Hệ thống nhận diện khuôn mặt ở chung cư cho phép cư dân đi qua cổng sảnh, thang máy hoặc cửa hầm mà không cần quẹt thẻ: camera chụp khuôn mặt, phần mềm so với mẫu đã đăng ký, khớp thì mở cửa. Tiện lợi rõ ràng, nhất là khi tay xách đồ hoặc quên thẻ, và giảm tình trạng cho mượn thẻ.
Đổi lại, toà nhà nắm giữ dữ liệu sinh trắc của hàng nghìn người, loại dữ liệu mà pháp luật về bảo vệ dữ liệu cá nhân hiện hành xếp vào nhóm nhạy cảm và không thể "đổi mới" như đổi mật khẩu khi bị lộ. Bài này giải thích cách hệ thống hoạt động ở mức phổ thông, so sánh với thẻ từ và mã trên điện thoại, nêu các nguyên lý bảo vệ dữ liệu, quy trình đăng ký có sự đồng ý, phương án cho người không đồng ý, và câu hỏi nên đặt cho nhà cung cấp. Bài không đi vào chi tiết kỹ thuật thiết bị.
Hệ thống hoạt động thế nào ở mức phổ thông
Khi đăng ký, camera chụp khuôn mặt cư dân, phần mềm không lưu nguyên tấm ảnh để so sánh mà trích ra một mẫu đặc trưng, có thể hiểu là một dãy số mô tả hình dạng khuôn mặt. Mỗi lần cư dân đi qua cổng, camera trích mẫu từ hình ảnh hiện tại và so với các mẫu đã lưu. Nếu độ giống vượt một ngưỡng đặt trước, hệ thống coi là khớp và mở cửa.
Mọi hệ thống nhận diện đều có hai loại sai. Nhận nhầm: người không có quyền được mở cửa vì giống một cư dân. Từ chối nhầm: cư dân thật bị chặn vì đội mũ, đeo khẩu trang, ánh sáng ngược hoặc khuôn mặt thay đổi. Đặt ngưỡng chặt thì giảm nhận nhầm nhưng tăng từ chối nhầm, và ngược lại. Không có cấu hình nào triệt tiêu cả hai.
Có hai cách tổ chức lưu trữ chính: mẫu lưu tập trung trên máy chủ, hoặc lưu ngay trên thiết bị đầu cuối tại cổng. Ngoài ra, hệ thống thường lưu nhật ký ra vào kèm ảnh chụp tại thời điểm đi qua. Chính nhật ký này, chứ không chỉ mẫu khuôn mặt, mới là phần dữ liệu nhạy cảm nhất trong vận hành hằng ngày, vì nó cho biết ai về nhà lúc mấy giờ, đi cùng ai.
So sánh thẻ từ, mã trên điện thoại và khuôn mặt
Không có phương án nào tốt nhất mọi mặt. Bảng dưới so sánh từ góc vận hành và quyền riêng tư để ban quản trị cân nhắc.
| Tiêu chí | Thẻ từ | Mã trên điện thoại | Khuôn mặt |
|---|---|---|---|
| Thuận tiện | Phải mang thẻ | Phải mở điện thoại | Không cần mang gì |
| Cho mượn, sao chép | Dễ cho mượn; một số loại thẻ dễ bị sao chép | Khó cho mượn hơn | Không cho mượn được |
| Khi bị lộ, mất | Khoá và cấp thẻ mới | Khoá tài khoản, cấp lại | Không đổi được khuôn mặt |
| Mức nhạy cảm của dữ liệu | Thấp, chỉ là mã thẻ | Trung bình, gắn tài khoản | Cao, dữ liệu sinh trắc |
| Người cao tuổi, trẻ em | Dễ dùng | Có thể khó với người không dùng điện thoại | Dễ dùng nhưng cần cân nhắc đồng ý với trẻ em |
| Khách, người giúp việc | Cấp thẻ tạm | Gửi mã một lần | Phải đăng ký khuôn mặt hoặc dùng phương án khác |
Nhiều toà nhà chọn mô hình kết hợp: khuôn mặt là lựa chọn tự nguyện, thẻ hoặc mã vẫn là phương án mặc định. Cách này giữ được tiện lợi cho người muốn dùng mà không ép ai đưa dữ liệu sinh trắc.
Nguyên lý bảo vệ dữ liệu sinh trắc cần giữ
Có mục đích rõ và thông báo trước. Cư dân cần được thông báo dữ liệu gì được thu, dùng cho việc gì, lưu bao lâu, ai được tiếp cận, chuyển cho bên nào. Với dữ liệu nhạy cảm, pháp luật hiện hành đặt yêu cầu chặt hơn về sự đồng ý và thông báo; ban quản lý nên kiểm văn bản hiện hành và hỏi người có chuyên môn trước khi triển khai.
