Co należy anonimizować poza tablicami rejestracyjnymi? Lista kontrolna ochrony danych wizualnych

Anonimizacja danych wizualnych polega na takim przekształceniu zdjęć lub nagrań wideo, aby identyfikacja osób nie była możliwa przy użyciu środków, których rozsądnie można się spodziewać. Zgodnie z RODO oraz UK GDPR dane przestają być danymi osobowymi, jeżeli nie da się zidentyfikować osoby, biorąc pod uwagę koszty, czas oraz dostępne technologie [1]. W praktyce publikacyjnej anonimizacja danych wizualnych najczęściej opiera się na rozmywaniu twarzy oraz rozmywaniu tablic rejestracyjnych, jednak istnieje wiele innych elementów obrazu, które nadal mogą prowadzić do identyfikacji osoby. Ten artykuł koncentruje się na tym, co jeszcze wymaga uwagi przed publikacją zdjęć lub filmów.

Dlaczego samo rozmywanie tablic rejestracyjnych to za mało

Tablice rejestracyjne są tylko jednym z wielu powszechnych identyfikatorów. W praktyce ludzie bywają rozpoznawani po rysach twarzy, charakterystycznym ubiorze, tatuażach, identyfikatorach pracowniczych czy połączeniu miejsca, czasu i kontekstu. Organy nadzorcze regularnie podkreślają, że możliwość identyfikacji nie ogranicza się do imion czy numerów. Obejmuje ona wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, w tym poprzez odniesienie do jej tożsamości fizycznej, fizjologicznej, genetycznej, psychicznej, ekonomicznej, kulturowej lub społecznej [1]. Solidne podejście do anonimizacji danych wizualnych wykracza więc poza same pojazdy i obejmuje cały kontekst obrazu.

Lista kontrolna ochrony danych wizualnych dla zdjęć i wideo

Poniższa lista kontrolna wskazuje typowe elementy wizualne, które mogą ujawniać tożsamość. Pozycje zostały uporządkowane od najbardziej do najmniej prawdopodobnych w kontekście typowych scenariuszy publikacyjnych. Organizacje często uwzględniają te kroki w ramach standardowego podejścia do zgodności z RODO podczas przygotowywania materiałów na strony internetowe, raporty, media społecznościowe czy publiczne portale informacyjne.

1. Twarze i głowy. Stosuj rozmywanie twarzy zarówno w ujęciach frontalnych, jak i profilowych. Zwróć uwagę na częściowe odbicia twarzy w lustrach lub szybach.
2. Tatuaże, blizny i znamiona. Mogą być silnymi identyfikatorami. Często konieczne jest punktowe maskowanie wykraczające poza same twarze.
3. Widoczne identyfikatory pracownicze i karty ID. Rozmyj imiona, zdjęcia oraz kody kreskowe lub QR na smyczach i identyfikatorach uchwyconych w kadrze.
4. Ubrania z imionami lub numerami. Koszulki drużynowe, spersonalizowane kurtki, mundurki szkolne z nazwiskami czy kamizelki odblaskowe z nadrukowanymi oznaczeniami powinny zostać zamaskowane.
5. Sylwetka i sposób poruszania się. Charakterystyczna budowa ciała lub chód mogą umożliwiać identyfikację (szczególnie w małych społecznościach lub w wąskich kontekstach). W takich przypadkach może być potrzebne kadrowanie lub rozmycie całej sylwetki.
6. Numery domów i dzwonki, gdy są powiązane z osobami. Wyraźny numer domu w połączeniu z obecnością mieszkańca lub oczywistym związkiem może przyczyniać się do identyfikacji.
7. Cechy pojazdu inne niż tablice. Oznaczenia firmowe, numery jednostek, sygnały wywoławcze czy unikalne naklejki mogą identyfikować kierowcę w połączeniu z czasem i lokalizacją.
8. Ekrany i urządzenia noszone wyświetlające dane. Powiadomienia na smartwatchach, ekrany telefonów czy wyświetlacze w pojazdach mogą ujawniać tożsamość lub informacje prywatne. Najlepiej sprawdza się kadrowanie.
9. Wizerunek dzieci i oznaczenia szkolne. W przypadku małoletnich powszechną praktyką jest bardziej zachowawcze maskowanie twarzy, identyfikatorów imiennych i rozpoznawalnych herbów szkół.
10. Kontekst wrażliwy. Zdjęcia osób wchodzących do placówek medycznych, miejsc kultu religijnego czy siedzib związków zawodowych mogą ujawniać lub silnie sugerować dane szczególnych kategorii poprzez sam kontekst. W takich przypadkach zazwyczaj stosuje się maskowanie osoby (a czasem także innych elementów kontekstu).

