Doanh nghiệp cần biết gì về tính hợp pháp của việc thu thập dữ liệu web

Dữ liệu công khai và không công khai: Nền tảng của tính hợp pháp khi trích xuất dữ liệu web

Nguyên tắc rõ ràng nhất trong trích xuất dữ liệu web là phân biệt dữ liệu công khai với dữ liệu không công khai. Thông tin mà bất kỳ ai cũng xem được mà không cần đăng nhập, chẳng hạn danh sách sản phẩm, danh bạ doanh nghiệp, tin rao bất động sản hay bài báo, thường có thể được thu thập. Tòa án tại Hoa Kỳ và Vương quốc Anh nhiều lần cho rằng việc truy cập website công khai không cấu thành hành vi truy cập trái phép theo các luật về lạm dụng hệ thống máy tính, như Computer Fraud and Abuse Act (CFAA) tại Hoa Kỳ hoặc Computer Misuse Act 1990 tại Anh.

Dữ liệu không công khai là một trường hợp khác. Nếu cần đăng nhập, vượt tường phí hoặc dùng thông tin đăng nhập của người khác để tiếp cận thông tin, bạn đã đi vào vùng rủi ro truy cập trái phép. CFAA hình sự hóa hành vi vượt quá phạm vi truy cập được cho phép đối với hệ thống máy tính; pháp luật Anh cũng cấm truy cập dữ liệu mà bạn không có quyền xem. Vụ hiQ Labs kiện LinkedIn xoay quanh vấn đề này: LinkedIn cho rằng việc thu thập dữ liệu vi phạm CFAA, kể cả sau khi hiQ được yêu cầu dừng lại, nhưng Tòa Phúc thẩm Khu vực Chín ban đầu nhận định hồ sơ công khai không được bảo vệ theo cách đó. Vụ việc cuối cùng được dàn xếp, nên vẫn còn một số điểm chưa rõ, nhưng nguyên tắc cốt lõi không thay đổi: thu thập dữ liệu hiển thị công khai khác đáng kể với việc truy cập nội dung bị giới hạn.

Trong hoạt động kinh doanh, hãy chỉ thu thập dữ liệu mà mọi khách truy cập đều có thể xem mà không cần đăng nhập. Nếu dự án yêu cầu truy cập tài khoản, bạn phải là chủ tài khoản hoặc có sự cho phép rõ ràng từ chủ tài khoản.

Dữ liệu cá nhân và pháp luật về quyền riêng tư

Việc thu thập dữ liệu cá nhân như họ tên, địa chỉ email, số điện thoại, địa chỉ IP hoặc dữ liệu vị trí sẽ kích hoạt các quy định về quyền riêng tư. Tại Việt Nam, Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân đặt ra yêu cầu về cơ sở xử lý, mục đích xử lý và quyền của chủ thể dữ liệu. Tại Anh, UK GDPR và Data Protection Act 2018 yêu cầu có cơ sở pháp lý cho việc xử lý dữ liệu cá nhân, minh bạch về cách sử dụng dữ liệu và tôn trọng quyền của cá nhân. Tại Hoa Kỳ, CCPA và CPRA của California áp dụng các yêu cầu tương tự cho cư dân California, trong khi các bang khác cũng đang ban hành quy định riêng.

Cơ sở pháp lý là yếu tố quan trọng. Nếu bạn thu thập thông tin liên hệ doanh nghiệp từ một danh bạ công khai để tiếp thị B2B, bạn có thể dựa vào lợi ích hợp pháp theo UK GDPR hoặc cho rằng dữ liệu này nằm ngoài phạm vi một số luật bảo vệ quyền riêng tư người tiêu dùng tại Hoa Kỳ. Nếu thu thập hồ sơ người tiêu dùng, đánh giá có gắn tên hoặc hoạt động trên mạng xã hội, cần cân nhắc kỹ hơn về sự đồng ý, giới hạn mục đích và quyền của chủ thể dữ liệu. European Data Protection Board đã làm rõ rằng dữ liệu công khai không đồng nghĩa với việc được miễn tuân thủ luật bảo vệ dữ liệu: bạn vẫn cần có cơ sở pháp lý và tôn trọng kỳ vọng hợp lý của cá nhân.

