FTC công bố OkCupid đã cung cấp 3 triệu ảnh từ ứng dụng hẹn hò cho một công ty nhận diện khuôn mặt

• FTC cho biết OkCupid đã cung cấp khoảng 3 triệu ảnh người dùng cho công ty nhận diện khuôn mặt Clarifai, đồng thời chỉ ra rằng đã có những tuyên bố sai sự thật về cách dữ liệu được sử dụng
• Clarifai đã gửi email cho đồng sáng lập OkCupid vào năm 2014 để yêu cầu quyền truy cập vào tập dữ liệu ảnh quy mô lớn, và các nhà sáng lập OkCupid khi đó cũng là nhà đầu tư của Clarifai
• Công ty vận hành OkCupid là Humor Rainbow đã chuyển cho Clarifai thông tin nhân khẩu học và vị trí cùng với ảnh mà không có hợp đồng chính thức
• Clarifai đã dùng dữ liệu này để phát triển dịch vụ nhận diện tuổi, giới tính và chủng tộc từ khuôn mặt, và CEO công ty nói rằng có thể bán công nghệ này cho các cơ quan chính phủ, quân đội và cảnh sát
• FTC thông báo OkCupid và công ty mẹ Match đã đạt được thỏa thuận dàn xếp mà không bị phạt tiền, và chi tiết các điều khoản dàn xếp không được công bố

---

Điều tra của FTC về việc chia sẻ ảnh người dùng OkCupid

• FTC (Ủy ban Thương mại Liên bang Mỹ) thông báo rằng OkCupid đã cung cấp khoảng 3 triệu ảnh của người dùng ứng dụng hẹn hò cho công ty nhận diện khuôn mặt Clarifai
  • OkCupid tiếp tục được vận hành dưới tên pháp nhân Humor Rainbow ngay cả sau khi được Match.com mua lại vào năm 2011
  • FTC nêu rõ rằng OkCupid đã đưa ra các tuyên bố sai sự thật và gây hiểu lầm về cách dữ liệu khách hàng được sử dụng
• Diễn biến quan hệ với Clarifai bắt đầu từ năm 2014
  • CEO của Clarifai đã gửi email cho đồng sáng lập OkCupid để yêu cầu quyền truy cập vào bộ dữ liệu ảnh người dùng quy mô lớn
  • Các nhà sáng lập OkCupid cũng tham gia với tư cách nhà đầu tư tài chính vào Clarifai
  • Humor Rainbow đã cung cấp cho Clarifai khoảng 3 triệu ảnh người dùng cùng với thông tin nhân khẩu học và vị trí mà không có hợp đồng chính thức

• Clarifai đã sử dụng dữ liệu như thế nào

  • Clarifai sử dụng hình ảnh từ OkCupid để xây dựng dịch vụ nhận diện tuổi, giới tính và chủng tộc từ khuôn mặt
  • CEO Zeiler của Clarifai cho biết công nghệ này có thể được bán cho các chính phủ nước ngoài, quân đội và cơ quan cảnh sát

• Phản hồi từ phía OkCupid

  • Người phát ngôn cho biết Clarifai vào năm 2014 đã đề xuất hợp tác phát triển AI không thiên lệch và công nghệ nhận diện khuôn mặt, nhưng không có hợp đồng thương mại nào được ký kết và hiện tại cũng không còn quan hệ
  • OkCupid không đề cập liệu Clarifai có truy cập trái phép vào ảnh của OkCupid hay không
  • Theo tài liệu của FTC, Humor Rainbow đã trả lời các thắc mắc của người dùng rằng “việc ám chỉ OkCupid đã cung cấp thông tin cho công ty đó là sai sự thật”

• Nội dung thỏa thuận với FTC

  • FTC thông báo OkCupid và Match đã đạt được thỏa thuận dàn xếp mà không bị phạt tiền
  • Chi tiết các điều khoản dàn xếp có trong tài liệu của FTC, nhưng bài viết không giải thích thêm

[runableapp]

Có lẽ đây là một kiểu hành vi đã phổ biến đến mức khiến người ta tự hỏi liệu còn sản phẩm hay công ty nào không kiếm tiền từ thông tin người dùng.

Tôi thấy Gmail, thứ được dùng nhiều nhất, có lẽ lại là thứ nguy hiểm nhất. Vì đó là một tổ chức khổng lồ nên ngay cả khi không cần bán cho bên thứ ba, chắc cũng sẽ chẳng xuất hiện trong những tin tức kiểu này.

[GN⁺]

Ý kiến trên Hacker News

• Dạo này gần như phải xem mọi dịch vụ trực tuyến là một đối tượng có thể trở thành thù địch
  Chỉ cần có chút lợi ích nhỏ, họ rất có thể sẽ bán dữ liệu cá nhân hoặc sự chú ý của bạn
  Tất nhiên vẫn có ngoại lệ, nhưng cẩn trọng quá mức đôi khi cũng là điều dễ hiểu
  Dù vậy, thực tế là hiện giờ gần như không có lựa chọn thay thế

