Nhận diện khuôn mặt ở cổng chung cư, sảnh văn phòng giúp ra vào nhanh, không lo quên thẻ, và chặn được người lạ đi theo. Nhưng khuôn mặt là dữ liệu sinh trắc học: nó gắn với mình suốt đời, không đổi được như mật khẩu hay thẻ từ. Một khi dữ liệu khuôn mặt bị lộ hoặc bị dùng sai mục đích, không có cách nào "cấp lại khuôn mặt mới".
Vì vậy câu hỏi không phải là có nên dùng hay không, mà là dùng với điều kiện gì: có lựa chọn thay thế cho ai không muốn, lưu ít và xoá sớm, biết rõ ai được xem và xem để làm gì. Bài này trình bày cái lợi có thật, những rủi ro ít được nói, và các câu hỏi mà cư dân, nhân viên văn phòng có quyền đặt ra với ban quản lý.
Cái lợi có thật
Ở một chung cư lớn tại Thủ Đức, chuyện người lạ đi theo cư dân vào thang máy để phát tờ rơi, dò cửa nhà, từng là nỗi bực mình kéo dài. Thẻ từ thì bị cho mượn, bị sao chép. Khi ban quản lý chuyển sang cổng nhận diện khuôn mặt, nhiều cư dân thấy yên tâm hơn hẳn, nhất là những nhà có người già và trẻ nhỏ ở nhà ban ngày.
Ở văn phòng, nhận diện khuôn mặt giải quyết chuyện chấm công hộ, quẹt thẻ hộ. Nhân viên không phải xếp hàng quẹt thẻ, phòng nhân sự không phải đối chiếu sổ sách. Với toà nhà nhiều công ty thuê, lễ tân bớt phải kiểm tra từng người.
Những cái lợi này là thật, và người phản đối nhận diện khuôn mặt cũng nên thừa nhận. Một cuộc bàn luận công bằng bắt đầu từ chỗ hiểu vì sao nhiều cư dân, nhiều doanh nghiệp tự nguyện chọn công nghệ này.
Điều đáng bàn là cái giá đi kèm, vì cái giá đó thường không được ghi trong tờ thông báo "từ ngày..., cư dân vui lòng đăng ký khuôn mặt tại quầy lễ tân".
Những rủi ro ít được nói tới
Không đổi được. Mật khẩu lộ thì đổi, thẻ mất thì làm lại; khuôn mặt lộ thì mang theo rủi ro đó mãi.
Kho dữ liệu tập trung. Hàng nghìn khuôn mặt cư dân nằm trong một hệ thống, thường do bên thứ ba lắp đặt và bảo trì.
Ai có quyền xem. Nhân viên bảo vệ ca đêm, kỹ thuật viên của nhà thầu, ban quản trị mới khi đổi nhiệm kỳ; danh sách này ít khi được công bố.
Dùng sang mục đích khác. Hệ thống lắp để mở cổng có thể được dùng để theo dõi ai về nhà lúc mấy giờ, đi cùng ai.
Nhận nhầm. Máy nhận diện kém hơn với ánh sáng yếu, người đeo khẩu trang, người lớn tuổi thay đổi diện mạo; bị chặn ở cửa nhà mình là trải nghiệm khó chịu.
Thiên lệch theo nhóm. Một số hệ thống được đánh giá là kém chính xác hơn với một số nhóm người, tuỳ dữ liệu huấn luyện.
Khách và người giúp việc. Người giúp việc, thợ sửa chữa, người giao hàng có thể bị yêu cầu đăng ký khuôn mặt mà không có quyền từ chối thật sự.
Trẻ em. Khuôn mặt trẻ em bị thu thập khi các em chưa đủ tuổi hiểu và đồng ý.
Lưu quá lâu. Cư dân đã bán nhà, nhân viên đã nghỉ việc nhưng dữ liệu khuôn mặt vẫn nằm trong hệ thống.
Bị lộ khi đổi nhà thầu. Đổi đơn vị lắp đặt, dữ liệu cũ được chuyển, sao chép hay xoá thế nào thường không ai kiểm tra.
Áp lực đồng thuận. Khi cả toà nhà đã dùng, người không muốn đăng ký bị coi là gây phiền, dù đó là quyền của họ.
Ghép với camera hành lang. Nhận diện khuôn mặt cộng camera khắp hành lang tạo ra nhật ký đi lại chi tiết của từng hộ.
Đồng ý thật trong một toà nhà chung
Trong căn hộ của mình, mỗi gia đình tự quyết. Nhưng cổng chung cư, sảnh văn phòng là không gian chung, và quyết định lắp nhận diện khuôn mặt thường được đưa ra ở hội nghị cư dân hay cuộc họp ban giám đốc. Đa số đồng ý thì sao với số ít không đồng ý?
Có người lập luận rằng an ninh là lợi ích chung, đa số đã chọn thì thiểu số theo. Phía bên kia cho rằng có những quyền không thể bị biểu quyết lấy đi, và dữ liệu sinh trắc của từng người là thứ chỉ người đó có quyền cho. Hai lập luận gặp nhau ở một giải pháp thực tế: lắp hệ thống, nhưng luôn có lựa chọn thay thế như thẻ từ hoặc mã số cho người không muốn, và không gây khó dễ cho họ.
Ở văn phòng, chuyện đồng ý còn khó hơn vì quan hệ không ngang hàng. Một nhân viên mới vào làm khó mà từ chối khi công ty yêu cầu đăng ký khuôn mặt để chấm công. Vì vậy nhiều người cho rằng ở nơi làm việc, lựa chọn thay thế không chỉ nên có mà phải được nói rõ, và chọn cách khác không được ảnh hưởng tới đánh giá công việc.
