TL;DR: Dla audytora RODO sam zanonimizowany plik to za mało - liczy się dokumentacja, z której wynika kto podjął decyzję, jaki był cel publikacji, co zamazano, czego nie, i na jakiej podstawie. Potrzebne są dwa dokumenty: raport anonimizacji pojedynczego materiału i zbiorczy rejestr anonimizacji - oba prowadzone po stronie administratora. Narzędzie takie jak Gallio PRO wykonuje anonimizację (automatycznie twarze i tablice rejestracyjne, resztę ręcznie w edytorze), ale nie zastępuje rejestru zgodności. Poniżej gotowe wzory do skopiowania. Pobierz wersję demo i od razu buduj rejestr po swojej stronie.
Anonimizacja danych wizualnych to trwałe ograniczenie identyfikowalności osób i pojazdów na zdjęciach i nagraniach przed publikacją - w praktyce najczęściej face blurring i license plate blurring. Dla audytora samo zastosowanie narzędzia nie wystarcza. Dokumentacja jest zwykle najsłabszym ogniwem: organizacja może mieć poprawnie przygotowane materiały, ale bez rejestru i raportu nie wykaże rozliczalności z art. 5 ust. 2 RODO [1]. Ten artykuł dotyczy wyłącznie zestawu dowodów, których oczekuje audytor, oraz wzoru rejestru anonimizacji.
Audytor zwykle nie zaczyna od pytania o funkcje programu, lecz o to, czy administrator potrafi wykazać zgodność decyzji publikacyjnej z zasadami zgodności z prawem, minimalizacji danych i rozliczalności [1]. W przypadku materiałów wizualnych oznacza to trzy poziomy kontroli.
Pierwszy poziom - podstawa publikacji. Jeżeli na materiale występuje osoba możliwa do rozpoznania, organizacje opierają się zwykle na zgodzie, uzasadnionym interesie albo na wyjątkach dotyczących rozpowszechniania wizerunku. Obowiązek anonimizacji twarzy nie wynika automatycznie z jednego przepisu, lecz z oceny podstawy przetwarzania i ryzyka naruszenia praw osoby, z uwzględnieniem RODO, Kodeksu cywilnego oraz prawa autorskiego. Prawo autorskie przewiduje wyjątki od wymogu zezwolenia na rozpowszechnianie wizerunku, w szczególności gdy: (1) chodzi o osobę powszechnie znaną, a wizerunek wykonano w związku z pełnieniem przez nią funkcji publicznych; (2) osoba stanowi jedynie szczegół całości, takiej jak zgromadzenie, krajobraz lub publiczna impreza; (3) osoba otrzymała umówioną zapłatę za pozowanie i nie zastrzegła inaczej. Każdy wyjątek powinien być opisany w dokumentacji, a nie zakładany automatycznie.
Drugi poziom - zakres anonimizacji. Audytor sprawdza, czy organizacja zdefiniowała, jakie kategorie elementów wizualnych podlegają ukryciu. W przypadku Gallio PRO automatyczna detekcja obejmuje wyłącznie twarze i tablice rejestracyjne. Narzędzie nie zamazuje całych sylwetek, nie wykonuje anonimizacji w czasie rzeczywistym ani anonimizacji strumienia wideo, a także nie wykrywa automatycznie logotypów firm, tatuaży, tabliczek z imionami, dokumentów czy obrazu na ekranach monitorów. Takie elementy można zamazywać manualnie w edytorze - co powinno znaleźć odzwierciedlenie w raporcie z przetwarzania.
Trzeci poziom - dowody wykonania. Audytor oczekuje śladu decyzyjnego: trzeba wykazać, że materiał został poddany przeglądowi, a nie tylko przepuszczony przez narzędzie. To szczególnie ważne przy zdjęciach wydarzeń, materiałach promocyjnych, filmach z przestrzeni publicznej i nagraniach z udziałem pojazdów.
W audycie RODO liczy się nie tylko efekt końcowy, ale możliwość odtworzenia procesu decyzyjnego. Sam plik po zamazaniu pokazuje rezultat, lecz nie odpowiada na pytania: kto zatwierdził publikację, jaka była podstawa prawna, czy sprawdzono wyjątki dotyczące wizerunku, czy wykonano kontrolę manualną i czy rozważono ryzyko ponownej identyfikacji.