Trên thực tế, nhiều doanh nghiệp chọn tránh thu thập dữ liệu cá nhân hoàn toàn. Thay vì thu thập đánh giá người dùng kèm tên, hãy thu thập điểm đánh giá tổng hợp và nội dung đã ẩn danh. Thay vì thu thập từng hồ sơ mạng xã hội, hãy thu thập bài đăng công khai mà không gắn với cá nhân có thể định danh, trừ khi bạn có cơ sở pháp lý rõ ràng và chính sách quyền riêng tư tương ứng. Nếu dự án cần dữ liệu cá nhân, hãy tham vấn luật sư về bảo vệ dữ liệu trước khi bắt đầu.

Điều khoản sử dụng: Hợp đồng và quyền truy cập kỹ thuật

Phần lớn website đều công bố điều khoản sử dụng cấm thu thập dữ liệu, truy cập tự động hoặc khai thác dữ liệu cho mục đích thương mại. Giá trị pháp lý của các điều khoản này thường gây nhầm lẫn. Tại Hoa Kỳ, vi phạm điều khoản sử dụng không tự động khiến hoạt động thu thập dữ liệu trở thành hành vi phạm tội theo CFAA. Các tòa án cho rằng chỉ vi phạm điều khoản sử dụng không đồng nghĩa với truy cập trái phép vào hệ thống máy tính.

Tuy nhiên, điều khoản sử dụng vẫn là một dạng hợp đồng và việc vi phạm có thể dẫn đến hậu quả dân sự. Chủ website có thể gửi thư yêu cầu chấm dứt hành vi, xin lệnh cấm hoặc khởi kiện vì vi phạm hợp đồng nếu chứng minh được thiệt hại. Tại Anh, luật hợp đồng được áp dụng tương tự: nếu bạn đã đồng ý rõ ràng với điều khoản cấm thu thập dữ liệu, bạn có thể phải chịu trách nhiệm do vi phạm, dù việc thực thi ít xảy ra nếu website không chứng minh được thiệt hại thực tế.

Cách tiếp cận điều khoản sử dụng

• Đọc điều khoản. Nếu hoạt động thu thập dữ liệu bị cấm rõ ràng và bạn dự kiến triển khai dự án thương mại, hãy cân nhắc rủi ro. Các nền tảng lớn có đội ngũ pháp lý mạnh thường có khả năng thực thi điều khoản cao hơn các website nhỏ.
• Kiểm tra API trước. Nhiều nền tảng cung cấp API chính thức để cung cấp dữ liệu có cấu trúc mà không tạo ra sự mơ hồ về hợp đồng.
• Thực hiện một cách lịch sự và có trách nhiệm kỹ thuật. Dù điều khoản cấm thu thập dữ liệu, website thường vẫn chấp nhận bot có lưu lượng thấp, vận hành thận trọng và không làm gián đoạn dịch vụ. Ranh giới giữa hành vi được bỏ qua và bị kiện thường phụ thuộc vào quy mô và tác động.
• Lưu lại quy trình. Nếu bị chất vấn, việc chứng minh rằng bạn chỉ thu thập dữ liệu công khai, tuân thủ robots.txt và duy trì tần suất yêu cầu hợp lý sẽ củng cố vị thế của bạn.

Với các dự án thuộc vùng xám, như thu thập dữ liệu từ một sàn thương mại điện tử lớn hoặc nền tảng bất động sản để theo dõi giá, lời khuyên thực tế là cần thận trọng, sử dụng dịch vụ thu thập dữ liệu uy tín hiểu rõ các ranh giới này và sẵn sàng dừng lại nếu nhận được phản đối pháp lý.

