Irreversibilität der Anonymisierung - Definition
Die Irreversibilität der Anonymisierung beschreibt die Eigenschaft eines Verfahrens, die verhindert, dass eine Person anhand des anonymisierten Ergebnisses erneut identifiziert werden kann - unter Einsatz von Mitteln, deren Verfügbarkeit vernünftigerweise anzunehmen ist. Bei der Bild- und Videoverarbeitung geht es darum, ob weichgezeichnete Gesichter, unkenntlich gemachte Kfz-Kennzeichen und zugehörige Metadaten weiterhin mit einer identifizierbaren Person verknüpft werden können.
Nach der Datenschutz-Grundverordnung der Europäischen Union (EU-DSGVO) sind Daten nur dann anonym, wenn die betroffene Person nicht mehr identifizierbar ist. Erwägungsgrund 26 verlangt die Bewertung aller Mittel, die zur Identifizierung vernünftigerweise eingesetzt werden könnten. Dazu zählen verfügbare Technologien, Kosten, Zeitaufwand und technologische Entwicklungen. Bleibt eine Re-Identifizierung vernünftigerweise wahrscheinlich, handelt es sich bei den Aufnahmen weiterhin um personenbezogene Daten und die DSGVO gilt weiterhin.
Irreversibilität bedeutet daher nicht lediglich, einen sichtbaren Weichzeichnungseffekt anzuwenden. Ein Gesicht kann visuell verdeckt sein, während das Video über Kleidung, Ort, Fahrzeugmerkmale, Bewegungsmuster, Tonaufnahmen, Zeitstempel, Kameraidentifikatoren oder den Zugriff auf eine unbearbeitete Originaldatei weiterhin eine Identifizierung ermöglicht.
Warum Irreversibilität den Status von Bild- und Videodaten bestimmt
Die DSGVO unterscheidet zwischen Anonymisierung und Pseudonymisierung. Pseudonymisierte Daten können mithilfe zusätzlicher Informationen wieder einer Person zugeordnet werden. Anonyme Daten können vernünftigerweise nicht erneut zugeordnet werden. Diese Unterscheidung bestimmt, ob Aufnahmen als personenbezogene Daten reguliert werden.
Verarbeitungsergebnis | Kann eine Person vernünftigerweise erneut identifiziert werden? | Typischer DSGVO-Status
|
|---|---|---|
Originalvideo mit weichgezeichneter Version zur Anzeige | Ja, wenn die Organisation die Originaldatei aufbewahrt | Personenbezogene Daten |
Video mit verschlüsselten Originaldateien und einem separaten Entschlüsselungsschlüssel | Ja, für eine Partei mit Zugriff auf den Schlüssel | Personenbezogene Daten, häufig pseudonymisiert |
Irreversibel weichgezeichnetes Video ohne zugängliche Originaldateien, Identifikatoren oder praktikable Verknüpfungsdaten | Möglicherweise nein, vorbehaltlich einer kontextbezogenen Bewertung | Kann anonyme Daten darstellen |
Aufnahmen mit unkenntlich gemachten Gesichtern, bei denen jedoch eindeutige Orts- und Zeitdaten erhalten bleiben | Möglicherweise, abhängig von verfügbaren externen Informationen | Erfordert in der Regel eine weitergehende Bewertung |
Ein Verantwortlicher kann Anonymität nicht allein anhand der mathematischen oder visuellen Eigenschaften eines Weichzeichnungsfilters feststellen. Die Bewertung muss die gesamte Verarbeitungsumgebung einbeziehen. Dazu gehört, wer die Originalaufnahmen besitzt, wer auf Maskenkoordinaten zugreifen kann, ob ein Video mit einer anderen Kameraquelle verknüpft werden kann und ob öffentliche oder interne Daten eine Person identifizieren könnten.
Irreversibilität beim Unkenntlichmachen von Gesichtern und Kfz-Kennzeichen
Das Unkenntlichmachen von Gesichtern und Kfz-Kennzeichen wird häufig eingesetzt, um die Identifizierbarkeit in aufgezeichnetem Material zu verringern. Wie wirksam diese Maßnahmen sind, hängt von der Detektionsqualität, der Abdeckung durch Masken, der zeitlichen Konsistenz sowie von der Löschung oder dem Schutz des Originalmaterials ab.
