Các nhà bán lẻ thường cho rằng bất kỳ hệ thống đếm người bằng camera nào cũng là một vấn đề quyền riêng tư chực chờ xảy ra. Trên thực tế, điều ngược lại thường đúng: đếm người tốt là một trong những cách ít xâm phạm nhất để đo lường cửa hàng, miễn là hệ thống được thiết kế, cấu hình và ghi chép tài liệu đúng cách. Rủi ro không nằm ở camera. Rủi ro nằm ở một triển khai âm thầm thu thập nhiều hơn mức cần thiết, lưu trữ lâu hơn mức cần thiết và không để lại hồ sơ nào về cả hai điều đó.
Bài viết này giải thích sự phân biệt mà mọi thứ khác đều phụ thuộc vào — đếm so với nhận diện danh tính — sau đó trình bày những điểm cốt lõi của GDPR, ảnh chụp nhanh từng quốc gia ở Đông Nam Á, và một danh sách kiểm tra thực tiễn mà bạn có thể trao cho nhà cung cấp hoặc đội ngũ quản trị rủi ro nội bộ.
Không phải tư vấn pháp lý. Tên luật và mốc thời gian dưới đây chỉ nhằm mục đích định hướng. Các chế độ bảo vệ dữ liệu thay đổi thường xuyên và thực tiễn thực thi khác nhau theo từng khu vực pháp lý. Hãy xác nhận các nghĩa vụ cụ thể của bạn với luật sư địa phương có chuyên môn trước khi triển khai.
Phân biệt cốt lõi: đếm người không phải là nhận diện danh tính
Hệ thống đếm người phát hiện rằng ai đó đang hiện diện và họ đã di chuyển theo một hướng nhất định. Hệ thống nhận diện danh tính xác định người đó là ai. Hầu hết mọi câu hỏi về tuân thủ đều quy về việc hệ thống của bạn thực sự làm điều nào trong hai điều trên.
Mục tiêu thiết kế là một quy trình có thể:
- phát hiện người như những đối tượng chung hoặc bóng người, không có mẫu khuôn mặt;
- xuất ra số đếm, hướng di chuyển, thời gian dừng và bản đồ nhiệt dưới dạng dữ liệu tổng hợp;
- không lưu trữ hình ảnh thô, hoặc chỉ lưu trong một khoảng thời gian ngắn, được xác định rõ;
- không chạy nhận diện khuôn mặt, và không thể bị vô tình bật lên để làm việc đó.
Điều đó hoàn toàn khả thi với công nghệ hiện nay. Cảm biến 3D dựa trên độ sâu và cảm biến nhiệt có thể đặc biệt thân thiện với quyền riêng tư vì cả hai đều không phụ thuộc vào hình ảnh nhận dạng được.
Nhưng "chúng tôi đếm, chúng tôi không nhận diện danh tính" là một ý định thiết kế, không phải một kết luận pháp lý. Bạn phải có khả năng chứng minh điều đó, trong cấu hình và trong tài liệu.
Khi việc đếm người ẩn danh không còn ẩn danh
Tính ẩn danh có thể bị phá vỡ theo những cách mà nhà bán lẻ không ngờ tới:
- Bất kỳ khung hình video được lưu trữ mà trong đó một người có thể nhận dạng được đều là dữ liệu cá nhân theo hầu hết các chế độ pháp lý, kể cả khi không ai từng xem nó.
- Các dấu vết liên tục theo chân một cá nhân đi khắp cửa hàng theo thời gian có thể trở thành dữ liệu cá nhân khi kết hợp với các nguồn khác, chẳng hạn dữ liệu thanh toán hoặc dữ liệu khách hàng thân thiết.
- Mẫu sinh trắc học dùng để nhận diện duy nhất thuộc một nhóm đặc biệt, nhạy cảm hơn.
- Các thuộc tính suy luận — ví dụ ước lượng độ tuổi hoặc giới tính — kéo theo những nghĩa vụ bổ sung ở một số khu vực pháp lý.
