Pixellisation : définition
La pixellisation est une transformation d’image qui remplace une zone sélectionnée par de grands blocs de couleur uniforme. Dans le cadre de l’anonymisation d’images et de vidéos, la zone sélectionnée correspond généralement à un visage ou à une plaque d’immatriculation détectés. Cette transformation réduit le niveau de détail spatial local en représentant plusieurs pixels d’origine par une seule valeur de sortie.
La pixellisation est souvent appelée masquage par mosaïque. Elle se distingue du flou gaussien, qui répartit les valeurs des pixels sur les pixels voisins à l’aide d’un filtre mathématique. La pixellisation préserve les limites des blocs et les grandes zones de couleur, tandis que le flou produit des transitions progressives. Aucune de ces méthodes n’équivaut automatiquement à une anonymisation. La possibilité de relier un visage ou une plaque d’immatriculation pixellisés à une personne dépend de la résolution source, de la taille des blocs, de la distance de visualisation, du contexte environnant et des capacités d’un destinataire potentiel.
Une opération de pixellisation simplifiée peut être décrite comme suit :
Ip(x,y) = mean(I(u,v))
Ici, I(u,v) représente les pixels d’origine au sein d’un bloc, et Ip(x,y) attribue la même valeur moyenne de couleur à chaque pixel de sortie de ce bloc. Certaines implémentations utilisent la médiane, un pixel échantillonné ou une autre valeur représentative à la place de la moyenne.
Comment la pixellisation est appliquée aux visages et aux plaques d’immatriculation
La pixellisation est normalement appliquée après l’identification de la zone concernée. Dans un processus automatisé d’anonymisation vidéo, la détection de visages repère l’emplacement d’un visage dans chaque image. Un processus distinct de détection des plaques d’immatriculation repère les plaques. Le système applique ensuite un masque de pixellisation au cadre englobant sélectionné ou à la zone polygonale concernée.
Une implémentation fiable doit tenir compte des mouvements, des occultations partielles, de l’angle de la caméra et des variations de taille de l’objet. Dans une vidéo, le masque doit également rester correctement aligné au fil du temps. Si le suivi échoue entre deux images détectées, certaines parties d’un visage ou d’une plaque d’immatriculation peuvent devenir visibles.
- Détection de visages : repère les visages sans déterminer l’identité d’une personne.
- Détection des plaques d’immatriculation : repère la zone de la plaque avant l’application d’une transformation de masquage.
- Suivi : associe un visage ou une plaque détectés dans des images vidéo consécutives.
- Extension du masque : ajoute une marge autour de la zone détectée afin de réduire le risque de contours exposés.
- Vérification manuelle : contrôle les détections manquées, les masques incorrects et les zones dans lesquelles des informations contextuelles permettent encore d’identifier une personne.
Gallio PRO utilise la détection de visages et la détection des plaques d’immatriculation pour le masquage automatique des visages et des plaques d’immatriculation dans les images et fichiers vidéo importés. Gallio PRO n’effectue pas d’anonymisation en temps réel ni d’anonymisation de flux vidéo. Les logos d’entreprise, tatouages, badges nominatifs, documents et contenus affichés sur des moniteurs ne sont pas détectés automatiquement. Ces éléments peuvent nécessiter un masquage manuel dans l’éditeur manuel intégré.
Principaux paramètres de pixellisation et indicateurs de qualité
La force de la pixellisation dépend principalement de la relation entre la taille des blocs et la taille de l’objet protégé. Une taille de bloc suffisante pour un visage éloigné peut être inadaptée pour un visage en gros plan enregistré à une résolution plus élevée.
