Một tập gần đây của Viện Doanh nghiệp Hoa Kỳ (AEI) đặt ra một câu hỏi nhức nhối: liệu chúng ta có thể xác minh độ tuổi mà không phải hy sinh quyền riêng tư? Người dẫn chương trình Shane cùng với Scott Vien, Harry Oppenheimer và Paul Lekas thảo luận về luật xác minh độ tuổi quốc tế, những thách thức an ninh mạng và các chủ đề liên quan. Bản tóm tắt được công bố khá ngắn gọn, nên bài viết này không cố gắng tường thuật lại lời từng khách mời. Thay vào đó, bài viết sử dụng câu hỏi của tập podcast làm điểm khởi đầu để giải thích các cách tiếp cận chính đối với xác minh độ tuổi và quyền riêng tư, cũng như những gì độc giả có thể làm.

Vì sao xác minh độ tuổi là một vấn đề riêng tư

Luật giới hạn độ tuổi đặt ra một câu hỏi đơn giản: liệu người truy cập này đã đủ tuổi chưa? Tuy nhiên, để trả lời một cách đáng tin cậy thường đòi hỏi phải thu thập thông tin nhạy cảm. Một ô đánh dấu ghi "Tôi trên 18 tuổi" thì dễ bị vượt qua, nên các nhà lập pháp ở nhiều nơi muốn có bằng chứng mạnh mẽ hơn. Bằng chứng đó có thể là giấy tờ tùy thân do chính phủ cấp, quét khuôn mặt, hoặc dữ liệu từ một nguồn đáng tin cậy khác.

Mỗi lựa chọn đều tạo ra một sự đánh đổi. Dịch vụ càng chắc chắn về độ tuổi của bạn, thì nó càng có xu hướng biết nhiều hơn về bạn. Và một khi giấy tờ tùy thân hoặc dữ liệu sinh trắc học đã được thu thập, chúng trở thành thứ có thể bị lưu trữ, rò rỉ hoặc lạm dụng. Đó chính là thách thức an ninh mạng ở trung tâm của cuộc tranh luận này.

So sánh ba cách tiếp cận

Không có một tiêu chuẩn duy nhất nào cho việc kiểm tra độ tuổi trực tuyến. Các phương pháp được thảo luận phổ biến nhất khác nhau ở mức độ tiết lộ thông tin.

Tải lên giấy tờ tùy thân. Người dùng gửi ảnh chụp bằng lái xe hoặc hộ chiếu, đôi khi kèm ảnh selfie. Cách này dễ triển khai đối với một trang web, nhưng nó tập trung các giấy tờ có tính nhạy cảm cao vào tay bên xử lý chúng. Người dùng phải tin tưởng cả trang web lẫn bất kỳ nhà cung cấp nào mà trang web sử dụng để xử lý và xóa dữ liệu đó.

Token của bên thứ ba. Một nhà cung cấp riêng biệt xác nhận độ tuổi của bạn một lần rồi phát hành một token hoặc chứng chỉ mà các trang web có thể chấp nhận. Trang web chỉ biết rằng bạn đã vượt qua kiểm tra. Rủi ro chuyển sang bên phát hành token, bên có thể biết nhiều về bạn, và sang mức độ hệ thống ngăn chặn việc theo dõi xuyên trang web tốt đến đâu.

Chứng minh không tiết lộ thông tin (zero-knowledge proofs). Kỹ thuật mật mã này cho phép bạn chứng minh một mệnh đề (chẳng hạn "Tôi trên 18 tuổi") mà không tiết lộ dữ liệu cơ sở, như ngày sinh hay tên của bạn. Về lý thuyết, nó mang lại mức bảo vệ quyền riêng tư mạnh nhất. Trên thực tế, nó phụ thuộc vào việc các chứng chỉ đáng tin cậy được cấp ngay từ đầu và vào việc các trang web và thiết bị áp dụng rộng rãi.

Không cách nào trong số này là hoàn hảo. Các thiết kế thân thiện với quyền riêng tư có xu hướng khó triển khai hơn, trong khi các thiết kế dễ triển khai có xu hướng thu thập nhiều dữ liệu hơn.