Nguyên tắc thực tiễn: dữ liệu càng chi tiết và tồn tại càng lâu thì càng dễ phải chịu đầy đủ các nghĩa vụ về dữ liệu cá nhân. Hãy thiết kế để đạt mức chi tiết tối thiểu và thời gian lưu trữ tối thiểu.
Những lựa chọn thiết kế giúp triển khai có thể biện hộ được
- Xử lý tại biên. Tính toán số đếm ngay trên thiết bị và chỉ truyền kết quả, không truyền video.
- Lưu dữ liệu tổng hợp, không lưu khung hình. Giữ số đếm, phân bố thời gian dừng và bản đồ nhiệt; tránh lưu trữ hình ảnh thô.
- Đặt thời gian lưu trữ ngắn. Nếu buộc phải lưu video trong thời gian ngắn, hãy xác định và thực thi khoảng thời gian ngắn nhất phục vụ mục đích.
- Vô hiệu hóa vĩnh viễn các tính năng nhận diện danh tính. Nếu nền tảng có sẵn mô-đun nhận diện khuôn mặt, hãy đảm bảo nó bị vô hiệu hóa và không thể bật lại nếu không có một thay đổi được ghi chép và cấp phép.
- Phân đoạn mạng. Đặt các thiết bị đếm người trên một VLAN riêng với quyền truy cập ra ngoài bị hạn chế.
- Mã hóa khi truyền và khi lưu trữ, và kiểm soát truy cập theo vai trò.
- Ký thỏa thuận xử lý dữ liệu với mọi nhà cung cấp xử lý dữ liệu thay mặt bạn.
Những điểm cốt lõi của GDPR cho việc đếm người bán lẻ
Quy định Bảo vệ Dữ liệu Chung — Regulation (EU) 2016/679 — đã được áp dụng từ ngày 25 tháng 5 năm 2018 trên khắp EU (và, dưới hình thức luật quốc gia, ở EEA và Vương quốc Anh). Đối với một triển khai đếm người, những điểm liên quan là:
- Cơ sở hợp pháp. Khi không có dữ liệu cá nhân nào được xử lý, GDPR hoàn toàn không áp dụng. Khi có — ví dụ, nếu video nhận dạng được bị lưu trữ — nhiều nhà bán lẻ dựa vào lợi ích hợp pháp theo Điều 6(1)(f). Cơ sở đó đòi hỏi một đánh giá cân bằng được ghi chép (đánh giá lợi ích hợp pháp), chứ không chỉ một lời khẳng định.
- Đánh giá tác động bảo vệ dữ liệu (DPIA). Điều 35 yêu cầu DPIA đối với việc xử lý có khả năng dẫn đến rủi ro cao, bao gồm giám sát có hệ thống một khu vực công cộng ở quy mô lớn. Liệu một hệ thống đếm người cụ thể có vượt ngưỡng đó hay không phụ thuộc vào quy mô, mức độ chi tiết và thời gian lưu trữ — hãy đánh giá thay vì giả định.
- Tính minh bạch. Các Điều 12–14 yêu cầu cung cấp thông tin rõ ràng cho cá nhân. Trên thực tế, điều này nghĩa là biển báo tại lối vào, kèm một thông báo phân tầng (ví dụ, mã QR dẫn tới thông tin đầy đủ).
- Tối thiểu hóa dữ liệu và giới hạn lưu trữ. Điều 5 yêu cầu bạn chỉ thu thập những gì cần thiết và chỉ giữ trong thời gian cần thiết. Đây chính là nơi ẩn chứa phần lớn rủi ro có thể tránh được.
- Quan hệ với bên xử lý. Điều 28 yêu cầu một hợp đồng bằng văn bản với mọi nhà cung cấp xử lý dữ liệu thay mặt bạn, bao gồm phạm vi, bảo mật và các bên xử lý phụ.
- Chuyển dữ liệu quốc tế. Chương V điều chỉnh việc chuyển dữ liệu ra ngoài EEA — liên quan bất cứ khi nào nền tảng phân tích hoặc bộ phận hỗ trợ của bạn được đặt ở khu vực khác.
