Các nhà lập pháp California đã rút lui khỏi một trong những đề xuất xác minh độ tuổi trên diện rộng nhất nước, nhưng những người ủng hộ quyền riêng tư không nên ăn mừng quá sớm. AB 1856, dự luật lẽ ra sẽ buộc các trình duyệt web phải xác minh độ tuổi người dùng trước khi cho phép truy cập internet nói chung, đã loại bỏ hoàn toàn điều khoản đó. Trong khi đó, luật đồng hành của nó, AB 1043 (Đạo luật Bảo đảm Độ tuổi Kỹ thuật số), vẫn giữ nguyên toàn bộ và đúng tiến độ. Bắt đầu từ ngày 1 tháng 1 năm 2027, việc xác minh độ tuổi ở cấp hệ điều hành tại California sẽ yêu cầu Apple và Google thu thập ngày sinh trong quá trình thiết lập thiết bị và truyền tín hiệu phân nhóm tuổi đến các nhà phát triển ứng dụng. Quy định dành cho trình duyệt đã bị loại bỏ. Quy định dành cho hệ điều hành thì không.
AB 1043 thực sự yêu cầu gì từ Apple và Google
Theo AB 1043, việc xác minh độ tuổi được chuyển từ các trang web và ứng dụng riêng lẻ lên chính thiết bị. Khi một người dân California thiết lập điện thoại, máy tính bảng hoặc máy tính mới chạy iOS, Android hoặc một hệ điều hành được quy định khác, nền tảng sẽ yêu cầu cung cấp ngày sinh như một phần của quá trình tạo tài khoản. Ngày sinh đó không được chia sẻ trực tiếp với mọi ứng dụng mà người dùng tải xuống. Thay vào đó, hệ điều hành sẽ chuyển đổi nó thành một phân nhóm tuổi, một danh mục chung như “dưới 13” hoặc “từ 13 đến 17” thay vì ngày sinh chính xác, và truyền tín hiệu đó đến các nhà phát triển ứng dụng để họ có thể điều chỉnh nội dung hoặc tính năng cho phù hợp.
Đây là một kiến trúc khác biệt có ý nghĩa so với phương pháp dựa trên trình duyệt mà các nhà lập pháp đã từ bỏ. Thay vì kiểm tra độ tuổi tại thời điểm ai đó truy cập một trang web, hệ thống nhúng dữ liệu độ tuổi vào thiết bị ngay từ ngày đầu tiên, và dữ liệu đó theo sát người dùng qua mọi ứng dụng được cài đặt sau đó. Phạm vi của luật còn vượt ra ngoài các nền tảng chính thống, với các báo cáo chỉ ra rằng nó áp dụng rộng rãi cho các hệ điều hành được bán hoặc sử dụng tại California, đặt ra những câu hỏi phức tạp cho các dự án nhỏ hơn và mã nguồn mở vốn không có cơ sở hạ tầng tuân thủ như Apple hay Google.
Tại sao kiểm tra ở cấp hệ điều hành khó lách hơn so với quy định dành cho trình duyệt
Một cổng kiểm tra độ tuổi dựa trên trình duyệt, dù có khiếm khuyết gì, ít nhất cũng chỉ giới hạn trong trình duyệt. Người dùng phản đối có thể chuyển đổi trình duyệt, sử dụng một hồ sơ thiết bị khác, hoặc lách qua việc kiểm tra bằng nhiều cách khác nhau. Xác minh ở cấp hệ điều hành không mang lại sự linh hoạt tương tự. Một khi dữ liệu độ tuổi đã được thiết lập trong quá trình cài đặt thiết bị, nó trở thành một lớp nền tảng mà mọi tương tác ứng dụng sau đó đều dựa vào. Không có cách dễ dàng để từ chối tương đương với việc chỉ đơn giản chọn một phần mềm khác, bởi chính hệ điều hành là người gác cổng.
Sự khác biệt này quan trọng đối với bất kỳ ai nghĩ về chiến lược quyền riêng tư kỹ thuật số. Trước đây, một tiện ích mở rộng của trình duyệt hoặc một lựa chọn trình duyệt thay thế có thể lách qua yêu cầu kiểm tra độ tuổi. Theo AB 1043, việc xác minh diễn ra trước khi người dùng mở ứng dụng, ở giai đoạn tạo tài khoản trong vòng đời của thiết bị. Đó là một sự thay đổi về cấu trúc, không chỉ là kỹ thuật, và nó là một phần của mô hình rộng lớn hơn về những lo ngại giám sát hàng loạt của chính phủ, nơi việc thu thập dữ liệu do nhà nước ủy thác trở nên nhúng sâu vào cơ sở hạ tầng mà người dùng thông thường tương tác hàng ngày, dù họ có nhận ra hay không.