Um Videos zu anonymisieren, sollte eine Datenschutzprüfung die folgenden technischen Voraussetzungen bewerten:
- Abdeckung durch die Detektion: Gesichter und Kfz-Kennzeichen müssen in allen relevanten Frames erkannt werden, einschließlich Teilansichten, Profilansichten, Bewegungsunschärfe, Verdeckungen und wechselnder Lichtverhältnisse.
- Beständigkeit der Maske: Die Maske zur Weichzeichnung oder Verpixelung muss während der gesamten Bewegung auf Gesicht oder Kfz-Kennzeichen ausgerichtet bleiben. Verrutscht eine Maske auch nur kurzzeitig, können identifizierende Informationen sichtbar werden.
- Stärke der Weichzeichnung und Maskenfläche: Die Maske muss ausreichend visuelle Details verdecken. Verpixelung, Mosaikeffekte und Gaußsche Weichzeichnung können unterschiedliche Risiken verbleibender Informationen aufweisen.
- Umgang mit Originaldateien: Die Aufbewahrung einer unbearbeiteten Kopie macht das Verfahren für Parteien mit Zugriff auf diese Kopie reversibel.
- Minimierung von Metadaten: Zeitstempel, präzise Geolokalisierungsdaten, Kameranamen, Fahrzeugidentifikatoren und Audioinhalte können eine indirekte Identifizierung ermöglichen.
- Verknüpfung mit externen Daten: Eine weichgezeichnete Person kann weiterhin identifizierbar sein, wenn Aufnahmen mit Zutrittskontrolldaten, Dienstplänen, Beiträgen in sozialen Medien oder einer anderen Kameraperspektive kombiniert werden.
Gallio PRO erkennt Gesichter und Kfz-Kennzeichen in Bild- und Videodateien automatisch und macht sie durch Weichzeichnung oder Verpixelung unkenntlich. Gallio PRO führt keine Echtzeitanonymisierung und keine Anonymisierung von Videostreams durch. Logos, Tätowierungen, Namensschilder, Dokumente oder auf Monitoren angezeigte Inhalte werden ebenfalls nicht automatisch erkannt. Wenn diese Elemente ein Identifizierungsrisiko darstellen, kann eine manuelle Maskierung im integrierten Editor erforderlich sein.
Wichtige Kennzahlen zur Bewertung der Anonymisierungsqualität
Irreversibilität ist eine rechtliche und kontextbezogene Schlussfolgerung, doch technische Kennzahlen liefern Belege dafür. Detektionskennzahlen sollten anhand repräsentativer Aufnahmen gemessen werden, einschließlich der Kameraperspektiven, Lichtverhältnisse, Komprimierungseinstellungen und Bewegungsmuster, die in der tatsächlichen Verarbeitungsumgebung verwendet werden.
Kennzahl | Formel oder Messung | Warum sie relevant ist
|
|---|---|---|
Recall | TP / (TP + FN) | Misst den Anteil der korrekt erkannten Gesichter oder Kfz-Kennzeichen. |
Falschnegativrate | FN / (TP + FN) | Misst den Anteil relevanter Objekte, die nicht maskiert wurden. |
Präzision | TP / (TP + FP) | Misst, ob angewendete Masken tatsächlich Gesichtern oder Kfz-Kennzeichen entsprechen. |
Track-Abdeckung | Maskierte Frames / Frames, in denen das Objekt sichtbar ist | Misst, ob der Schutz über eine Videosequenz hinweg bestehen bleibt. |
Prüfung der verbleibenden Identifizierbarkeit | Kontrollierte Versuche, Personen anhand des verarbeiteten Ergebnisses zu identifizieren | Prüft Risiken, die durch Kontext, Metadaten und externe Datenquellen entstehen. |
Es gibt keinen von der DSGVO vorgegebenen Mindestwert für Weichzeichnungsradius, Pixelblockgröße oder einen einzelnen Recall-Schwellenwert, der ein Video automatisch anonym macht. Eine technische Einstellung kann die direkte Wiedererkennung reduzieren und dennoch eine indirekte Identifizierung ermöglichen. Entscheidend ist, ob eine Identifizierung im konkreten Verarbeitungskontext weiterhin vernünftigerweise wahrscheinlich ist.