Đồng ý thật còn cần thông tin thật. Cư dân được hỏi "có đồng ý lắp hệ thống an ninh hiện đại không" sẽ trả lời khác với khi được hỏi "có đồng ý để ảnh khuôn mặt của cả nhà được lưu trên máy chủ của nhà thầu trong thời hạn chưa xác định không". Cách đặt câu hỏi quyết định câu trả lời.
Cư dân và nhân viên nên hỏi ban quản lý những gì
Dữ liệu khuôn mặt lưu ở đâu? Máy tại chỗ trong toà nhà hay máy chủ của nhà thầu, ở trong nước hay nước ngoài.
Lưu ảnh hay lưu mã? Nhiều hệ thống chỉ cần lưu dạng mã hoá đặc trưng khuôn mặt, an toàn hơn lưu nguyên ảnh.
Ai được xem và xem để làm gì? Danh sách vị trí được quyền truy cập, mục đích được phép.
Nhật ký ra vào giữ bao lâu? Giữ vài tuần cho an ninh khác hẳn giữ nhiều năm.
Có xoá khi chuyển đi hay nghỉ việc không? Và ai xác nhận việc xoá.
Có lựa chọn thay thế không? Thẻ từ, mã số cho người không muốn đăng ký khuôn mặt.
Nhà thầu cam kết gì trong hợp đồng? Không dùng dữ liệu vào việc khác, không chuyển cho bên thứ ba, xoá khi hết hợp đồng.
Khách, người giúp việc được xử lý thế nào? Có cách cho khách vào mà không cần thu khuôn mặt không.
Trẻ em có bắt buộc đăng ký không? Nên có cách khác cho trẻ, như đi cùng người lớn hoặc thẻ riêng.
Khi bị nhận nhầm thì làm sao? Có người trực để mở cửa và ghi nhận lỗi không.
Có kiểm tra an ninh hệ thống định kỳ không? Ai kiểm tra, kết quả có báo lại cư dân không.
Khi có sự cố lộ dữ liệu, cư dân có được báo không? Cam kết thông báo nên được viết thành văn bản.
Gợi ý cho ban quản lý muốn làm đúng
Hỏi ý kiến bằng thông tin đầy đủ. Nói rõ lợi, rủi ro, nơi lưu, thời hạn trước khi biểu quyết.
Giữ thẻ từ song song. Người không muốn thì vẫn ra vào bình thường, không phải giải thích lý do.
Ưu tiên xử lý tại chỗ. Hệ thống chạy trong toà nhà, không gửi dữ liệu ra ngoài, giảm rủi ro rất nhiều.
Lưu ngắn nhất có thể. Nhật ký ra vào chỉ giữ đủ cho việc an ninh, sau đó tự xoá.
Tách dữ liệu khuôn mặt khỏi thông tin căn hộ. Ai lấy được kho này cũng không ghép ngay được khuôn mặt với số nhà.
Ghi nhật ký người truy cập. Mỗi lần ai đó xem dữ liệu đều được ghi lại.
Đào tạo bảo vệ, lễ tân. Họ là người trả lời cư dân hằng ngày, cần biết quy tắc và giới hạn.
Hợp đồng chặt với nhà thầu. Điều khoản xoá dữ liệu, cấm dùng sai mục đích, quyền kiểm tra.
Có quy trình khi đổi nhà thầu. Bàn giao hay xoá dữ liệu có biên bản, có đại diện cư dân chứng kiến.
Báo cáo định kỳ cho cư dân. Một trang tóm tắt mỗi năm: hệ thống chạy thế nào, có sự cố gì.
Không bật thêm tính năng khi chưa hỏi. Hệ thống mở cổng không được âm thầm thêm chức năng theo dõi hành lang.
Câu hỏi thường gặp
Ban quản lý chung cư có được bắt buộc cư dân đăng ký khuôn mặt không?
Đây là câu hỏi pháp lý tuỳ quy định từng nơi về dữ liệu sinh trắc. Về nguyên tắc đạo đức, nên luôn có lựa chọn thay thế như thẻ từ cho người không muốn, và cư dân có quyền hỏi rõ trước khi đồng ý.
Vì sao dữ liệu khuôn mặt nhạy cảm hơn thẻ từ?
Vì khuôn mặt gắn với một người suốt đời và không thể thay đổi. Thẻ từ bị lộ thì huỷ và cấp thẻ mới, còn dữ liệu khuôn mặt bị lộ thì rủi ro kéo dài mãi.
Chấm công bằng khuôn mặt ở công ty có cần nhân viên đồng ý không?
Nhiều quy định bảo vệ dữ liệu coi dữ liệu sinh trắc là loại nhạy cảm cần đồng ý rõ ràng. Vì quan hệ lao động không ngang hàng, công ty nên có cách chấm công thay thế và không gây bất lợi cho người chọn cách khác.
Chuyển nhà rồi thì dữ liệu khuôn mặt ở chung cư cũ có bị xoá không?
Không tự động, trừ khi ban quản lý có quy trình. Nên gửi yêu cầu xoá bằng văn bản khi bàn giao căn hộ và xin xác nhận đã xoá.
Máy nhận diện khuôn mặt có nhận nhầm không?
Có thể, nhất là khi ánh sáng yếu, đeo khẩu trang, hoặc diện mạo thay đổi theo tuổi. Vì vậy cần có người trực và cách ra vào dự phòng để không ai bị kẹt ở cửa nhà mình.