- Dữ liệu thuộc nhóm đặc biệt. Điều 9 áp dụng khi dữ liệu sinh trắc học được xử lý nhằm mục đích nhận diện duy nhất một người. Tránh nhận diện danh tính sẽ tránh hoàn toàn nhóm này.
- Hướng dẫn quốc gia. Một số quốc gia thành viên bổ sung quy định riêng về CCTV, và các cơ quan giám sát công bố hướng dẫn về CCTV đáng để tham khảo kể cả khi không thực sự ràng buộc.
Đông Nam Á: ảnh chụp nhanh từng quốc gia
Trong khắp khu vực, luật bảo vệ dữ liệu toàn diện hiện đã tồn tại ở cả năm thị trường lớn, nhưng mức độ trưởng thành, hướng dẫn và thực thi của chúng khác nhau đáng kể.
Việt Nam
Nghị định Bảo vệ Dữ liệu Cá nhân của Việt Nam — Nghị định 13/2023/NĐ-CP, thường được gọi là PDPD — có hiệu lực từ ngày 1 tháng 7 năm 2023 và là khuôn khổ mà hầu hết các đội ngũ hiện đang lập kế hoạch dựa theo. Nghị định đưa ra các nghĩa vụ về sự đồng ý, thông báo, đánh giá tác động và chuyển dữ liệu qua biên giới. Kể từ đó, Việt Nam đã hướng tới một luật bảo vệ dữ liệu riêng; hãy xác nhận ngày có hiệu lực và mọi hướng dẫn thi hành với luật sư địa phương, vì tình hình đang thay đổi.
Thái Lan
Đạo luật Bảo vệ Dữ liệu Cá nhân B.E. 2562 (2019) của Thái Lan, được gọi là PDPA, có hiệu lực từ ngày 1 tháng 6 năm 2022, với Ủy ban Bảo vệ Dữ liệu Cá nhân (PDPC) là cơ quan quản lý. Đạo luật theo cấu trúc tương tự GDPR: cơ sở hợp pháp, thông báo, quyền của chủ thể dữ liệu, thông báo vi phạm và các quy định chuyển dữ liệu qua biên giới. Hướng dẫn về giám sát video đã được ban hành, và nhà bán lẻ nên xử lý nhân viên và khách hàng riêng biệt.
Indonesia
Luật số 27 năm 2022 về Bảo vệ Dữ liệu Cá nhân của Indonesia (UU PDP) được ban hành vào tháng 10 năm 2022 với giai đoạn chuyển tiếp hai năm kết thúc vào tháng 10 năm 2024. Luật thiết lập quyền của chủ thể dữ liệu, yêu cầu về sự đồng ý và các điều kiện chuyển dữ liệu. Các quy định thi hành đã được xây dựng theo từng giai đoạn, nên hãy xác nhận các yêu cầu chi tiết hiện hành tại địa phương.
Philippines
Đạo luật Quyền riêng tư Dữ liệu năm 2012 (Republic Act No. 10173) là một trong những chế độ toàn diện lâu đời hơn của khu vực và được thực thi bởi Ủy ban Quyền riêng tư Quốc gia (NPC). NPC đã ban hành các khuyến cáo và hướng dẫn về việc sử dụng CCTV, bao gồm yêu cầu về thông báo và tính tương xứng, khiến nó trở thành tài liệu tham khảo hữu ích cho các triển khai bán lẻ.
Điểm cốt lõi thực tiễn cho nhà bán lẻ đa quốc gia: các luật này hội tụ về cùng một số ít nghĩa vụ — cơ sở hợp pháp, thông báo, tối thiểu hóa, giới hạn lưu trữ, bảo mật và hợp đồng nhà cung cấp. Một triển khai được ghi chép đầy đủ thường có thể đáp ứng tất cả, với luật sư địa phương xem xét các chi tiết riêng của từng thị trường.
