YouTuber người Tây Ban Nha Carles Tamayo lại đánh trúng vấn đề nhức nhối, theo phong cách thân mật, hài hước và sắc bén quen thuộc. Trong tập cuối của Se nos ha ido de las manos (“Mọi chuyện đã vượt khỏi tầm kiểm soát”), một loạt phim tài liệu ra mắt trên truyền hình công cộng Tây Ban Nha vào tháng 4/2026, anh xem xét cách các công ty mua và bán dữ liệu cá nhân.

Tập phim có tựa đề El activo eres tú (“Bạn chính là tài sản”), đặt ra một câu hỏi khó chịu: Ai đang nắm dữ liệu của chúng ta và dữ liệu đó đang bị làm gì? Và chúng ta sẵn sàng từ bỏ điều gì để đổi lấy lời hứa về một thứ miễn phí? Sau khi nhận những cuộc gọi rác từ các công ty biết quá nhiều về mình, Tamayo đã biến công ty sản xuất của chính anh thành một nhà môi giới dữ liệu để nhìn từ bên trong cách dữ liệu cá nhân được thu thập và mua bán.

Đây là cách ngành môi giới dữ liệu hoạt động và những quyền mà GDPR (Quy định chung về bảo vệ dữ liệu) trao cho bạn.

Nhà môi giới dữ liệu là gì và họ kiếm tiền như thế nào

Nhà môi giới dữ liệu là một công ty thu thập, phân tích và bán thông tin về người và tổ chức. Điều khiến thông tin đó có giá trị với người mua là cách nó có thể được kết hợp và phân tích. Thói quen, sở thích, dữ liệu vị trí và các tín hiệu khác có thể được ghép lại, ngày càng với sự trợ giúp của AI, thành một thứ có thể sử dụng được. Nhà môi giới dữ liệu bán nguyên liệu thô giúp tạo ra hồ sơ về gần như bất kỳ ai.

Chẳng hạn, trong phóng sự của Tamayo, một nhà môi giới dữ liệu chào bán cho anh thông tin về những người vừa sinh con. Những bậc cha mẹ mới này đã cung cấp chi tiết của mình tại bệnh viện để đổi lấy việc tham gia một cuộc rút thăm trúng thưởng sản phẩm cho trẻ sơ sinh.

Nhà môi giới dữ liệu thường thu thập địa chỉ email, địa chỉ IP(cửa sổ mới), vị trí gần đúng, các giao dịch mua trực tuyến, tìm kiếm trên internet, sở thích được chọn trong một ứng dụng và các thiết bị mà ai đó sử dụng.

Bao giờ bạn nhận được cuộc gọi từ một công ty điện thoại (hoặc bất kỳ công ty nào) và tự hỏi họ lấy số của bạn từ đâu chưa? Mọi chuyện đơn giản hơn bạn nghĩ. Cookie, ứng dụng di động và biểu mẫu trực tuyến có thể thu thập thông tin của bạn và chuyển cho nhà môi giới dữ liệu. Các nguồn ngoại tuyến cũng vậy, chẳng hạn như thẻ khách hàng thân thiết, cuộc rút thăm trúng thưởng và hồ sơ công khai.

Cookie là gì và chúng dùng để làm gì

Bạn đã thấy chúng trên mọi trang web mình truy cập: một cửa sổ bật lên nhỏ yêu cầu bạn chấp nhận hoặc từ chối cookie. Có lẽ bạn chỉ lướt qua, chấp nhận cookie(cửa sổ mới) rồi tiếp tục, mà không bao giờ hỏi cookie thực sự là gì(cửa sổ mới) hay bạn vừa đồng ý để các công ty làm gì với dữ liệu của mình.

Cookie là những tệp nhỏ mà trang web lưu trong trình duyệt của bạn để ghi nhớ thông tin về lượt truy cập. Những loại mà nhà môi giới dữ liệu quan tâm là cookie quảng cáo, được thiết kế để xây dựng hồ sơ hành vi và phân phối quảng cáo được cá nhân hóa.

Nhưng giờ đây bạn có thể bị theo dõi bằng những cách vượt xa cookie. Chẳng hạn, dấu vân tay trình duyệt tạo ra một chữ ký duy nhất từ các đặc điểm của thiết bị, trong khi theo dõi xuyên trang ghi lại hoạt động của bạn khi bạn di chuyển giữa các trang web. Trên di động, ID quảng cáo làm điều tương tự bằng cách gắn hành vi của bạn với một mã định danh lâu dài.

