Apple bị kiện vì dữ liệu khuôn mặt: câu chuyện không chỉ của riêng Illinois
Vụ kiện Apple kiện dữ liệu khuôn mặt là tranh chấp pháp lý xoay quanh việc ứng dụng Photos bị cáo buộc thu thập và xử lý dữ liệu sinh trắc học khuôn mặt người dùng mà không có thông báo và sự đồng ý phù hợp, qua đó làm dấy lên lo ngại rộng hơn về quyền riêng tư và cách các công ty công nghệ dùng dữ liệu nhạy cảm của khách hàng.
Tâm điểm là tính năng People trong ứng dụng Photos trên iPhone, vốn dùng máy học để nhận diện khuôn mặt trong ảnh và tự động nhóm theo từng người. Theo đơn kiện, Apple đã thu thập dữ liệu khuôn mặt và thông tin sinh trắc học cho mục đích này mà không làm đúng các yêu cầu về thông báo và đồng ý theo Đạo luật Quyền riêng tư Thông tin Sinh trắc học (BIPA) của bang Illinois. Vấn đề không nằm ở việc tính năng có tiện hay không, mà ở chỗ ranh giới nào cho phép một hãng công nghệ động đến dữ liệu sinh trắc học cực kỳ nhạy cảm của người dùng. Khi một tính năng tiện lợi được bật mặc định mà không giải thích đủ, người dùng gần như bị đặt vào thế đã rồi về quyền riêng tư của chính mình.
Từ 10 người dùng đến 6,5 triệu cư dân Illinois: vì sao vụ kiện phình to?
Ban đầu, chỉ khoảng 10 người dùng đệ đơn kiện Apple lên tòa án bang Illinois vào tháng 3/2020, cáo buộc hãng vi phạm BIPA. Nhưng sau nhiều năm điều tra và tranh tụng, vụ việc đã được nâng lên thành vụ kiện tập thể quy mô lớn. Một tòa phúc thẩm liên bang đã bác yêu cầu của Apple muốn thách thức ngay lập tức việc chứng nhận vụ kiện tập thể, qua đó mở đường cho vụ kiện tiếp tục được giải quyết tại tòa liên bang. Điều này cho thấy tòa coi các cáo buộc là đủ nghiêm trọng để toàn bộ quy trình tố tụng được tiếp diễn, thay vì chặn lại từ sớm như mong muốn của Apple.
Đáng chú ý, số người có thể thuộc diện nguyên đơn đã tăng từ 10 lên khoảng 6,5 triệu cư dân Illinois có ảnh được sắp xếp vào album People trong Photos. Một nhận định đáng trích dẫn là: "Illinois residents whose photos were sorted this way could number as many as 6.5 million". Điều này biến tranh chấp riêng lẻ thành phép thử mang tính tiền lệ cho mọi hệ thống dùng dữ liệu sinh trắc học. Nếu các tòa tiếp tục mở rộng phạm vi trách nhiệm với dữ liệu khuôn mặt, mọi hãng công nghệ đều phải xem lại cách thiết kế tính năng nhận diện trên thiết bị.
Lập luận của Apple: xử lý trên thiết bị có đủ để bảo vệ quyền riêng tư?
Apple phản bác rằng hệ thống của họ không giống các nền tảng từng bị xử phạt nặng vì thu thập dữ liệu khuôn mặt trên máy chủ. Theo tài liệu kỹ thuật và mô tả của hãng, tính năng People trong Photos sử dụng công nghệ máy học chạy riêng trên thiết bị, toàn bộ quá trình nhận diện được xử lý cục bộ, không tải hình ảnh hoặc dữ liệu khuôn mặt lên máy chủ của Apple. Tài liệu về quyền riêng tư còn khẳng định Apple không truy cập ảnh hay video của người dùng, và album People & Pets chỉ dùng máy học trên thiết bị để gom những khuôn mặt giống nhau mà không tự nhận diện ai là ai; chỉ chủ thiết bị mới gắn tên cho từng người.
Vấn đề là BIPA không phân biệt dữ liệu sinh trắc học được xử lý trên mây hay trên máy; luật chỉ yêu cầu phải thông báo và lấy sự đồng ý bằng văn bản trước khi thu thập hoặc xử lý. Từ góc độ người dùng, lập luận "dữ liệu ở trên máy nên an toàn" có thể là chưa đủ. Dữ liệu sinh trắc học, một khi bị thu thập, luôn mang rủi ro: khuôn mặt không thể "đổi mật khẩu" như email. Vì thế, nhiều người cho rằng hãng phải minh bạch và xin phép rõ ràng thay vì dựa vào giải thích kỹ thuật ở hậu trường.
Ý nghĩa pháp lý và tương lai: cuộc đấu giữa luật cũ và công nghệ mới
BIPA được ban hành từ 2008, thời điểm công nghệ xử lý trên thiết bị (on-device) chưa phổ biến. Luật này yêu cầu doanh nghiệp phải thông báo và được người dùng đồng ý bằng văn bản trước khi thu thập định danh sinh trắc học, với mức phạt khác nhau tùy theo hành vi cẩu thả hay cố ý. Về lý thuyết, đây là tấm lá chắn mạnh mẽ bảo vệ dữ liệu sinh trắc học, nhưng lại chưa lường hết các mô hình xử lý mới như cách Apple mô tả. Một sửa đổi năm 2024 còn giới hạn mức bồi thường xuống một vi phạm trên mỗi người, thay vì mỗi lần quét, và được tòa phúc thẩm xác nhận áp dụng hồi tố cho các vụ đang xét xử, trong đó có vụ này.
Hiện tại, chưa có khoản bồi thường nào được tuyên và Apple chưa bị kết luận vi phạm; vụ việc quay lại tòa cấp dưới, nơi các nguyên đơn vẫn phải chứng minh Apple đã vi phạm BIPA, và chưa hề có ngày xét xử cụ thể. Điều đó nghĩa là tranh luận về ranh giới giữa tiện ích và quyền riêng tư còn kéo dài. Kết quả vụ kiện có thể định nghĩa lại cách luật sinh trắc học ở Illinois, Texas, Washington… sẽ áp dụng với dữ liệu chỉ tồn tại trên thiết bị. Và dù phán quyết cuối cùng ra sao, thông điệp gửi tới các ông lớn công nghệ đã rõ: thời kỳ "làm trước, xin lỗi sau" với dữ liệu khuôn mặt đang đi đến hồi kết.