Đồng ý phải tự nguyện và rút lại được. Đồng ý không được là điều kiện bắt buộc để được về nhà mình khi có phương án khác. Cư dân rút lại đồng ý thì mẫu khuôn mặt phải được xoá và chuyển sang phương án thay thế.
Thu tối thiểu, lưu có thời hạn. Chỉ lưu mẫu cần cho so khớp; nhật ký ra vào kèm ảnh chỉ giữ trong thời hạn ngắn đủ phục vụ an ninh, quá hạn tự xoá. Thời hạn cụ thể nên ghi trong chính sách của toà nhà.
Giới hạn người truy cập. Chỉ một số ít người có quyền xem nhật ký kèm ảnh, mỗi lần xem phải có lý do và được ghi nhật ký truy cập. Lễ tân và bảo vệ ca trực không nên có quyền tra cứu lịch sử đi lại của một cư dân bất kỳ.
Ràng buộc nhà cung cấp. Nhà cung cấp thiết bị và phần mềm là bên xử lý dữ liệu thay toà nhà; hợp đồng phải ghi rõ họ không được dùng dữ liệu cho mục đích khác, như huấn luyện mô hình, và phải xoá khi chấm dứt hợp đồng.
Quy trình đăng ký khuôn mặt có sự đồng ý
Một quy trình đăng ký đúng nguyên lý, áp dụng cho cả toà nhà mới lẫn toà nhà chuyển từ thẻ sang:
- Ban quản lý công bố thông báo xử lý dữ liệu bằng ngôn ngữ dễ hiểu, kèm phương án thay thế cho người không tham gia.
- Cư dân đăng ký tự nguyện trên ứng dụng hoặc tại quầy, đọc thông báo và xác nhận đồng ý; hệ thống lưu thời điểm và nội dung đã đồng ý.
- Việc chụp mẫu diễn ra tại quầy hoặc trên ứng dụng chính thức, không nhận ảnh gửi qua tin nhắn hay nhóm chat.
- Với trẻ em, cha mẹ hoặc người giám hộ quyết định; nên cân nhắc mặc định dùng thẻ cho trẻ nhỏ.
- Cư dân được xem trên ứng dụng mình đã đăng ký những gì và có nút rút lại đồng ý.
- Định kỳ, ban quản lý rà danh sách mẫu với danh sách cư dân hiện tại, xoá mẫu của người không còn ở.
Không nên dùng ảnh trên giấy tờ tuỳ thân mà cư dân đã nộp cho mục đích khác để tạo mẫu khuôn mặt. Đó là dùng dữ liệu sai mục đích ban đầu.
Phương án cho người không đồng ý, trẻ em, người cao tuổi
Một hệ thống chỉ có khuôn mặt sẽ gặp khó ngay ngày đầu: có cư dân không đồng ý, có người khuôn mặt thay đổi sau phẫu thuật hay bệnh, có người cao tuổi đi xe lăn mà camera đặt quá cao, có trẻ em lớn nhanh khiến mẫu không còn khớp. Thiết kế đúng là luôn có ít nhất một phương án thay thế ngang hàng, không phải phương án "phạt" đòi cư dân phải gọi bảo vệ mỗi lần về nhà.
Phương án thay thế phổ biến là thẻ hoặc mã trên điện thoại, được cấp với cùng quyền ra vào. Người không đồng ý không bị tính phí cao hơn hay bị đối xử khác trong các dịch vụ chung. Với người cao tuổi, camera và đầu đọc nên được đặt ở độ cao phù hợp cho người ngồi xe lăn; quầy lễ tân nên biết danh sách cư dân cần hỗ trợ, nếu họ đồng ý cung cấp.
Với trẻ em, ngoài chuyện đồng ý còn có chuyện an toàn: trẻ tự mở được cổng hầm, cổng hồ bơi có thể là rủi ro. Phân quyền theo nhóm tuổi do cha mẹ cài đặt hợp lý hơn việc trao quyền như người lớn.
Câu hỏi ban quản trị nên đặt cho nhà cung cấp trước khi lắp
Những câu hỏi dưới đây nên được trả lời bằng văn bản, không chỉ bằng lời giới thiệu:
- Mẫu khuôn mặt lưu ở đâu: trên thiết bị tại cổng, trên máy chủ của toà nhà hay máy chủ của nhà cung cấp? Có được mã hoá không?
- Có lưu ảnh gốc khi đăng ký không, hay chỉ lưu mẫu đặc trưng?
- Nhật ký ra vào kèm ảnh lưu bao lâu, có tự xoá không, ai đặt thời hạn?
- Ai trong phía nhà cung cấp truy cập được dữ liệu, trong trường hợp nào, có nhật ký không?