Dlatego dobrą praktyką są dwa dokumenty: raport anonimizacji konkretnego materiału oraz rejestr anonimizacji porządkujący wszystkie operacje w czasie. Rejestr powinien prowadzić administrator. Ma to znaczenie dowodowe: Gallio PRO nie zastępuje rejestru zgodności ani nie dokumentuje samodzielnie podstawy publikacji, wyjątków dotyczących wizerunku czy decyzji administratora - rejestr powstaje po stronie administratora.
Najczęściej sprawdza się prosty model: jeden raport dla materiału i jeden rejestr zbiorczy. Raport służy do oceny pojedynczego zdjęcia, zestawu zdjęć albo pliku wideo. Rejestr pozwala audytorowi szybko przejść przez całość publikacji z danego okresu.
Raport powinien mieć formę możliwie prostą. W praktyce warto zastosować następujące pola:
Każde pole ma znaczenie dowodowe. Identyfikator i data tworzą ślad audytowy; opis materiału i cel publikacji dają kontekst; pole podstawy/wyjątku pokazuje, że decyzja nie była przypadkowa. Rubryka o przeglądzie manualnym jest szczególnie ważna, bo automatyczne wykrywanie nie obejmuje wszystkich kategorii informacji widocznych w kadrze.
Rejestr powinien być zbiorczy, aktualny i łatwy do filtrowania. Najlepiej sprawdza się arkusz lub system rejestrowy z następującymi kolumnami:
Kolumna | Co wpisać? | Dlaczego audytor to sprawdza? |
Nr wpisu | Kolejny numer operacji | Pozwala ustalić ciągłość rejestru |
Identyfikator raportu | Powiązanie z raportem jednostkowym | Łączy rejestr z dowodem szczegółowym |
Data anonimizacji | Dzień wykonania przeglądu i zmian | Umożliwia weryfikację terminów |
Rodzaj materiału | Zdjęcie, galeria, nagranie wideo | Porządkuje zakres operacji |
Cel publikacji | Marketing, PR, informacja publiczna | Łączy anonimizację z celem przetwarzania |
Elementy automatycznie zamazane | Twarze, tablice rejestracyjne | Pokazuje, co objęto standardowym procesem |
Elementy zamazane manualnie | Np. dokument, ekran monitora, identyfikator | Potwierdza kontrolę ręczną |
Podstawa lub wyjątek | Opis przyjętej podstawy lub wyjątku | Weryfikuje legalność publikacji |
Decyzja końcowa | Opublikowano, poprawiono, odrzucono | Pokazuje wynik procesu |
Osoba zatwierdzająca | Imię i nazwisko lub rola | Przypisuje odpowiedzialność |
Taki rejestr nie powinien być budowany na podstawie logów technicznych narzędzia, lecz na podstawie decyzji administratora. Jeżeli organizacja korzysta z rozwiązania instalowanego lokalnie jako on-premise software, łatwiej opisać kontrolę nad środowiskiem i dostępem do materiału. W bardziej złożonych przypadkach - zwłaszcza dla środowisk korporacyjnych i indywidualnych wymagań wdrożeniowych - warto skontaktować się z zespołem i uzgodnić model pracy odpowiedni dla danego przypadku compliance.
Zobacz, jak Gallio PRO anonimizuje nagrania wideo.
Nie warto używać ogólników typu „zanonimizowano dane osobowe". Audytor oczekuje konkretu - lepsza jest formuła: „zastosowano face blurring wobec osób możliwych do rozpoznania oraz license plate blurring wobec tablic rejestracyjnych widocznych w materiale".
W odniesieniu do tablic warto opisać przyjętą logikę zgodności. W praktyce europejskiej ich zamazywanie przed publikacją jest często traktowane jako środek ostrożności, ale ocena zależy od kontekstu i prawa krajowego. W Polsce sytuacja pozostaje niejednoznaczna: w części orzecznictwa i praktyki przyjmuje się, że numer rejestracyjny może stanowić daną osobową, jeśli pozwala zidentyfikować osobę rozsądnie prawdopodobnymi środkami, a w innych sprawach wskazywano, że sama tablica nie zawsze identyfikuje osobę fizyczną. W dokumentacji warto odnotować, że organizacja przyjmuje ostrożnościowy model publikacji i dlatego stosuje license plate blurring jako praktykę compliance. To nie porada prawna, lecz typowe podejście ograniczające ryzyko.