Bản quyền và quyền đối với cơ sở dữ liệu

Bản quyền bảo vệ các tác phẩm sáng tạo gốc như văn bản, hình ảnh, video và mã phần mềm. Việc thu thập dữ liệu từ website không trao cho bạn quyền sở hữu nội dung trên đó. Nếu đăng lại bài viết, mô tả sản phẩm hoặc ảnh đã thu thập mà không được phép, bạn có thể đối mặt với rủi ro xâm phạm bản quyền. Tại Anh và EU, quyền đối với cơ sở dữ liệu tạo thêm một lớp bảo vệ: Database Directive trao bảo hộ sui generis cho cơ sở dữ liệu có đầu tư đáng kể vào việc thu thập, xác minh hoặc trình bày dữ liệu.

Hoa Kỳ không có quyền riêng đối với cơ sở dữ liệu, nhưng bản quyền vẫn áp dụng với các tuyển tập có tính sáng tạo và nội dung sáng tạo. Bản thân sự kiện không được bảo hộ bản quyền, chẳng hạn giá, địa chỉ hay thông số kỹ thuật sản phẩm; nhưng cách diễn đạt hoặc sắp xếp chúng có thể được bảo hộ. Thu thập dữ liệu thực tế thô để dùng nội bộ, như so sánh giá, nghiên cứu thị trường hoặc theo dõi tồn kho, thường có thể thuộc trường hợp sử dụng hợp lý hoặc không liên quan đến bản quyền. Việc đăng lại dữ liệu theo cách cạnh tranh trực tiếp với nguồn gốc sẽ rủi ro hơn.

Giảm thiểu rủi ro bản quyền

1. Trích xuất dữ kiện, không trích xuất nội dung sáng tạo. Thu thập giá, thông số và tình trạng còn hàng thay vì nội dung tiếp thị hoặc ảnh chuyên nghiệp.
2. Chuyển đổi dữ liệu. Khi tổng hợp, phân tích hoặc định dạng lại dữ liệu đã thu thập thành sản phẩm riêng, bạn tạo ra giá trị chuyển đổi, qua đó củng cố lập luận về sử dụng hợp lý.
3. Ghi nguồn khi phù hợp. Nếu hiển thị công khai dữ liệu đã thu thập, hãy dẫn liên kết về nguồn.
4. Tránh đăng lại hàng loạt. Sao chép toàn bộ một website hoặc cơ sở dữ liệu là trường hợp xâm phạm rõ ràng nhất. Hãy dùng dữ liệu thu thập được để hỗ trợ quyết định, không phải để thay thế nguồn gốc.

Với dự án thương mại có kế hoạch đăng lại hoặc phân phối lại nội dung đã thu thập, như website so sánh, nền tảng tổng hợp hoặc bộ dữ liệu huấn luyện AI, hãy đầu tư cho việc rà soát pháp lý.

Tác động kỹ thuật: Tôn trọng hạ tầng

Ngay cả khi có quyền hợp pháp để thu thập dữ liệu, cách thức kỹ thuật vẫn rất quan trọng. Gửi quá nhiều yêu cầu làm quá tải website có thể bị xem là tấn công từ chối dịch vụ hoặc trespass to chattels, một học thuyết thông luật Hoa Kỳ cho phép chủ sở hữu khởi kiện khi hệ thống của họ bị can thiệp. Luật Anh không có quy định tương đương trực tiếp, nhưng hoạt động thu thập dữ liệu quá mức gây thiệt hại có thể đo lường được, như website ngừng hoạt động, chi phí lưu trữ tăng hoặc trải nghiệm người dùng suy giảm, có thể hỗ trợ yêu cầu bồi thường hoặc lệnh cấm.

Giới hạn tần suất yêu cầu vừa là phép lịch sự vừa là biện pháp bảo vệ về pháp lý. Một trình thu thập dữ liệu được thiết kế tốt sẽ mô phỏng hành vi người dùng: chờ giữa các yêu cầu, tuân thủ chỉ dẫn trong robots.txt, tự nhận diện bằng chuỗi user-agent và giảm tốc độ khi website trả về lỗi. Website triển khai biện pháp chống bot không chỉ để thực thi điều khoản sử dụng mà còn để bảo vệ hạ tầng.

