(KTSG) – Theo chỉ đạo của Chính phủ Việt Nam, app PC-Covid hiện là ứng dụng được sử dụng cho mục đích phòng chống dịch Covid-19 của người dân Việt Nam. Tuy nhiên, gần đây, nhiều người tỏ ra lo ngại về những vấn đề an toàn an ninh thông tin đối với người sử dụng ứng dụng. Những lo ngại này không phải là không có cơ sở.
Cụ thể, hiện nay app PC-Covid yêu cầu người sử dụng cho phép ứng dụng này truy cập các chức năng trên điện thoại của người sử dụng, gồm năm quyền: (1) Đọc và ghi lịch sử tiếp xúc; (2) Sử dụng Bluetooth và quyền truy cập vị trí (Android) để ghi nhận tiếp xúc gần bằng công nghệ năng lượng thấp (BLE); (3) Truy cập Internet từ thiết bị; (4) Sử dụng camera để quét mã QR; (5) Truy cập ảnh, video, âm thanh và tệp để lưu mã QR về điện thoại.
Việc yêu cầu người dân cấp các quyền nói trên trước đó được đại diện của Bộ Tư lệnh 86 cho là “phù hợp với nhu cầu, đặc điểm phòng chống dịch hiện nay”(1). Hay như theo đánh giá của Cục An toàn thông tin thì “chưa phát hiện ứng dụng PC-Covid thu thập thông tin người dùng ngoài phạm vi thực hiện các chức năng phục vụ công tác phòng chống dịch bệnh”(2).
Tuy nhiên, ngoài những kết luận ngắn gọn nói trên, thì rất đáng tiếc là người dân chưa được giải thích rõ ràng về vấn đề bảo đảm an toàn thông tin cá nhân của app PC-Covid. Ngoài những nghi vấn về vấn đề bảo mật được các chuyên gia công nghệ đưa ra gần đây, thì trang web “PC-COVID Ứng dụng phòng, chống dịch Covid-19 quốc gia” của Chính phủ còn quá sơ sài thông tin về việc sử dụng và bảo vệ thông tin cá nhân người dùng ứng dụng(3).
Trên trang web này, thông tin duy nhất liên quan tới dữ liệu cá nhân nằm trong mục FAQ: “Ứng dụng không ghi nhận cũng như sử dụng vị trí của người dùng. Khi bạn cài đặt ứng dụng trên Android và kích hoạt Bluetooth thì máy sẽ xin cấp quyền vị trí, điều này là do chính sách của Google khi bật Bluetooth BLE máy sẽ tự động xin quyền vị trí. Tuy nhiên PC-Covid không sử dụng tới quyền đó. Ứng dụng chỉ lưu dữ liệu lịch sử tiếp xúc trên máy của người dùng và không thu thập vị trí.
Dữ liệu lịch sử tiếp xúc sẽ chỉ được sử dụng để phục vụ cơ quan y tế khi có sự đồng ý của người dùng hoặc trong trường hợp người dùng là ca nhiễm, ca nghi nhiễm. Dữ liệu của người dùng phục vụ phân tích, truy vết các ca nhiễm, ca nghi nhiễm sẽ được lưu trữ và bảo mật bởi cơ quan chính phủ và chỉ sử dụng vào mục đích giúp người dân bảo vệ sức khỏe và chống dịch bệnh, tuyệt đối không sử dụng vào mục đích thương mại, không xâm phạm đời tư”. Những thông tin ít ỏi này làm không ít người hoang mang, nhất là khi so với các quyền truy cập mà người sử dụng phải giao cho app PC-Covid.
Trong khi đó, hãy lấy ví dụ về ứng dụng “TousAntiCovid” (tên cũ StopCovid) đang được sử dụng ở Pháp để thấy sự khác biệt về quyền được thông tin của người dân. Thông tin về mục đích sử dụng ứng dụng cũng như cơ sở pháp lý của nó đều được truyền tải rõ ràng đầy đủ trên trang web của Chính phủ Pháp(4). Ngoài ra, người dân còn được thông báo trên trang web này mọi chi tiết về việc bảo vệ an toàn thông tin cá nhân, cụ thể:
– Loại thông tin cá nhân được chuyển cho máy chủ ứng dụng (tên tuổi, thông tin về tiêm chủng, nhiễm bệnh) và loại thông tin cá nhân chỉ lưu trữ trong điện thoại người dùng (giấy phép đi lại, lịch sử tìm kiếm thông tin hữu ích liên quan tới Covid-19…).