Luật đang nhân lên, và trách nhiệm đang gây tranh cãi

Bức tranh chính sách đang thay đổi nhanh chóng. Tại Hoa Kỳ, sự lan rộng của các luật cấp bang đã đáng kể: bài viết của chúng tôi về 27 bang đã thông qua luật xác minh độ tuổi cho thấy xu hướng này đã lan rộng đến mức nào, và cách một số nhà sáng tạo nội dung đang phản đối. Tại Florida, các trang web người lớn phải xác minh người truy cập theo HB 3, và chúng tôi đã giải thích cách luật xác minh độ tuổi của Florida xử lý việc sử dụng VPN.

Trên bình diện quốc tế, EU cũng đang xem xét vấn đề này. Ủy ban Châu Âu được cho là đang chuẩn bị một Đạo luật Trẻ em EU có thể buộc xác minh độ tuổi đối với trò chơi trực tuyến. Trong khi đó, ai phải chịu trách nhiệm cho các bước kiểm tra này cũng đang gây tranh cãi: Apple và Google được cho là đã vận động hành lang để loại bỏ trách nhiệm pháp lý khỏi các dự luật kiểm tra độ tuổi. Trách nhiệm thuộc về ai sẽ định hình cách tiếp cận kỹ thuật mà các công ty lựa chọn.

Trọng tâm của tập podcast AEI về luật quốc tế phù hợp với mô hình này. Các khu vực pháp lý khác nhau đang vươn tới những công cụ khác nhau, và kết quả về quyền riêng tư phụ thuộc rất nhiều vào các chi tiết.

Điều này có ý nghĩa gì với bạn

Đối với hầu hết mọi người, tác động thực tế là nhiều lời nhắc yêu cầu bằng chứng độ tuổi hơn, và nhiều sự không chắc chắn hơn về những gì xảy ra với dữ liệu bạn cung cấp. Một vài điểm đáng ghi nhớ:

  • Hỏi xem dữ liệu gì được thu thập và lưu giữ. Tìm các tuyên bố về việc liệu ảnh giấy tờ tùy thân hoặc bản quét khuôn mặt có bị xóa sau khi kiểm tra hay không.
  • Ưu tiên các phương pháp tiết lộ ít hơn. Nếu một dịch vụ đưa ra lựa chọn, một tùy chọn chỉ xác nhận "trên 18 tuổi" thường được ưa chuộng hơn một tùy chọn lưu trữ toàn bộ giấy tờ.
  • Hãy lường trước việc VPN sẽ là một phần của cuộc trò chuyện. Luật giới hạn độ tuổi gắn liền với vị trí, nên việc sử dụng VPN có thể tương tác với chúng. VPN thay đổi vị trí biểu kiến của bạn, nhưng không thay đổi nghĩa vụ pháp lý của một trang web, và các quy định khác nhau tùy theo khu vực pháp lý. Hãy kiểm tra luật cụ thể áp dụng cho bạn thay vì phỏng đoán.
  • Cảnh giác với các bước kiểm tra giả mạo. Các trang xác minh giả có thể bắt chước các trang thật để thu thập giấy tờ. Hãy đảm bảo bạn đã truy cập trang web thông qua một liên kết mà bạn tin tưởng.

Những điểm chính

Cuộc thảo luận của AEI đặt ra câu hỏi đúng, và câu trả lời trung thực là điều đó phụ thuộc vào thiết kế. Xác minh độ tuổi và quyền riêng tư chỉ có thể cùng tồn tại nếu các hệ thống giảm thiểu dữ liệu chúng thu thập, hạn chế thời gian lưu giữ, và tránh theo dõi người dùng xuyên trang web. Cho đến khi các thiết kế như vậy trở nên phổ biến, hãy coi mọi yêu cầu cung cấp giấy tờ tùy thân hoặc dữ liệu sinh trắc học là một quyết định đáng để dừng lại suy nghĩ.

Để tự bảo vệ mình: chỉ chia sẻ mức tối thiểu cần thiết, sử dụng mật khẩu mạnh và duy nhất cho bất kỳ tài khoản nào được tạo trong quá trình xác minh, và theo dõi cách luật pháp ở khu vực của bạn phát triển. Cập nhật thông tin là cách phòng vệ tốt nhất trong khi các quy định và công nghệ vẫn đang dần ổn định.