Grenzen und praktische Maßnahmen
Anonymisierung sollte als Prozess und nicht als einzelner Filter konzipiert werden. Ein belastbarer Workflow kombiniert automatische Detektion, eine manuelle Qualitätsprüfung, soweit das Risiko dies rechtfertigt, eine sichere Verwaltung von Quelldateien und dokumentierte Tests.
- Definieren Sie die beabsichtigte Offenlegung und die voraussichtlichen Empfänger der verarbeiteten Aufnahmen.
- Ermitteln Sie direkte Identifikatoren, einschließlich Gesichtern und Kfz-Kennzeichen.
- Ermitteln Sie indirekte Identifikatoren wie Audioinhalte, Ort, Uniformen, Fahrzeugkennzeichnungen und den Kontext eines Ereignisses.
- Machen Sie Gesichter und Kfz-Kennzeichen in allen relevanten Frames durch Weichzeichnung oder Verpixelung unkenntlich.
- Prüfen Sie übersehene Detektionen, unvollständige Masken und szenenspezifische identifizierende Details.
- Beschränken Sie den Zugriff auf unbearbeitete Originalaufnahmen, löschen Sie diese oder schützen Sie sie separat.
- Dokumentieren Sie das Bedrohungsmodell, die Testmethode, Restrisiken und Entscheidungen zur Aufbewahrung.
Standards und Referenzen
Die DSGVO schreibt keine bestimmte technische Methode zur Anonymisierung vor. Sie verlangt eine kontextbezogene Bewertung der Identifizierbarkeit. Die folgenden Quellen liefern den maßgeblichen rechtlichen Rahmen und weit verbreitete technische Terminologie.
Quelle | Relevanz
|
|---|---|
Definiert personenbezogene Daten und legt den EU-Maßstab dafür fest, ob eine Identifizierung vernünftigerweise wahrscheinlich ist. | |
Artikel-29-Datenschutzgruppe, Stellungnahme 05/2014 zu Anonymisierungstechniken, 2014 | Erläutert die Herauslösung einzelner Personen, Verknüpfbarkeit und Ableitung von Informationen als zentrale Anonymisierungsrisiken. |
Stellt Terminologie und Klassifizierungskonzepte für datenschutzfördernde Techniken zur De-Identifizierung von Daten bereit. | |
National Institute of Standards and Technology, NISTIR 8053, 2015 | Beschreibt Konzepte der De-Identifizierung, Risikobewertungen und die Grenzen von Methoden zur Datentransformation. |
US-Entsprechung
Die Vereinigten Staaten verfügen über keine allgemeine bundesrechtliche Entsprechung zum DSGVO-Maßstab für anonyme Bild- und Videodaten. Relevante Vorschriften sind sektorspezifisch und bundesstaatlich geregelt. So enthält etwa der Health Insurance Portability and Accountability Act (HIPAA) Standards zur De-Identifizierung geschützter Gesundheitsinformationen in 45 CFR 164.514. Der California Consumer Privacy Act (CCPA) in der durch den California Privacy Rights Act (CPRA) geänderten Fassung definiert de-identifizierte Informationen in Section 1798.140(m) des California Civil Code.
Keiner der beiden Rechtsrahmen begründet eine allgemeingültige Regel, wonach Weichzeichnungseffekte allein Aufnahmen anonym machen. Organisationen sollten bewerten, ob die Aufnahmen nach dem anwendbaren Recht, vertraglichen Bestimmungen, einer gerichtlichen Anordnung, Vorschriften zu öffentlichen Aufzeichnungen oder einer internen Datenschutzrichtlinie weiterhin vernünftigerweise mit einer Person verknüpft werden können.