– Cơ quan có thẩm quyền đón nhận và xử lý thông tin cá nhân (như đối với thông tin đã có tiếp xúc với người bị nhiễm sẽ được chuyển cho bộ phận xử lý thông tin của Bộ Y tế Pháp để làm công tác thống kê và dự đoán tình hình dịch bệnh, trong khi thông tin về tiêm chủng, về xét nghiệm âm tính, dương tính với Covid do một cơ quan nhà nước khác có thẩm quyền lưu trữ).
– Giới hạn về thời hạn mà ứng dụng có thể lưu giữ và xử lý thông tin cá nhân (ví dụ, thông tin về việc tiếp xúc gần với người nhiễm Covid-19 được lưu giữ trong vòng sáu tháng kể từ khi chấm dứt tình trạng khẩn cấp, dữ liệu sử dụng cho mục đích thống kê được lưu giữ trong vòng ba tháng…).
– Việc sử dụng camera để quét mã QR cần có xác nhận sự cho phép của cá nhân người dùng, và ứng dụng không thu thập bất cứ hình ảnh hay video nào trong điện thoại cá nhân người dùng.
– Thông tin về quyền tiếp cận, chỉnh sửa, xóa bỏ thông tin cá nhân của người dùng.
– Ứng dụng không sử dụng tên thật người dùng, và dựa trên nguyên tắc hoàn toàn tự nguyện, cũng như không có bất cứ hậu quả gì với người không sử dụng.
Tuy ứng dụng đáp ứng các tiêu chí của luật pháp Pháp liên quan tới dữ liệu cá nhân nhưng CNIL, cơ quan giám sát bảo vệ dữ liệu của Pháp cũng đã hai lần đưa ra báo cáo nhấn mạnh rằng việc ứng dụng thu thập và xử lý thông tin cá nhân chỉ có thể được cho phép trong một thời hạn nhất định, và phải thực sự cần thiết để đạt được mục đích đặt ra. Cơ quan này cũng nhấn mạnh rằng khi ứng dụng “không còn được coi là cần thiết”, thì mọi dữ liệu cá nhân đã được thu thập cần được xóa bỏ, đảm bảo quyền riêng tư cá nhân.
Điều này cho thấy người dân Pháp được thông tin rất rõ ràng và cụ thể về mức độ đảm bảo an toàn thông tin cá nhân, và vì thế quyết định dễ dàng hơn việc sử dụng ứng dụng hay không. Ở phương diện này, có thể nói, nếu như nhiều người Việt Nam vẫn e ngại về sự an toàn đối với dữ liệu cá nhân khi đăng ký và khai báo trên ứng dụng PC-Covid, thì cũng không có gì là khó hiểu. Thiết nghĩ, người dân nên được thông tin chính xác, đầy đủ và rõ ràng hơn về mức độ bảo vệ dữ liệu cá nhân của ứng dụng, điều này sẽ góp phần đảm bảo tốt hơn hiệu quả của chương trình phòng, chống dịch Covid-19 ở Việt Nam.
———-
(1) https://congnghe.tuoitre.vn/chua-phat-hien-app-pc-covid-thu-thap-thong-tin-ngoai-pham-vi-chuc-nang-20211007140639446.htm
(2) id.
(3) https://pccovid.gov.vn/faq
(4) https://bonjour.tousanticovid.gouv.fr/privacy.html
PC Covid đã thất bại trên thực tế, trước khi được áp đặt trở thành app dùng chung cho cả nước. Chất lượng và tiện ích nghèo nàn. Giao diện không cảm xúc. Đó là lý do đến giờ này ở địa phương vẫn phổ biến app Make In Local ?
điều khoản và thông tin mông lung như một trò đùa