Robots.txt không có tính ràng buộc pháp lý, nhưng việc bỏ qua tệp này làm suy yếu vị thế của bạn nếu xảy ra tranh chấp. Tòa án có thể xem việc tuân thủ robots.txt là bằng chứng về thiện chí; hành vi vi phạm có thể hỗ trợ lập luận rằng bạn cố ý vượt quá phạm vi truy cập được phép. Với dự án doanh nghiệp, hãy cấu hình trình thu thập dữ liệu tuân thủ robots.txt, trừ khi bạn có lý do cụ thể và tư vấn pháp lý để ghi đè.

Danh sách kiểm tra tuân thủ thực tế

Mọi dự án thu thập dữ liệu nên bắt đầu bằng bước rà soát tuân thủ. Danh sách dưới đây bao quát các vấn đề pháp lý và kỹ thuật chính đối với doanh nghiệp. Đây không phải là tư vấn pháp lý, nhưng cung cấp khuôn khổ để nhận diện rủi ro trước khi bạn cam kết nguồn lực.

Trước khi bắt đầu

• Xác nhận dữ liệu là công khai. Mọi khách truy cập có thể xem mà không cần đăng nhập hoặc trả phí không? Nếu có, bạn có thể tiếp tục. Nếu không, hãy dừng lại hoặc xin phép.
• Kiểm tra API chính thức. Nhiều nền tảng cung cấp quyền truy cập dữ liệu có cấu trúc, giúp tránh sự mơ hồ về hợp đồng.
• Đọc điều khoản sử dụng. Lưu ý các quy định cấm rõ ràng về thu thập dữ liệu, truy cập tự động hoặc sử dụng thương mại. Đánh giá rủi ro thực thi dựa trên lịch sử của nền tảng và trường hợp sử dụng của bạn.
• Xác định dữ liệu cá nhân. Bạn có thu thập tên, email, số điện thoại hoặc định danh khác không? Nếu có, hãy xác định cơ sở xử lý phù hợp theo Nghị định 13/2023/NĐ-CP, UK GDPR, CCPA hoặc quy định áp dụng liên quan.
• Rà soát bản quyền và quyền đối với cơ sở dữ liệu. Bạn đang trích xuất nội dung sáng tạo như văn bản, hình ảnh hay dữ liệu thực tế như giá, thông số? Hãy ưu tiên dùng dữ kiện thay vì sao chép nội dung và bổ sung giá trị chuyển đổi nếu có thể.

Trong quá trình thực hiện

• Tôn trọng robots.txt. Cấu hình trình thu thập dữ liệu tuân thủ chỉ dẫn disallow, trừ khi bạn có cơ sở pháp lý để không áp dụng.
• Giới hạn tần suất yêu cầu. Giãn cách các yêu cầu để tránh gây quá tải website mục tiêu. Với website nhỏ, một yêu cầu mỗi giây là điểm khởi đầu hợp lý.
• Sử dụng user-agent rõ ràng. Nhận diện trình thu thập dữ liệu bằng chuỗi user-agent mô tả rõ mục đích và cung cấp thông tin liên hệ.
• Theo dõi tình trạng chặn và lỗi. Nếu nhận được lỗi 403, 429 hoặc yêu cầu captcha, hãy giảm tốc độ hoặc dừng lại.
• Lưu trữ dữ liệu an toàn. Nếu thu thập dữ liệu cá nhân, hãy mã hóa dữ liệu khi truyền và khi lưu trữ, giới hạn quyền truy cập và tuân thủ quy định về thời hạn lưu giữ.

Sau khi thu thập

• Sử dụng dữ liệu đúng mục đích đã nêu. Không dùng lại dữ liệu cá nhân cho mục đích khác nếu không có cơ sở pháp lý mới.
• Ghi nguồn khi phù hợp. Nếu hiển thị công khai dữ liệu đã thu thập, hãy liên kết đến website gốc.
• Phản hồi yêu cầu gỡ bỏ. Nếu chủ website yêu cầu bạn dừng hoặc xóa dữ liệu, hãy xử lý yêu cầu đó một cách nghiêm túc.
• Rà soát định kỳ. Luật pháp thay đổi, điều khoản sử dụng được cập nhật và ưu tiên thực thi cũng dịch chuyển. Hãy xem lại đánh giá tuân thủ hằng năm.