Từ chối cookie giúp cải thiện quyền riêng tư của bạn, nhưng không đảm bảo hoàn toàn. Và một khi bạn bắt đầu hỏi dữ liệu của mình đi đâu, ai nắm giữ và nó được sử dụng thế nào, bạn sẽ tất yếu gặp câu hỏi liệu việc mua bán dữ liệu của bạn có hợp pháp hay không.

GDPR bảo vệ bạn như thế nào

GDPR là bộ quy tắc của Liên minh châu Âu quy định cách các tổ chức và công ty thu thập, sử dụng, chia sẻ và lưu trữ dữ liệu cá nhân của bất kỳ ai ở EU. Nó cũng áp dụng cho các công ty có trụ sở ngoài EU nhắm đến người dân ở đó. Tại Tây Ban Nha, việc tuân thủ được giám sát bởi Cơ quan Bảo vệ Dữ liệu Tây Ban Nha (AEPD), cơ quan này cũng xử lý khiếu nại khi một công ty vi phạm các quyền này.

GDPR thiết lập một số quyền cơ bản:

Quyền truy cập: Tìm hiểu dữ liệu cá nhân nào mà một công ty đang nắm giữ về bạn, công ty đang dùng dữ liệu đó để làm gì, đã chia sẻ với ai và lấy nó từ đâu. Bạn cũng có thể yêu cầu một bản sao.

Quyền chỉnh sửa: Yêu cầu chỉnh sửa thông tin sai hoặc lỗi thời.

Quyền xóa dữ liệu: Được gọi là “quyền được lãng quên”, quyền này cho phép bạn yêu cầu xóa dữ liệu của mình khi công ty không còn cần đến, khi bạn rút lại sự đồng ý hoặc phản đối việc sử dụng dữ liệu, hoặc khi dữ liệu được xử lý trái pháp luật.

Quyền phản đối: Từ chối một số kiểu xử lý nhất định, chẳng hạn như việc sử dụng dữ liệu của bạn cho quảng cáo. Đối với tiếp thị trực tiếp, quyền này là tuyệt đối: một khi bạn phản đối, công ty phải dừng lại.

Quyền chuyển dữ liệu: Nhận dữ liệu cá nhân mà bạn đã cung cấp cho một công ty dưới dạng có cấu trúc, thông dụng và máy đọc được để bạn có thể chuyển dữ liệu sang nhà cung cấp dịch vụ khác. Quyền này áp dụng khi công ty xử lý dữ liệu của bạn dựa trên sự đồng ý hoặc hợp đồng, bằng phương thức tự động.

GDPR trao cho mọi người những quyền có thể thực thi, được hỗ trợ bằng các khoản phạt, nhưng nhiều người không biết rằng họ có thể thực hiện các quyền này miễn phí. Công ty chỉ có thể thu phí hoặc từ chối khi yêu cầu rõ ràng là không có căn cứ hoặc quá mức.

Như phóng sự của Tamayo cho thấy, có một khoảng cách lớn giữa những bảo đảm mà pháp luật đưa ra và hiểu biết của người dân thông thường về cách bảo vệ thông tin cá nhân. Khoảng cách đó khiến mọi người khó sử dụng các công cụ pháp lý sẵn có và giành lại quyền kiểm soát dữ liệu của mình.

Cách sử dụng quyền GDPR của bạn để chống lại nhà môi giới dữ liệu

Các quyền trên chỉ có hiệu lực nếu bạn sử dụng chúng. Không quyền nào cần luật sư hay biểu mẫu đặc biệt: một email gửi đến đầu mối về quyền riêng tư của công ty là đủ.

Hỏi dữ liệu của bạn đến từ đâu. Nếu một công ty liên hệ với bạn mà bạn chưa từng cung cấp chi tiết của mình, hãy hỏi họ nguồn dữ liệu. Theo quyền truy cập, công ty phải cho bạn biết, và câu trả lời đó thường dẫn thẳng đến một nhà môi giới dữ liệu.

Gửi yêu cầu truy cập. Hỏi công ty hoặc nhà môi giới xem họ đang nắm giữ dữ liệu nào về bạn, họ dùng dữ liệu đó để làm gì, đã chia sẻ với ai và yêu cầu một bản sao. Yêu cầu này miễn phí và công ty phải trả lời trong vòng một tháng. Công ty có thể gia hạn thêm hai tháng đối với yêu cầu phức tạp, nhưng phải thông báo cho bạn.

