Theo Luật An ninh mạng 2025, cửa hàng lắp camera nhận diện khách hàng có hợp pháp không?

Camera an ninh thông thường khác hẳn camera nhận diện khuôn mặt. Điểm đ khoản 1 Điều 15 Luật 116/2025 cấm cố ý nghe, ghi âm, ghi hình trái phép các cuộc đàm thoại.

Camera giám sát tại cửa hàng là chuyện bình thường. Nhưng khi camera được bổ sung tính năng nhận diện khuôn mặt, phân tích cảm xúc hay theo dõi hành vi khách hàng, tình huống pháp lý thay đổi đáng kể.

Phân biệt ba mức độ

Trước khi bàn tới quy định, cần phân biệt rõ ba loại hệ thống thường bị gộp chung:

• Camera ghi hình thuần túy — ghi lại hình ảnh phục vụ an ninh, không phân tích;
• Camera có phân tích cơ bản — đếm lượt khách, phát hiện chuyển động, không định danh cá nhân;
• Camera nhận diện khuôn mặt — định danh được cá nhân cụ thể, có thể liên kết với hồ sơ khách hàng.

Mức độ thứ ba là mức có nhiều ràng buộc nhất, vì nó xử lý dữ liệu sinh trắc học — loại dữ liệu cá nhân nhạy cảm theo pháp luật về bảo vệ dữ liệu cá nhân.

Quy định về ghi âm, ghi hình — Điều 15 Luật 116/2025/QH15

Điều 15 Luật An ninh mạng 116/2025/QH15 quy định về phòng, chống gián điệp mạng và bảo vệ các loại bí mật, trong đó có bí mật cá nhân, bí mật gia đình và đời sống riêng tư.

Điểm đ khoản 1 Điều 15 nêu một hành vi cụ thể: cố ý nghe, ghi âm, ghi hình trái phép các cuộc đàm thoại.

Từ khóa là trái phép. Việc ghi hình có căn cứ và có thông báo khác với việc ghi lén.

Điểm a khoản 1 Điều 15 cũng nêu hành vi chiếm đoạt, mua bán, thu giữ, cố ý làm lộ thông tin thuộc bí mật cá nhân, bí mật gia đình và đời sống riêng tư gây ảnh hưởng đến danh dự, uy tín, nhân phẩm, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.

Với hệ thống camera có thu âm, điểm đ áp dụng trực tiếp. Đây là lý do nhiều hệ thống camera thương mại tắt chức năng thu âm theo mặc định.

Khi hệ thống có nhận diện — áp dụng Luật Trí tuệ nhân tạo

Hệ thống nhận diện khuôn mặt là hệ thống trí tuệ nhân tạo theo khoản 2 Điều 3 Luật 134/2025/QH15 — hệ thống dựa trên máy, suy luận từ dữ liệu đầu vào để tạo ra các đầu ra như dự đoán, nội dung, khuyến nghị hoặc quyết định.

Doanh nghiệp lắp đặt và sử dụng hệ thống này là bên triển khai theo khoản 5 Điều 3.

Phân loại rủi ro

Khoản 2 Điều 9 Luật 134/2025/QH15 nêu bốn tiêu chí phân loại: mức độ tác động đến quyền con người, an toàn, an ninh; lĩnh vực sử dụng; phạm vi người sử dụng; quy mô ảnh hưởng của hệ thống.

Với hệ thống nhận diện khuôn mặt tại nơi công cộng hoặc bán công cộng, tiêu chí tác động đến quyền con người rõ ràng ở mức cao — nó xử lý dữ liệu sinh trắc học của người không có lựa chọn tránh né, và quy mô ảnh hưởng phụ thuộc lượng khách.

Việc phân loại cụ thể cần đối chiếu với tiêu chí do Chính phủ quy định theo khoản 3 Điều 9 và Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao do Thủ tướng Chính phủ ban hành theo khoản 4 Điều 13. Khi chưa rõ, khoản 4 Điều 10 cho phép đề nghị Bộ Khoa học và Công nghệ hướng dẫn phân loại.

Người bị ảnh hưởng là khách hàng

Theo khoản 7 Điều 3, người bị ảnh hưởng là tổ chức, cá nhân bị tác động trực tiếp hoặc gián tiếp đến quyền, lợi ích hợp pháp, tính mạng, sức khỏe, tài sản, uy tín hoặc cơ hội tiếp cận dịch vụ.

Khách hàng bị hệ thống nhận diện và phân loại — chẳng hạn bị đánh dấu là khách có rủi ro và bị từ chối phục vụ — thuộc nhóm này.

Nghĩa vụ minh bạch

Khoản 1 Điều 11 Luật 134/2025/QH15 yêu cầu bảo đảm người sử dụng nhận biết khi đang tương tác với hệ thống trí tuệ nhân tạo.

Trong bối cảnh cửa hàng, điều này dịch ra thành nghĩa vụ thông báo rõ ràng cho khách về việc có hệ thống nhận diện đang hoạt động — trước khi khách bước vào khu vực được giám sát, không phải sau.

Cách làm thực tế:

• Biển thông báo tại lối vào, đặt ở vị trí dễ thấy trước khi khách vào;
• Nêu rõ mục đích — an ninh, thống kê, hay cá nhân hóa dịch vụ;
• Nêu thời gian lưu trữ dữ liệu;
• Cung cấp kênh liên hệ để khách hỏi hoặc yêu cầu về dữ liệu của mình.