Khi nào cần tư vấn pháp lý

Một số dự án nằm rõ trong phạm vi an toàn, như thu thập danh sách sản phẩm công khai để so sánh giá nội bộ, thu thập tin rao bất động sản để phân tích thị trường hoặc tổng hợp đánh giá khách hàng để nghiên cứu cảm xúc. Những dự án khác lại mơ hồ hoặc có rủi ro cao. Bạn nên tham vấn luật sư nếu dự án liên quan đến bất kỳ trường hợp nào sau đây:

• Thu thập dữ liệu từ nền tảng từng gửi thư yêu cầu chấm dứt hành vi hoặc từng kiện các bên thu thập dữ liệu.
• Thu thập dữ liệu cá nhân ở quy mô lớn, đặc biệt nếu bạn dự định bán dữ liệu, dùng để lập hồ sơ hoặc kết hợp với các bộ dữ liệu khác.
• Đăng lại hoặc phân phối lại nội dung đã thu thập theo cách cạnh tranh với nguồn gốc.
• Truy cập dữ liệu sau lớp đăng nhập, tường phí hoặc biện pháp bảo vệ kỹ thuật, kể cả khi bạn có tài khoản.
• Hoạt động trong ngành được quản lý như tài chính, y tế hoặc dịch vụ pháp lý, nơi việc xử lý dữ liệu chịu quy định chuyên ngành.

Luật sư không thể biến một dự án bất hợp pháp thành hợp pháp, nhưng có thể giúp bạn xây dựng phương án có thể bảo vệ được, soạn điều khoản và thông báo quyền riêng tư, cũng như tư vấn giảm thiểu rủi ro. Với các dự án có giá trị cao, như xây dựng nền tảng SaaS dựa trên dữ liệu thu thập được, ra mắt website so sánh hoặc tạo bộ dữ liệu thương mại, chi phí tư vấn pháp lý là nhỏ so với chi phí kiện tụng hoặc tiền phạt từ cơ quan quản lý.

Làm việc với dịch vụ thu thập dữ liệu

Nhiều doanh nghiệp chọn thuê ngoài việc thu thập dữ liệu thay vì tự xây dựng trình thu thập nội bộ. Một dịch vụ chuyên nghiệp mang lại chuyên môn kỹ thuật, xử lý cơ chế chống bot và hiểu các ranh giới pháp lý. Khi đánh giá nhà cung cấp, hãy hỏi về quy trình tuân thủ của họ. Họ có chỉ thu thập dữ liệu công khai không? Họ có tôn trọng robots.txt và giới hạn tần suất yêu cầu không? Họ có tránh dữ liệu cá nhân khi bạn chưa cung cấp cơ sở xử lý hợp pháp không?

Kodrana duy trì danh mục trình thu thập dữ liệu có sẵn cho các nền tảng phổ biến, gồm sàn thương mại điện tử, website bất động sản, trang tuyển dụng và danh bạ doanh nghiệp, đồng thời xây dựng trình thu thập tùy chỉnh cho nguồn mới trong 2-5 ngày làm việc. Chúng tôi chỉ thu thập dữ liệu công khai, không bao giờ đăng nhập vào tài khoản không thuộc sở hữu của mình và cấu hình mọi trình thu thập để tôn trọng các giới hạn kỹ thuật lẫn pháp lý. Trước khi triển khai dự án, chúng tôi rà soát website mục tiêu và xác nhận tính khả thi. Với khách hàng mới, chúng tôi cung cấp miễn phí mẫu 50-100 bản ghi để bạn kiểm tra chất lượng dữ liệu và mức độ tuân thủ trước khi cam kết. Nếu chưa chắc dự án có khả thi hay không, hãy gửi cho chúng tôi website và các trường dữ liệu cần lấy, chúng tôi sẽ kiểm tra mức độ bảo vệ và tư vấn hướng đi phù hợp về pháp lý lẫn kỹ thuật.