  • Gần đây, cuộc đua huấn luyện LLM chồng lên áp lực xác minh danh tính từ chính phủ, khiến tính ẩn danh đang biến mất
    Đây là thời kỳ u ám đối với những ai coi trọng chủ quyền số
  • Lời khuyên của tôi rất đơn giản — hãy xóa mọi tài khoản bạn đã tạo cho tới nay
    Theo thời gian, xác suất rò rỉ dữ liệu gần như tiến sát 100%
    Đám mây doanh nghiệp là một không gian rủi ro, và xây dựng cả một nền văn hóa trên đó là một nền móng bất ổn
  • Từ lâu tôi vẫn tò mò thị trường cho các ứng dụng đặt quyền riêng tư làm trung tâm thực sự lớn đến mức nào
    Nếu có đủ nhiều ứng dụng không cố thống trị thế giới và không bán dữ liệu người dùng
    thì có lẽ vẫn có thể vận hành trên máy chủ giá rẻ mà xây được dịch vụ đáng tin cậy
    Đôi lúc tôi cũng tự hỏi liệu mình có quá lý tưởng hay không
  • Tôi khuyên mọi người tham gia cộng đồng công nghệ đáng tin cậy trustworthy.technology
  • Cụm “mọi dịch vụ trực tuyến” cần có điều kiện đi kèm
    Đặc biệt phải cẩn thận nếu đó là mô hình miễn phí (free/freemium), hoặc có cấu trúc hộp đen khiến khách hàng không thể thoát ra
    Văn hóa quay lưng với các dịch vụ trả phí dựa trên FOSS cũng là một vấn đề

• “Hình phạt cho việc vi phạm pháp luật lại chỉ là hứa rằng từ nay sẽ tuân thủ pháp luật”
  Kiểu thỏa thuận dàn xếp với FTC như thế này thực chất gần như chẳng có chế tài gì

  • Nhưng lần này là cam kết vĩnh viễn (permanent) đấy, đúng là chỉ biết cười
  • Tôi cũng nghĩ vậy, đây hoàn toàn là một hình phạt trò đùa

• Nếu phải chọn đúng một phương thức xác minh danh tính, tôi tò mò mọi người sẽ chọn gì

  • Thanh toán bằng thẻ tín dụng (không tính thẻ trả trước)
  • Ảnh giấy tờ tùy thân do chính phủ cấp hoặc hộ chiếu
  • Ghi hình video theo thời gian thực

• Vụ này khiến tôi nhớ tới việc 23andMe bán dữ liệu DNA
  Bài liên quan: NPR đưa tin

  • Vụ kia là câu chuyện 23andMe bán dữ liệu cho chính họ
  • Trước đây tôi từng cảnh báo rằng vì 23andMe sắp phá sản nên dữ liệu sẽ bị đem bán
    Mọi người phớt lờ và nói “chính sách quyền riêng tư sẽ ngăn chuyện đó”
    nhưng chính sách quyền riêng tư không có tính ràng buộc pháp lý, và có thể thay đổi bất cứ lúc nào
    Cuối cùng thì công ty vẫn có thể bán dữ liệu nếu họ muốn
  • Tuy nhiên, trên thực tế thương vụ đó cuối cùng đã không diễn ra

• Có lẽ các luật sư trên khắp Chicago đang khui champagne ăn mừng
  Luật liên quan: Biometric Information Privacy Act

  • Mức phạt là 1.000 USD cho mỗi vi phạm, hoặc 5.000 USD nếu là cố ý hay cẩu thả nghiêm trọng
    Điểm mấu chốt là “cho mỗi vi phạm” — số tiền có thể khổng lồ

• Vụ này xảy ra từ năm 2014
  Tôi tự hỏi liệu còn nhân viên hay cổ đông nào từ thời đó vẫn ở lại hay không
  Nếu những người làm sai đã rời đi hết rồi thì tôi không rõ ý nghĩa của việc trừng phạt doanh nghiệp là gì

  • Thực tế thì họ chỉ “hứa tuân thủ pháp luật” và không bị phạt tiền
    Theo văn bản dàn xếp với FTC, OkCupid và Match không thừa nhận cũng không phủ nhận các cáo buộc

• Tôi nghĩ rất có thể OkCupid không chỉ “đưa” ảnh cho công ty nhận diện khuôn mặt mà thực ra là đã bán chúng
  Vì tài sản duy nhất của họ là ảnh người dùng và dữ liệu PII

  • Theo bài báo, CEO của Clarifai đã trực tiếp gửi email cho nhà sáng lập OkCupid
    để yêu cầu quyền truy cập vào một lượng lớn dữ liệu ảnh, lấy lý do quan hệ đầu tư
    Không có hợp đồng chính thức, nhưng việc này có thể xảy ra vì các nhà sáng lập đã đầu tư vào Clarifai
  • Đọc nội dung bài báo thì cũng có ý kiến cho rằng đây không đơn thuần là “cho”
  • Vì một thành viên hội đồng quản trị của OkCupid điều hành Clarifai, nhiều khả năng đây là việc cung cấp nội bộ

• OkCupid và Match đã khép lại vụ việc mà không phải nộp phạt tiền

• Trong thị trường tự do, các công ty tối đa hóa lợi nhuận có lợi thế sinh tồn
  Theo thời gian chỉ những công ty như vậy còn tồn tại, còn phần còn lại sẽ bị đào thải
  Lực lượng duy nhất có thể kiềm chế điều đó là quy định, nhưng nước Mỹ lại tôn sùng phi điều tiết, nên mới ra kết quả này

  • Nhưng việc “cho dữ liệu miễn phí” lại không khớp với logic đó
    Ngay cả khi không có dòng tiền trực tiếp, doanh nghiệp vẫn có thể thu lợi từ dữ liệu