Paramètre ou indicateur | Signification technique | Importance pour la protection de la vie privée
|
|---|---|---|
Taille des blocs | La largeur et la hauteur de chaque bloc de mosaïque, en pixels. | Des blocs plus grands suppriment davantage de détails, mais peuvent masquer une plus grande partie de l’image environnante. |
Largeur du visage ou de la plaque | La taille de l’objet détecté dans l’image d’origine. | Les réglages du masque doivent être évalués en fonction de la taille de l’objet, et non uniquement de la résolution de l’image complète. |
Marge du masque | Zone supplémentaire ajoutée à l’extérieur du cadre englobant détecté. | Réduit l’exposition des contours du visage, des caractères de la plaque et les erreurs aux limites de détection. |
Taux de détection | La proportion de visages ou de plaques pertinents détectés par le système. | Un faible taux de détection crée des données personnelles non masquées dans les fichiers de sortie. |
Taux de faux positifs | La proportion d’objets non ciblés masqués de manière incorrecte. | Un masquage excessif peut réduire la valeur probante ou opérationnelle des images. |
Stabilité temporelle | La cohérence du positionnement du masque entre les images vidéo. | Des masques instables peuvent révéler des informations protégées lors des mouvements. |
Les tests doivent utiliser des séquences représentatives, y compris dans des conditions de faible luminosité, de flou de mouvement, de vues de profil, de reflets, de scènes très fréquentées et de plaques d’immatriculation partiellement occultées. Un examen de la protection de la vie privée doit évaluer à la fois l’objet masqué et la scène dans son ensemble. Les vêtements, le lieu, les marquages du véhicule, la voix, les horodatages et le contexte de la séquence peuvent encore permettre une identification, même lorsqu’un visage est pixellisé.
Pixellisation, flou et résistance à la réidentification
La pixellisation et le flou sont des méthodes de masquage visuel, et non des mécanismes de contrôle des accès. Ils modifient les informations visibles dans une image ou une vidéo diffusée. Ils n’empêchent pas un destinataire autorisé de combiner le résultat avec d’autres informations.
Des recherches ont montré que l’apprentissage automatique peut déduire des informations à partir d’images difficiles à interpréter pour un être humain. McPherson, Shokri et Shmatikov ont démontré que des méthodes d’apprentissage profond pouvaient contourner plusieurs approches de masquage d’image, y compris la pixellisation, dans des conditions expérimentales ( Defeating Image Obfuscation with Deep Learning, 2016). Ce résultat ne signifie pas que toute image pixellisée permet d’identifier une personne. Il montre que l’apparence visuelle seule ne constitue pas un test suffisant de protection de la vie privée.
La pixellisation peut être moins résistante qu’un flou prononcé lorsque le motif des blocs préserve une structure faciale distinctive, telle que la position des yeux, la forme de la ligne des cheveux ou la disposition des caractères d’une plaque. À l’inverse, un flou léger peut conserver des caractéristiques lisibles ou reconnaissables. Il n’existe aucune taille de bloc, aucun rayon de flou ni aucun réglage de compression universel garantissant une résistance à la réidentification pour toutes les images.
Mesures pratiques pour les séquences pixellisées
Les organisations doivent considérer la pixellisation comme une mesure parmi d’autres au sein d’un processus documenté de communication d’images et de vidéos. Le réglage approprié dépend du destinataire prévu, de l’utilisation autorisée, de la qualité de l’image, de la durée de conservation et des conséquences d’une identification.
- Définissez l’objectif de la diffusion et identifiez les visages et plaques d’immatriculation qui doivent être masqués.
- Testez les réglages de pixellisation sur des séquences représentatives des conditions d’enregistrement les plus risquées.
- Examinez les échantillons à leur résolution native, et pas uniquement dans un aperçu réduit.
- Vérifiez les images vidéo consécutives afin de détecter tout décalage du masque et toute brève exposition.
- Évaluez les identifiants contextuels situés en dehors de la zone pixellisée.
- Documentez la méthode de masquage, la version du logiciel, les étapes de vérification et la décision d’approbation.
Normes et références
Aucune norme de l’Organisation internationale de normalisation (ISO) ou du National Institute of Standards and Technology (NIST) ne définit un seuil universel de pixellisation rendant les visages ou les plaques d’immatriculation anonymes. L’évaluation des risques doit être spécifique au jeu de données et au contexte de diffusion.
- ISO/IEC 29100:2011, Technologies de l’information - Techniques de sécurité - Cadre de protection de la vie privée. Cette norme décrit des principes et une terminologie relatifs à la protection de la vie privée applicables aux mesures de protection.
- NISTIR 8053, Désidentification des informations personnelles, 2015. Cette publication explique que le risque de désidentification dépend des données, des destinataires et des informations auxiliaires disponibles.
- McPherson, Shokri et Shmatikov, Defeating Image Obfuscation with Deep Learning, 2016. Cet article évalue des attaques contre plusieurs méthodes de masquage visuel.
- Newton et al., Preserving Privacy by De-Identifying Face Images, IEEE Transactions on Knowledge and Data Engineering, 2005. Cet article examine des approches techniques de désidentification des images de visages.