Ràng buộc từ pháp luật về dữ liệu cá nhân

Khoản 3 Điều 7 Luật 134/2025/QH15 nghiêm cấm thu thập, xử lý hoặc sử dụng dữ liệu để phát triển, huấn luyện, kiểm thử hoặc vận hành hệ thống trí tuệ nhân tạo trái với quy định của pháp luật về dữ liệu, bảo vệ dữ liệu cá nhân, sở hữu trí tuệ và an ninh mạng.

Dữ liệu khuôn mặt là dữ liệu sinh trắc học — thuộc nhóm dữ liệu cá nhân nhạy cảm với yêu cầu bảo vệ nghiêm ngặt hơn. Việc thu thập và xử lý cần có căn cứ hợp pháp rõ ràng theo pháp luật về bảo vệ dữ liệu cá nhân, và đây là ràng buộc quan trọng nhất trong toàn bộ tình huống.

Khoản 2 Điều 26 Luật 116/2025/QH15 nêu các nội dung bảo đảm an ninh dữ liệu, trong đó có: xây dựng chính sách, thiết lập quy trình (điểm a); áp dụng biện pháp, tiêu chuẩn, quy chuẩn kỹ thuật theo quy định của pháp luật về an ninh mạng (điểm b); sử dụng mật mã cơ yếu, mật mã dân sự (điểm c); triển khai cơ chế kiểm soát chặt chẽ nhân sự trực tiếp tham gia xử lý dữ liệu (điểm d); và kiểm tra, đánh giá rủi ro định kỳ (điểm đ).

Với dữ liệu hình ảnh khuôn mặt, điểm c và điểm d đáng chú ý nhất: mã hóa dữ liệu khi lưu trữ, và kiểm soát chặt ai được truy cập.

Nghĩa vụ giám sát và can thiệp của con người

Nếu hệ thống thuộc nhóm rủi ro cao, điểm b khoản 2 Điều 14 Luật 134/2025/QH15 yêu cầu bên triển khai bảo đảm an toàn, bảo mật dữ liệu và khả năng can thiệp của con người trong quá trình sử dụng.

Trong thực tế, điều này nghĩa là không để hệ thống tự động đưa ra quyết định ảnh hưởng tới khách hàng — chẳng hạn tự động từ chối phục vụ — mà không có người xem xét.

Khoản 2 Điều 4 nêu nguyên tắc chung: trí tuệ nhân tạo phục vụ con người, không thay thế thẩm quyền và trách nhiệm của con người; bảo đảm duy trì sự kiểm soát và khả năng can thiệp của con người đối với mọi quyết định và hành vi của hệ thống.

Trách nhiệm khi hệ thống sai

Nhận diện khuôn mặt có tỷ lệ sai nhất định, và tỷ lệ này thường không đồng đều giữa các nhóm người. Một khách hàng bị nhận diện nhầm và bị đối xử bất lợi có thể chịu thiệt hại về uy tín.

Khoản 2 Điều 29 Luật 134/2025/QH15 quy định với hệ thống rủi ro cao được quản lý, vận hành, sử dụng đúng quy định nhưng vẫn phát sinh thiệt hại thì bên triển khai phải chịu trách nhiệm bồi thường cho người bị thiệt hại.

Khoản 3 Điều 4 cũng nêu nguyên tắc bảo đảm công bằng, minh bạch, không thiên lệch, không phân biệt đối xử và không gây hại cho con người hoặc xã hội.

Khuyến nghị thực tế

Từ các quy định trên, cách tiếp cận thận trọng cho doanh nghiệp bán lẻ:

• Cân nhắc kỹ nhu cầu thực sự — nhiều mục tiêu kinh doanh đạt được bằng phân tích không định danh, chẳng hạn đếm lượt khách hoặc phân tích luồng di chuyển, mà không cần nhận diện cá nhân;
• Nếu chỉ cần an ninh, camera ghi hình thông thường thường là đủ và có ít ràng buộc hơn nhiều;
• Tắt chức năng thu âm nếu không có căn cứ và thông báo rõ ràng;
• Nếu vẫn triển khai nhận diện, đặt biển thông báo rõ ràng tại lối vào, xác định căn cứ pháp lý cho việc xử lý dữ liệu sinh trắc học, giới hạn thời gian lưu trữ ở mức tối thiểu cần thiết, và luôn có người quyết định cuối cùng;
• Lập hồ sơ phân loại rủi ro và cân nhắc đề nghị hướng dẫn phân loại theo khoản 4 Điều 10;
• Ghi nhật ký việc truy cập dữ liệu hình ảnh — ai xem, khi nào, vì lý do gì.

Kinh nghiệm chung với loại hệ thống này: chi phí tuân thủ và rủi ro pháp lý thường vượt lợi ích kinh doanh với doanh nghiệp bán lẻ quy mô vừa và nhỏ. Việc đánh giá lại nhu cầu trước khi đầu tư là bước tiết kiệm nhất.

Đọc thêm cùng chủ đề

• Camera ở cửa hàng có phải báo cho khách biết không?
• Ứng dụng thu thập vị trí người dùng cần điều kiện gì?
• Dữ liệu sinh trắc học là những gì?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 15
• Luật 134/2025/QH15 Điều 9
• Luật 134/2025/QH15 Điều 11

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.