Miejsca publiczne nie stanowią „strefy wolnej od publikacji”. Jeżeli osoba jest możliwa do zidentyfikowania, zastosowanie mają RODO lub UK GDPR. Przed publikacją nadal konieczna jest kontekstowa ocena ryzyka.

Trzy ograniczone wyjątki, gdy rozmywanie może nie być konieczne

Istnieją wąskie przypadki, w których anonimizacja danych wizualnych może nie być wymagana. Nie zwalniają one jednak z obowiązku oceny i stosowania zabezpieczeń:

1. Wyjątek domowy. Przetwarzanie przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze pozostaje poza zakresem RODO [1, art. 2 ust. 2 lit. c].
2. Cele dziennikarskie, naukowe, artystyczne lub literackie. Państwa członkowskie przewidują wyjątki w celu pogodzenia ochrony danych z wolnością wypowiedzi i informacji [1, art. 85]. W Wielkiej Brytanii realizuje to ustawa Data Protection Act 2018 - przepisy o tzw. celach szczególnych [3].
3. Brak rozsądnie prawdopodobnej identyfikacji. Jeżeli osoby nie są możliwe do zidentyfikowania przy użyciu środków, których rozsądnie można się spodziewać, RODO nie ma zastosowania [1, motyw 26]. Wymaga to jednak starannej, zależnej od kontekstu oceny.

Przetwarzanie danych przez organy ścigania przez właściwe organy podlega odrębnemu reżimowi prawnemu (w UE: dyrektywa policyjna wdrożona do prawa krajowego; w UK: DPA 2018, część 3) i nie jest tu omawiane. W przypadku publikacji biznesowych i sektora publicznego powyższe trzy sytuacje graniczne są najistotniejsze.

Zastosowanie technologii: automatyzacja, weryfikacja i oprogramowanie on‑premise

Automatyzacja ułatwia skalowanie anonimizacji danych wizualnych. Narzędzia mogą wykrywać twarze i tablice rejestracyjne, a następnie stosować maskowanie lub rozmywanie. Dokładność i koszt zależą od złożoności sceny, kątów kamery, oświetlenia oraz jakości modeli. W przypadku publikacji wysokiego ryzyka lub materiałów o wrażliwym kontekście standardem pozostaje dodatkowy etap weryfikacji przez człowieka.

Oprogramowanie on‑premise jest często preferowane tam, gdzie materiały są wrażliwe lub gdzie polityki ograniczają transfer danych do serwerów podmiotów trzecich. Przetwarzanie w kontrolowanej infrastrukturze może zmniejszyć ryzyko związane z transferem danych i ekspozycją na dostawców. W przypadku rozwiązań chmurowych wydawcy zwykle analizują lokalizację danych, okresy retencji, kontrolę dostępu oraz logowanie.

Sprawdź Gallio PRO - automatyczne rozmywanie twarzy i tablic rejestracyjnych z opcjami wdrożenia zgodnymi z ładem korporacyjnym.

Operacyjna lista kontrolna przed publikacją

1. Określ cel i podstawę prawną. Często stosowaną podstawą są prawnie uzasadnione interesy; w niektórych kontekstach właściwa może być zgoda - zależnie od relacji, miejsca i oczekiwań.
2. Zidentyfikuj wszystkie identyfikatory wizualne. Skorzystaj z powyższej listy, nie ograniczając się do tablic rejestracyjnych.
3. Dobierz techniki. Łącz rozmywanie twarzy, rozmywanie tablic rejestracyjnych oraz punktowe maskowanie tatuaży, identyfikatorów czy numerów domów.
4. Zdecyduj o miejscu przetwarzania. Wybierz oprogramowanie on‑premise, gdy ryzyka transferu danych są nieakceptowalne.
5. Dodaj kontrolę jakości. Stosuj dodatkową weryfikację w przypadku materiałów z udziałem dzieci lub wrażliwych kontekstów.
6. Dokumentuj decyzje. Zachowuj ślad audytowy tego, co zostało zamaskowane i dlaczego, wraz z uzasadnieniem ewentualnego ryzyka resztkowego.