Những gì bạn phải thông báo cho mọi người
Dù ở khu vực pháp lý nào, các yêu cầu về minh bạch trên thực tế đều tương tự nhau:
- một biển báo dễ thấy tại mỗi lối vào, trước khi mọi người bước vào khu vực được giám sát;
- mục đích bằng ngôn ngữ đơn giản ("đo số lượng khách");
- ai là bên kiểm soát dữ liệu, và cách liên hệ với họ;
- một thông báo phân tầng cho bất kỳ ai muốn biết chi tiết;
- một thông báo riêng, rõ ràng hơn gửi tới nhân viên về việc giám sát nơi làm việc.
Đừng mô tả hệ thống là "chỉ camera an ninh" nếu nó còn thực hiện phân tích, và đừng mô tả phân tích là "ẩn danh" trừ khi bạn có thể chứng minh sự vắng mặt của dữ liệu nhận dạng được bị lưu trữ.
Chiến lược lưu trữ và xóa dữ liệu
Lưu trữ là nơi những ý định tốt đẹp thường thất bại nhất. Hãy xác định một lịch trình cho từng loại dữ liệu và tự động hóa nó:
- Số đếm và dữ liệu tổng hợp: được lưu lâu nhất vì ít nhạy cảm nhất. Đặt một chân trời lưu trữ gắn với nhu cầu kinh doanh, chẳng hạn một khoảng so sánh cuốn chiếu.
- Dữ liệu dấu vết hoặc đường đi: chỉ lưu trong thời gian phân tích cần; thường là vài ngày thay vì vài tháng.
- Video: lý tưởng nhất là không lưu trữ chút nào. Nếu phải lưu, hãy giữ ở mức tối thiểu, mã hóa và tự động xóa.
- Bản sao lưu: đưa chúng vào lịch trình xóa; các thất bại về lưu trữ thường ẩn náu trong bản sao lưu.
- Nhật ký truy cập của nhà cung cấp: lưu đủ lâu để kiểm toán.
Nếu bạn không nắm giữ dữ liệu cá nhân nào, các yêu cầu truy cập và phản đối trở nên đơn giản hơn nhiều để giải quyết — một lập luận mạnh mẽ cho thiết kế nêu trên.
Câu hỏi cần đặt cho nhà cung cấp
Những câu hỏi mua sắm hữu ích cho bất kỳ nhà cung cấp giải pháp đếm người nào:
- Thiết bị có mặc định lưu trữ hoặc truyền video không, và có thể tắt ghi hình trong khi phân tích vẫn tiếp tục không?
- Dữ liệu được xử lý ở đâu — trên thiết bị, trên máy chủ nội bộ hay trên đám mây — và ở khu vực nào?
- Nền tảng có bao gồm nhận diện khuôn mặt hoặc nhận diện sinh trắc học không? Nó có thể bị vô hiệu hóa vĩnh viễn và chứng minh là đã vô hiệu hóa không?
- Chính xác những dữ liệu nào được xuất ra: số đếm, dấu vết, hình ảnh, nhân khẩu học suy luận?
- Có những kiểm soát lưu trữ nào, và chúng có thể được thực thi từ nền tảng không?
- Dữ liệu có được mã hóa khi truyền và khi lưu trữ không? Quyền truy cập được kiểm soát và ghi nhật ký như thế nào?
- Bạn có ký thỏa thuận xử lý dữ liệu không, và hệ thống có thể chạy hoàn toàn tại chỗ nếu được yêu cầu không?
- Các bên xử lý phụ của bạn là ai, và họ ở đâu?
Bạn có thể thấy những nguyên tắc này áp dụng vào các triển khai thực tế như thế nào trong các giải pháp của chúng tôi, và đọc về cách chúng tôi xây dựng theo nguyên tắc quyền riêng tư ngay từ thiết kế trên trang giới thiệu của chúng tôi.
Danh sách tự kiểm tra tuân thủ
- [ ] Xác định liệu hệ thống có xử lý dữ liệu cá nhân hay không, và ghi chép lại lý do.
- [ ] Xác nhận cơ sở hợp pháp, và hoàn thành đánh giá cân bằng nếu dựa vào lợi ích hợp pháp.
