Thượng nghị sĩ Andy Kim vừa công bố dự thảo Đạo luật Đảm bảo Độ tuổi Kỹ thuật số, một đề xuất liên bang sẽ thay đổi cách thức xác minh độ tuổi trên internet bằng việc chuyển trách nhiệm ra khỏi từng ứng dụng riêng lẻ và đặt lên cấp độ cửa hàng ứng dụng hoặc thiết bị. Theo báo cáo từ Politico, dự thảo này bám sát một đạo luật của California đã nhận được sự ủng hộ từ các công ty công nghệ lớn, một tín hiệu cho thấy cách tiếp cận này có thể tạo được sức hút tại Washington ngay cả khi các chính sách tương tự làm dấy lên tranh cãi về quyền riêng tư ở những nơi khác.
Dự luật xuất hiện vào thời điểm các nhà lập pháp trên khắp cả nước đang vật lộn với bài toán làm sao để ngăn trẻ vị thành niên tiếp cận nội dung người lớn và các nền tảng xã hội mà không biến mọi trang web thành trạm kiểm soát kỹ thuật số đòi hỏi bằng lái xe hay quét khuôn mặt. Đề xuất của ông Kim thể hiện một bước ngoặt đáng chú ý: thay vì yêu cầu hàng nghìn ứng dụng riêng lẻ tự xác minh độ tuổi người dùng, thường thông qua việc tải lên giấy tờ tùy thân hoặc quét sinh trắc học xâm lấn, trách nhiệm này sẽ thuộc về các cửa hàng ứng dụng như App Store của Apple hay Google Play, những nơi sẽ xác nhận phân loại độ tuổi của người dùng một lần và truyền tín hiệu đó xuống cho các nhà phát triển.
Vì sao kiểm tra độ tuổi ở cấp cửa hàng ứng dụng đang thu hút sự chú ý
Mô hình cửa hàng ứng dụng đã trở nên phổ biến trong ngành công nghệ vì một lý do đơn giản: nó gộp một bài toán tuân thủ lộn xộn, phân mảnh vào một đầu mối xác minh duy nhất. Thay vì mỗi nhà phát triển ứng dụng phải thu thập giấy tờ tùy thân nhạy cảm, cửa hàng ứng dụng làm việc đó một lần, còn các nhà phát triển chỉ nhận được một tín hiệu độ tuổi cơ bản, chẳng hạn như người dùng trên hay dưới 18 tuổi. Apple và Google đều đã công khai ủng hộ cách tiếp cận này trong nhiều cuộc tranh luận tại các bang, và việc dự thảo liên bang của ông Kim phản ánh một đạo luật của California vốn đã có sự hậu thuẫn của ngành cho thấy các nhà lập pháp nhìn nhận đây là điểm đồng thuận hiếm hoi giữa cơ quan quản lý và các công ty công nghệ.
Đối với các nhà phát triển nhỏ, điều này có thể giảm đáng kể gánh nặng tuân thủ. Họ sẽ không còn phải xây dựng hoặc duy trì hệ thống xác minh độ tuổi của riêng mình, một công việc tốn kém và rủi ro về mặt pháp lý trước hàng loạt luật tiểu bang vốn đã có hiệu lực. Còn với người dùng, lời hứa là sẽ có ít ứng dụng trực tiếp xử lý dữ liệu danh tính nhạy cảm hơn, về lý thuyết sẽ giảm số lượng nơi mà ngày sinh, bản quét giấy tờ tùy thân hay ảnh khuôn mặt có thể bị lộ khi xảy ra vi phạm dữ liệu.
Sự đánh đổi về quyền riêng tư mà chưa ai bàn luận đủ
Nhưng việc tập trung hóa xác minh độ tuổi ở cấp cửa hàng ứng dụng hay hệ điều hành không loại bỏ rủi ro về quyền riêng tư, mà chỉ chuyển nó đi chỗ khác. Nếu Apple, Google, hay một người gác cổng tương tự trở thành nguồn dữ liệu duy nhất xác nhận độ tuổi của người dùng trên toàn bộ ứng dụng của một thiết bị, điều đó tạo ra một điểm tập trung việc thu thập dữ liệu và tiềm ẩn nguy cơ đổ vỡ. Một vụ xâm phạm hay lạm dụng ở cấp độ đó sẽ không chỉ ảnh hưởng đến tập người dùng của một ứng dụng, mà có thể chạm tới gần như mọi người sở hữu điện thoại thông minh.