Nguyên tắc tối thiểu hóa dữ liệu và rủi ro của việc chia sẻ phân nhóm tuổi
Những người ủng hộ AB 1043 chỉ ra rằng luật được thiết kế xoay quanh các nguyên tắc tối thiểu hóa dữ liệu. Ứng dụng nhận được một phân nhóm tuổi, không phải ngày sinh, và về mặt lý thuyết, điều đó giới hạn lượng thông tin cá nhân chảy đến các nhà phát triển bên thứ ba. Nhưng việc chia sẻ phân nhóm tuổi vẫn tạo ra một tín hiệu dai dẳng gắn với danh tính của người dùng qua hàng trăm ứng dụng tiềm năng trong suốt vòng đời của thiết bị. Một khi tín hiệu đó tồn tại, các câu hỏi nảy sinh về việc các nhà phát triển lưu giữ nó trong bao lâu, liệu nó có bị kết hợp với dữ liệu theo dõi khác hay không, và điều gì sẽ xảy ra nếu việc triển khai của một nền tảng không đạt được mục đích của luật.
California có một hồ sơ đáng chú ý ở đây. Một cuộc kiểm toán gần đây đã phát hiện ra rằng việc tuân thủ CCPA đang bị phớt lờ ở quy mô lớn trên hàng ngàn trang web, mặc dù tiểu bang này có một trong những đạo luật bảo mật người tiêu dùng mạnh nhất nước. Lịch sử đó là cơ sở hợp lý cho sự hoài nghi về việc các biện pháp bảo vệ phân nhóm tuổi của AB 1043 sẽ thực sự được thực thi nhất quán đến mức nào khi luật có hiệu lực. Ngày sinh được thu thập khi thiết lập thiết bị, về mặt chức năng, cũng là một mẫu cookie nhỏ về thông tin danh tính tồn tại suốt vòng đời của thiết bị, tương tự như cách cookie trình duyệt âm thầm theo dõi hành vi theo thời gian, ngoại trừ việc ở đây nó được nhúng vào lớp phần cứng thay vì một trang web.
Điều này có ý nghĩa gì với bạn
Nếu bạn sống ở California, hãy chuẩn bị tinh thần rằng bất kỳ thiết bị Apple hoặc Google mới nào bạn thiết lập sau ngày 1 tháng 1 năm 2027 sẽ yêu cầu cung cấp ngày sinh trước khi bạn có thể sử dụng nó. Điều này không phải là tùy chọn như một cổng kiểm tra độ tuổi của trang web có thể có, và nó không phải là thứ mà VPN hay cài đặt trình duyệt có thể vượt qua, bởi vì việc kiểm tra diễn ra ở cấp hệ điều hành thay vì lớp mạng hay ứng dụng. Hệ quả thực tế là dữ liệu độ tuổi trở thành một phần của cấu hình cơ bản của thiết bị, chi phối mọi ứng dụng bạn cài đặt sau đó.
Đối với các bậc cha mẹ, điều này có thể có nghĩa là các biện pháp kiểm soát nội dung nhất quán hơn trên các ứng dụng mà không cần phải cấu hình từng ứng dụng riêng biệt. Đối với người trưởng thành quan tâm đến quyền riêng tư, điều đó có nghĩa là thêm một mẩu dữ liệu cá nhân bị gắn vĩnh viễn vào thiết bị, với chất lượng thực thi vẫn còn là một câu hỏi bỏ ngỏ khi xét đến lịch sử thực thi luật riêng tư không đồng đều của California.
Những điểm cần lưu ý trước năm 2027
Hãy bắt đầu chú ý đến cách Apple và Google truyền đạt kế hoạch tuân thủ AB 1043 của họ trong năm tới, bởi vì các chi tiết triển khai sẽ quyết định mức độ kiểm soát mà người dùng thực sự giữ được đối với dữ liệu độ tuổi của chính họ. Hãy xem xét kỹ lưỡng các cài đặt quyền riêng tư trên bất kỳ thiết bị mới nào trong quá trình thiết lập thay vì chỉ nhanh chóng nhấp qua các lời nhắc. Và hãy theo dõi cách khuôn khổ xác minh độ tuổi ở cấp hệ điều hành tại California này được thực thi trên thực tế, bởi vì một đạo luật có vẻ bảo vệ quyền riêng tư trên giấy tờ chỉ tốt khi có sự giám sát đằng sau nó.