Najlepsza dokumentacja jest zwięzła, ale sprawdzalna. Dla audytora liczy się możliwość prześledzenia materiału od decyzji do publikacji, więc w każdym raporcie wystarczą trzy kroki: (1) identyfikacja materiału i celu publikacji; (2) wskazanie, jakie elementy objęto automatycznym rozpoznaniem, a jakie wymagały korekty ręcznej; (3) zatwierdzenie końcowe wraz z uzasadnieniem.
Jeżeli chcesz przetestować taki obieg na własnych materiałach, sprawdź proces w praktyce, pobierając wersję demonstracyjną. Na etapie testów warto od razu budować własny rejestr po stronie administratora, bo samo narzędzie nie pełni funkcji rejestru zgodności.
Najczęściej problemem nie jest brak anonimizacji, lecz brak opisu wyjątków dotyczących wizerunku. Organizacje publikują zdjęcia z wydarzeń, zakładając, że szeroka scena zawsze zwalnia z dalszej oceny - a to bywa zbyt daleko idące: jeżeli kadr eksponuje konkretną osobę, sama obecność tłumu nie rozwiązuje problemu. Drugim częstym brakiem jest pomijanie przeglądu manualnego: skoro automatyczna detekcja obejmuje wyłącznie twarze i tablice, w materiale mogą pozostać inne elementy umożliwiające identyfikację. Trzecim - brak przypisania odpowiedzialności: audytor powinien widzieć, kto ocenił materiał i kto dopuścił go do publikacji.
Opis narzędzia powinien być precyzyjny i powściągliwy. Warto wskazać, że wykorzystywane jest on-premise software do visual data anonymization zdjęć i nagrań, które automatycznie zamazuje tylko twarze i tablice rejestracyjne, a pozostałe elementy mogą być ukrywane manualnie w edytorze. Nie należy deklarować funkcji, których oprogramowanie nie ma. Dla Gallio PRO istotne jest zwłaszcza to, że nie zamazuje całych sylwetek, nie działa w czasie rzeczywistym i nie zastępuje rejestru zgodności prowadzonego przez administratora. Taki opis jest bardziej wiarygodny niż marketingowe skróty - audytorzy cenią jasne granice odpowiedzialności: narzędzie wspiera anonimizację materiału, ale decyzję o publikacji i obowiązek prowadzenia rejestru ponosi administrator.
Nie zawsze wynika to wprost z przepisu, ale to częsta i racjonalna praktyka compliance. Rejestr ułatwia wykazanie rozliczalności, celu publikacji, zakresu zamazania i osoby zatwierdzającej.
To zależy od skali i ryzyka. W praktyce można grupować materiały w logiczne zestawy, np. galerię z jednego wydarzenia, o ile opis pozostaje jednoznaczny i możliwy do zweryfikowania.
Nie. Audytor zwykle oczekuje dowodu przeglądu, zakresu anonimizacji, podstawy publikacji i decyzji końcowej. Sam fakt użycia narzędzia nie zamyka obowiązków administratora.
Nie zawsze można to ująć jako bezwzględny obowiązek. W praktyce wiele organizacji przyjmuje podejście ostrożnościowe i zamazuje tablice dla ograniczenia ryzyka, zwłaszcza przy publikacjach ogólnodostępnych.
Nie. Rejestr powinien prowadzić administrator. Jest to spójne z założeniem, że narzędzie nie zastępuje dokumentacji zgodności ani decyzji publikacyjnych podejmowanych po stronie administratora.
Nie. Automatyczna detekcja obejmuje wyłącznie twarze i tablice rejestracyjne. Logotypy, tatuaże, tabliczki z imionami, dokumenty i obraz na monitorach wymagają oceny oraz ewentualnego zamazania manualnego.
Tak, jeżeli publikacja obejmuje osoby możliwe do rozpoznania albo pojazdy z widocznymi tablicami. Właśnie w marketingu i PR najczęściej trzeba wykazać, że decyzja publikacyjna była świadoma i udokumentowana.
Tekst przygotował zespół Gallio PRO - specjaliści od ochrony danych i inżynierii wideo, tworzący oprogramowanie do anonimizacji wykorzystywane w bezpieczeństwie, sektorze publicznym i mediach. Materiał ma charakter informacyjny i nie stanowi porady prawnej.
Buduj dokumentację audytową od pierwszego materiału - pobierz bezpłatne demo Gallio PRO →