- [ ] Sàng lọc yêu cầu DPIA nếu giám sát khu vực công cộng ở quy mô lớn.
- [ ] Lắp biển báo tại lối vào với mục đích, danh tính bên kiểm soát và thông tin liên hệ.
- [ ] Ban hành một thông báo riêng về giám sát nhân viên.
- [ ] Cấu hình xử lý tại biên để video thô không bị lưu trữ.
- [ ] Thiết lập và thực thi lịch trình lưu trữ cho từng loại dữ liệu, bao gồm cả bản sao lưu.
- [ ] Vô hiệu hóa các tính năng nhận diện danh tính và ghi lại thiết lập đó trong nhật ký triển khai.
- [ ] Ký thỏa thuận xử lý dữ liệu và xác nhận nơi lưu trú dữ liệu.
- [ ] Phân đoạn mạng và hạn chế quyền truy cập ra ngoài của thiết bị.
- [ ] Duy trì nhật ký truy cập và xem xét định kỳ.
- [ ] Xem xét lại sau mọi lần cải tạo, thay đổi firmware hoặc chuyển đổi nền tảng.
Câu hỏi thường gặp
Chúng tôi có thể vận hành đếm người mà không cần sự đồng ý của khách hàng không? Ở nhiều khu vực pháp lý, có — hoặc vì hệ thống không xử lý dữ liệu cá nhân, hoặc vì bạn dựa vào một cơ sở hợp pháp như lợi ích hợp pháp với thông báo đầy đủ và một đánh giá được ghi chép. Hãy xác nhận tình hình cho cấu hình và thị trường của bạn với luật sư.
Nếu dữ liệu là ẩn danh, GDPR có còn áp dụng không? Dữ liệu thực sự ẩn danh — loại không thể gắn lại với một cá nhân bằng bất kỳ phương tiện nào có khả năng được sử dụng một cách hợp lý — nằm ngoài phạm vi GDPR. Rủi ro là các dấu vết, dấu thời gian và dữ liệu vị trí, khi kết hợp với các nguồn khác, có thể khiến dữ liệu trở thành dữ liệu cá nhân trở lại. Hãy kiểm chứng giả định đó.
Chúng tôi có cần DPIA không? Không tự động, nhưng việc giám sát có hệ thống các khu vực công cộng ở quy mô lớn là một yếu tố kích hoạt được công nhận. Hãy đánh giá, ghi chép kết luận và cập nhật lại nếu triển khai thay đổi.
Bản đồ nhiệt của cửa hàng có phải là dữ liệu cá nhân không? Một bản đồ nhiệt tổng hợp cho thấy đám đông đứng ở đâu thường có rủi ro thấp. Một bản đồ có thể truy vết tới một cá nhân, hoặc được suy ra từ các dấu vết cá nhân liên tục, lại là câu chuyện khác. Mức độ chi tiết quyết định.
Một camera đếm người có được tính là "xử lý dữ liệu cá nhân" không? Không nhất thiết — nếu nó thực sự chỉ xuất dữ liệu tổng hợp và không lưu trữ gì có thể nhận dạng, nó có thể nằm ngoài phạm vi của luật dữ liệu cá nhân. Đó chính là lý do vì sao kiến trúc bảo vệ quyền riêng tư đáng để kiên quyết yêu cầu trong quá trình mua sắm.
Bước tiếp theo
Tuân thủ quyền riêng tư trong đếm người bán lẻ chủ yếu là vấn đề kiến trúc và tài liệu, chứ không phải tránh né công nghệ. Hãy chọn một triển khai đếm mà không nhận diện danh tính, thông báo rõ ràng, lưu trữ ít, và giữ hồ sơ về mọi quyết định. Nếu bạn cần hỗ trợ xác định phạm vi cho một đợt triển khai theo nguyên tắc quyền riêng tư ngay từ thiết kế cho các cửa hàng của mình, đội ngũ của chúng tôi có thể cùng bạn xem xét các phương án cấu hình.