Phản đối và yêu cầu xóa dữ liệu. Trong cùng email đó, bạn có thể phản đối việc dữ liệu của mình được dùng cho tiếp thị và yêu cầu xóa dữ liệu. Công ty cũng phải chuyển yêu cầu xóa đến bất kỳ ai mà công ty đã chia sẻ dữ liệu của bạn, trừ khi điều đó là bất khả thi hoặc đòi hỏi nỗ lực quá mức.

Đăng ký Lista Robinson. Tại Tây Ban Nha, các công ty gửi tiếp thị trực tiếp phải kiểm tra danh sách từ chối nhận quảng cáo này trước khi liên hệ với bạn. Việc đăng ký là miễn phí.

Khiếu nại lên AEPD. Nếu một công ty phớt lờ bạn, từ chối mà không có lý do chính đáng hoặc bỏ lỡ thời hạn, bạn có thể gửi khiếu nại miễn phí lên Cơ quan Bảo vệ Dữ liệu Tây Ban Nha.

Hạn chế dữ liệu mà nhà môi giới dữ liệu có thể thu thập ngay từ đầu

Các quyền GDPR của bạn giúp dọn dẹp những gì đã có sẵn. Một vài thói quen đơn giản giúp giảm lượng dữ liệu mới đến tay nhà môi giới.

Xem lại quyền của ứng dụng và tắt mọi quyền truy cập mà ứng dụng không cần để hoạt động, đặc biệt là những ứng dụng có quyền truy cập vị trí, danh bạ hoặc ảnh của bạn.

Từ chối cookie không thiết yếu. Trên các trang web ở EU, việc từ chối phải dễ như việc chấp nhận, và việc này chặn các cookie quảng cáo cung cấp dữ liệu cho hồ sơ hành vi.

Duy trì đăng xuất khỏi trang web và dịch vụ khi bạn chỉ đang duyệt. Khi bạn đăng nhập vào Google, YouTube, Amazon hoặc một trang tin, mọi thứ bạn tìm kiếm, xem, đọc hoặc mua đều gắn với tài khoản của bạn. Duyệt web khi đã đăng xuất khiến các công ty có ít thông tin hơn để liên kết với bạn.

Sử dụng trình duyệt chú trọng quyền riêng tư như Firefox hoặc Brave, vốn chặn nhiều trình theo dõi theo mặc định. Bạn cũng có thể khám phá các trình duyệt web thay thế của châu Âu chú trọng quyền riêng tư.

Chuyển sang Proton Mail, dịch vụ email riêng tư và bảo mật của chúng tôi, dịch vụ không thể đọc email của bạn và không quét hộp thư đến để phục vụ quảng cáo, theo dõi hoặc giám sát. Dịch vụ cũng chặn các pixel theo dõi, thứ mà các nhà tiếp thị thường dùng để biết khi bạn mở một thư (cùng các chỉ báo khác).

Sử dụng VPN(cửa sổ mới) để ẩn địa chỉ IP của bạn khỏi trang web, ứng dụng và mạng quảng cáo, để họ không thể dùng địa chỉ đó để ước tính vị trí của bạn hoặc liên kết hoạt động của bạn giữa các trang web. Proton VPN cũng có một tính năng gọi là NetShield, tính năng này chặn quảng cáo và trình theo dõi trước khi chúng tải. Dịch vụ có chính sách không ghi nhật ký đã được kiểm toán độc lập(cửa sổ mới), nên không lưu lại hồ sơ về những gì bạn làm trực tuyến.

Sử dụng trình quản lý mật khẩu đã mã hóa để tạo mật khẩu mạnh và duy nhất, để một tài khoản bị xâm phạm không làm lộ các tài khoản còn lại. Proton Pass cũng cung cấp cho bạn biệt danh hide-my-email cho bản tin, cuộc rút thăm trúng thưởng và cửa hàng trực tuyến. Nếu một biệt danh bắt đầu nhận thư rác, bạn có thể xem ai có thể đã chia sẻ hoặc làm rò rỉ nó, rồi vô hiệu hóa biệt danh đó.

Như phóng sự của Tamayo cho thấy rõ, nhà môi giới dữ liệu là một phần của mô hình kinh doanh được xây dựng trên dữ liệu của chúng ta. Nhưng GDPR và các công cụ bảo vệ quyền riêng tư của chúng ta mang lại cho chúng ta những cách để giành lại quyền kiểm soát. Mục tiêu không phải là biến mất khỏi internet mà là có chủ đích trong việc quyết định ai được phép truy cập dữ liệu của chúng ta và vì lý do gì.