/7, ghi nhận khoảng 300 doanh nghiệp và tổ chức nộp 550 hồ sơ.

Tổng cộng, khoảng 700 nhu cầu thỏa thuận trước đã được ghi nhận qua hai đợt. Theo PIPC, scraping hiện được sử dụng trong nhiều loại dịch vụ nhưng cơ quan quản lý vẫn chưa nắm đầy đủ toàn cảnh, vì vậy đợt ba sẽ là cơ sở để xác định thêm nhu cầu từ các doanh nghiệp nhỏ chưa được phản ánh trước đó.

PIPC cũng làm rõ đối tượng được nộp hồ sơ. Trong đợt thí điểm thứ ba, bất kể có hay không các chứng nhận riêng như tổ chức chuyên trách quản lý dữ liệu cá nhân, đơn vị đại diện yêu cầu truyền dữ liệu vẫn có thể đăng ký nếu sử dụng công cụ tự động để nhận dữ liệu cá nhân do hệ thống công quyền quản lý.

Trong trường hợp không có tư cách hoặc chứng nhận liên quan, doanh nghiệp có thể để trống mục phân loại tư cách trong đơn đăng ký. Tuy nhiên, trong quá trình thỏa thuận trước, cơ quan công quyền vẫn sẽ kiểm tra phương thức truy cập, biện pháp bảo vệ dữ liệu và phương án quản lý an toàn của đơn vị đại diện, nên doanh nghiệp cần chuẩn bị đầy đủ các nội dung này.

Các fintech sử dụng giải pháp scraping của bên thứ ba cũng có thể đăng ký tham gia. Đơn vị được ủy thác xử lý scraping cho nhiều khách hàng có thể nộp hồ sơ tập trung, nhưng chủ thể thực hiện yêu cầu truyền dữ liệu vẫn là từng khách hàng với tư cách đại diện riêng.

PIPC cho biết các fintech đang khai thác dữ liệu từ những hệ thống như HomeTax cũng có thể tham gia đợt thí điểm thứ ba. Trước đó, nhiều doanh nghiệp trong ngành lo ngại khả năng duy trì dịch vụ vì cho rằng các đơn vị không có tư cách MyData khó tham gia cơ chế thỏa thuận trước. Việc mở rộng đối tượng lần này được đánh giá sẽ giúp giảm đáng kể mức độ bất định trong ngắn hạn.

Một đại diện trong ngành cho biết: “Ngay cả những doanh nghiệp như chúng tôi giờ cũng có thể nộp hồ sơ. Cảm giác như vừa vượt qua được một rào cản lớn”.

Yang Cheong-sam, Tổng thư ký PIPC, nói mục tiêu của quyền yêu cầu truyền dữ liệu không phải là để các dịch vụ người dân đang sử dụng bị dừng đột ngột, mà là duy trì các dịch vụ cần thiết và chuyển dần sang phương thức truyền dữ liệu an toàn hơn. Theo ông, PIPC sẽ phối hợp với các cơ quan công quyền để hỗ trợ doanh nghiệp chuyển đổi sang các phương thức an toàn như scraping trong phạm vi đã thỏa thuận và API.

Một nguồn tin trong ngành fintech nhận định việc cho phép doanh nghiệp không có tư cách MyData nộp hồ sơ thỏa thuận trước đã giúp ngành “vượt thêm một ngọn núi lớn”. Tuy nhiên, doanh nghiệp vẫn còn băn khoăn về vấn đề tích lũy dữ liệu phục vụ phân tích và khai thác, và cho rằng đây là chủ đề cần tiếp tục được thảo luận trong thời gian tới.