Đây không phải là mối lo ngại mang tính giả định. Các hệ thống xác minh độ tuổi tập trung đã gặp rắc rối nghiêm trọng ở những nơi khác. Ứng dụng xác minh độ tuổi tiêu chuẩn của EU đã bị xâm phạm chỉ vài phút sau khi ra mắt, một lời nhắc nhở rõ ràng rằng xây dựng một lớp xác minh đáng tin cậy duy nhất không tự động đồng nghĩa với việc xây dựng một lớp bảo mật. Các nhà nghiên cứu bảo mật đã tìm ra cách vượt qua công cụ của EU gần như ngay lập tức sau khi nó đi vào hoạt động, làm suy yếu chính tiền đề rằng việc tập trung xác minh vào một hệ thống sẽ khiến internet an toàn hơn cho trẻ vị thành niên hoặc riêng tư hơn cho người lớn.
Còn có một khuôn mẫu rộng hơn đáng để theo dõi: một khi chính phủ hoặc nền tảng xây dựng hạ tầng có khả năng định danh ai đang dùng thứ gì, trên thiết bị nào, thì hạ tầng đó có thể bị tái sử dụng cho mục đích khác. Các hệ thống kiểm soát cổng kỹ thuật số tập trung có tiền lệ mở rộng vượt xa mục đích ban đầu của chúng, một động thái dễ nhận thấy trong cách Trung Quốc đã tiến tới chặn các phạm vi truy cập internet nước ngoài rộng hơn thông qua các biện pháp kiểm soát mạng tập trung vốn được biện minh ban đầu bằng những cơ sở hẹp hơn. Các hệ thống đảm bảo độ tuổi không giống với tường lửa quốc gia, nhưng bài học cốt lõi vẫn đúng: hạ tầng được xây dựng cho một mục đích thường có xu hướng bị sử dụng cho những mục đích khác.
Điều này có ý nghĩa gì với bạn
Nếu Đạo luật Đảm bảo Độ tuổi Kỹ thuật số hoặc các đạo luật tương tự ở cấp tiểu bang được thông qua, hầu hết người dùng sẽ không cần phải tải lên giấy tờ tùy thân cho mỗi ứng dụng họ tải về. Thay vào đó, thiết bị hoặc tài khoản cửa hàng ứng dụng của bạn nhiều khả năng sẽ lưu giữ trạng thái độ tuổi đã được xác minh và chia sẻ nó một cách có chọn lọc với các ứng dụng yêu cầu. Đó là một sự thay đổi đáng kể so với bối cảnh hiện tại, nơi một số nền tảng đã đòi hỏi trực tiếp bản quét giấy tờ hoặc nhận dạng khuôn mặt.
Tuy vậy, điều này không có nghĩa là các lo ngại về quyền riêng tư biến mất. Bất kỳ ai kiểm soát tín hiệu độ tuổi tập trung đó, dù là Apple, Google hay một dịch vụ xác minh do nhà nước vận hành, đều trở thành mục tiêu giá trị cao cho tin tặc và là một điểm đòn bẩy tiềm tàng cho các yêu cầu dữ liệu trong tương lai. Người dùng nên chú ý đến dữ liệu thực tế nào được thu thập để xác lập độ tuổi (ngày sinh, giấy tờ tùy thân do chính phủ cấp, dữ liệu sinh trắc học) và khoảng thời gian dữ liệu đó được lưu giữ, chứ không chỉ nơi việc xác minh diễn ra.
Những điểm chính cần nhớ
Dự luật của ông Kim vẫn đang ở dạng dự thảo, và lộ trình thông qua Quốc hội của nó còn lâu mới chắc chắn. Nhưng nó phản ánh một sự chuyển dịch thực sự trong cách các nhà lập pháp và công ty công nghệ tiếp cận vấn đề xác minh độ tuổi: ít ứng dụng trực tiếp xử lý dữ liệu nhạy cảm hơn, nhưng trách nhiệm lại tập trung nhiều hơn vào một số ít người gác cổng. Độc giả nên theo dõi xem những đề xuất này định nghĩa ra sao về các quy tắc lưu giữ dữ liệu, điều gì xảy ra nếu hệ thống xác minh trung tâm bị xâm phạm, và liệu người dùng có được cung cấp một cách thức có ý nghĩa để từ chối tham gia hoặc khiếu nại những xác định độ tuổi không chính xác hay không. Như với bất kỳ hệ thống xác minh độ tuổi nào, các chi tiết triển khai sẽ quan trọng hơn nhiều so với lời hứa hẹn trên tiêu đề về một internet đơn giản hơn, riêng tư hơn.