- Hệ thống có tỷ lệ từ chối nhầm thế nào trong điều kiện ánh sáng sảnh của toà nhà, có cho thử nghiệm trước không?
- Khi chấm dứt hợp đồng, dữ liệu được bàn giao và xoá thế nào, có biên bản không?
- Thiết bị có cập nhật bảo mật định kỳ không, ai chịu trách nhiệm khi có lỗ hổng?
Nhà cung cấp không trả lời rõ được các câu này là tín hiệu nên dừng lại, dù giá có hấp dẫn. Nếu quyết định triển khai, nên làm thí điểm ở một cổng trong vài tuần, lấy ý kiến cư dân và đo số lần từ chối nhầm thực tế, rồi mới đưa ra hội nghị nhà chung cư hoặc ban quản trị quyết định mở rộng. Kết quả thí điểm, kể cả những điểm chưa đạt, nên được công bố để cư dân cùng nhìn một bộ dữ liệu.
Khi cư dân chuyển đi hoặc hết hợp đồng thuê: xoá dữ liệu
Thẻ từ của người chuyển đi chỉ cần khoá là hết quyền. Với khuôn mặt, khoá quyền thôi chưa đủ: mẫu sinh trắc vẫn nằm trong hệ thống. Quy trình chuyển đi nên có bước xoá mẫu khuôn mặt, gắn với việc đóng quan hệ cư dân trong hồ sơ căn hộ, và cư dân nhận được xác nhận đã xoá.
Người thuê là nhóm hay bị bỏ sót nhất, vì họ thường chuyển đi mà không báo ban quản lý. Phần mềm nên tự động khoá và đánh dấu xoá mẫu khi hợp đồng thuê đã đăng ký quá hạn mà không được gia hạn, sau khi đã nhắc chủ căn. Rà soát hằng quý những mẫu không có lượt nhận diện nào trong nhiều tháng cũng giúp phát hiện người đã rời đi.
Nếu toà nhà quyết định bỏ hẳn hệ thống nhận diện khuôn mặt, toàn bộ mẫu và nhật ký phải được xoá theo kế hoạch, có biên bản với nhà cung cấp. Dữ liệu sinh trắc không nên tồn tại lâu hơn mục đích đã thông báo với cư dân.
Câu hỏi thường gặp
Ban quản lý có được bắt buộc mọi cư dân đăng ký khuôn mặt không?
Với dữ liệu nhạy cảm như sinh trắc, nguyên tắc là phải có sự đồng ý phù hợp và mục đích rõ ràng theo quy định bảo vệ dữ liệu cá nhân hiện hành. Khi có phương án thay thế như thẻ, ép buộc cư dân đăng ký khuôn mặt khó có cơ sở. Nên hỏi người có chuyên môn pháp lý trước khi đưa vào nội quy.
Đeo khẩu trang, đội mũ bảo hiểm có qua cổng được không?
Tuỳ hệ thống và ngưỡng cài đặt; nhiều hệ thống vẫn nhận được khi đeo khẩu trang nhưng độ chính xác giảm. Đây là lý do nên giữ phương án thẻ hoặc mã song song, và thử nghiệm thực tế tại sảnh trước khi triển khai toàn toà.
Ảnh nhật ký ra vào có được cung cấp cho người khác không?
Chỉ cung cấp theo yêu cầu hợp pháp của cơ quan có thẩm quyền hoặc khi có căn cứ theo quy định, và phải ghi nhận việc cung cấp. Cư dân yêu cầu xem lịch sử đi lại của người khác, kể cả người cùng căn, không nên được đáp ứng nếu không có căn cứ.
Mẫu khuôn mặt có bị dùng để dựng lại ảnh không?
Mẫu đặc trưng không phải ảnh, nhưng giới chuyên môn vẫn tranh luận về khả năng khai thác mẫu khi bị lộ. Vì vậy mẫu vẫn phải được bảo vệ như dữ liệu nhạy cảm, mã hoá khi lưu và khi truyền, giới hạn truy cập.
Người giúp việc, người chăm sóc có nên đăng ký khuôn mặt không?
Có thể, nếu họ đồng ý và chủ căn đề nghị, với quyền ra vào có thời hạn và trong khung giờ phù hợp. Phương án đơn giản hơn là thẻ tạm hoặc mã một lần, tránh lưu dữ liệu sinh trắc của người không phải cư dân.
Toà nhà đã lắp hệ thống mà chưa từng thông báo cư dân thì nên làm gì?
Ban quản trị nên yêu cầu rà lại: dữ liệu đang lưu ở đâu, lưu bao lâu, ai truy cập. Sau đó công bố thông báo xử lý dữ liệu, mở phương án thay thế và cho cư dân chọn lại. Nên hỏi người có chuyên môn về các bước phù hợp quy định hiện hành.