Zespoły zainteresowane praktycznym testem mogą pobrać demo i sprawdzić rozwiązanie na reprezentatywnych materiałach.

Elementy RODO i UK GDPR istotne przy publikacji obrazów

W przypadku pytań wdrożeniowych lub dopasowanych opcji implementacji skontaktuj się z nami.

Najczęstsze błędy, których warto unikać

Poleganie na argumencie „miejsce publiczne” to częste nieporozumienie. Sam fakt wykonania zdjęcia w przestrzeni publicznej nie znosi obowiązków, jeśli osoby są możliwe do zidentyfikowania. Innym problemem jest maskowanie wyłącznie twarzy przy pozostawieniu widocznych tatuaży lub ubrań z imionami. Wreszcie, nie należy polegać wyłącznie na ręcznej weryfikacji przy dużej skali. Połączenie automatycznego wykrywania z udokumentowanym etapem kontroli daje bardziej spójne rezultaty.

FAQ - Co należy anonimizować poza tablicami rejestracyjnymi?

Czy rozmywanie twarzy jest zawsze wymagane?

Nie zawsze. Jeżeli osoby nie są możliwe do zidentyfikowania ze względu na odległość lub jakość obrazu, RODO może nie mieć zastosowania. Jest to zależne od kontekstu i powinno być udokumentowane w odniesieniu do kryteriów z motywu 26.

A co z logo firm na zdjęciach?

Logo samo w sobie nie stanowi danych osobowych. Jeżeli jednak jest silnie powiązane z konkretną osobą w danym kadrze (np. nazwany pracownik w małej lokalnej firmie), należy ocenić, czy inne identyfikatory nie umożliwiają identyfikacji. W przeciwnym razie maskowanie logo to zwykle kwestia marki, poufności lub umów, a nie ochrony danych.

Czy mundury wymagają maskowania?

Mundury z imionami, numerami lub unikalnymi lokalnymi oznaczeniami mogą identyfikować osoby. Maskowanie tych elementów jest powszechną praktyką zgodności, podczas gdy jednolite, anonimowe mundury zazwyczaj nie wymagają maskowania z tej przyczyny.

Jak postępować z wizerunkiem dzieci na zdjęciach z wydarzeń?

Stosuj zachowawcze maskowanie twarzy i identyfikatorów imiennych, o ile nie istnieje odpowiednia podstawa prawna i zabezpieczenia. Sprawdzaj zdjęcia pod kątem oznaczeń szkolnych i przewidywalnej ponownej identyfikacji poprzez kontekst.

Czy zgoda jest lepsza niż anonimizacja?

Zgoda może być właściwa w niektórych sytuacjach, ale musi być dobrowolna, konkretna, świadoma i jednoznaczna oraz możliwa do wycofania tak samo łatwo, jak została udzielona. Przy szerokiej publikacji publicznej zarządzanie zgodami bywa trudne. Anonimizacja danych wizualnych zmniejsza identyfikowalność i może obniżyć ryzyko zgodności, jednak oba podejścia powinny być dopasowane do celu i kontekstu.

Czy narzędzia automatyczne mogą pominąć twarz?

Tak. Skuteczność wykrywania zależy od kontekstu. Słabe oświetlenie, nietypowe kąty, odbicia czy zasłonięcia mogą powodować błędy. W przypadku publikacji wysokiego ryzyka zalecany jest udokumentowany etap weryfikacji przez człowieka.

Czy dźwięk również należy modyfikować?

Ten artykuł dotyczy anonimizacji danych wizualnych. Jeżeli nagrania zawierają dźwięk, konieczna jest odrębna ocena dotycząca głosów lub wypowiedzi umożliwiających identyfikację.