Wizerunek jako dana szczególnej kategorii - definicja
Sam wizerunek utrwalony na zdjęciu lub nagraniu wideo nie jest automatycznie daną szczególnej kategorii w rozumieniu art. 9 ust. 1 RODO. Co do zasady jest to dana osobowa, jeżeli pozwala zidentyfikować osobę bezpośrednio lub pośrednio zgodnie z art. 4 pkt 1 RODO, ale nie każda fotografia twarzy ma status danej biometrycznej. Próg kwalifikacji jest wyższy.
Zgodnie z art. 4 pkt 14 RODO danymi biometrycznymi są dane osobowe wynikające ze specjalnego przetwarzania technicznego, dotyczące cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej, które umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne. Kluczowe są więc łącznie trzy warunki: specjalne przetwarzanie techniczne, odniesienie do cech osoby oraz skutek w postaci jednoznacznej identyfikacji lub uwierzytelnienia.
W praktyce compliance oznacza to, że zwykłe przechowywanie nagrania z kamer, publikacja zdjęcia lub manualne obejrzenie materiału nie musi jeszcze oznaczać przetwarzania danych szczególnej kategorii. Wizerunek z nagrania staje się daną biometryczną z art. 9 RODO dopiero wtedy, gdy administrator stosuje techniki wyodrębniania i porównywania cech twarzy w sposób umożliwiający jednoznaczną identyfikację lub uwierzytelnienie osoby. Takie stanowisko wynika z RODO, z motywu 51 oraz z wytycznych Europejskiej Rady Ochrony Danych dotyczących przetwarzania danych biometrycznych i technologii rozpoznawania twarzy.
Próg kwalifikacji z art. 9 RODO w kontekście zdjęć i wideo
W praktyce ocena nie opiera się na samym fakcie, że na materiale widać twarz. Istotne jest to, czy system lub proces przekształca obraz twarzy w zestaw cech używany do rozróżnienia konkretnej osoby od innych osób. Dlatego trzeba odróżnić przetwarzanie obrazu do anonimizacji od przetwarzania obrazu do identyfikacji.
Poniższa tabela pokazuje podstawowe progi kwalifikacji.
Sytuacja | Czy to dane biometryczne z art. 9 RODO | Uzasadnienie
|
|---|---|---|
Zwykłe nagranie CCTV bez analizy twarzy | Zasadniczo nie | To dane osobowe, ale bez specjalnego przetwarzania technicznego ukierunkowanego na jednoznaczną identyfikację |
Automatyczne wykrycie twarzy wyłącznie w celu zamazania | Zasadniczo nie | Detekcja twarzy służy lokalizacji obszaru obrazu, a nie potwierdzeniu tożsamości konkretnej osoby |
Ekstrakcja embeddingu twarzy i porównanie z bazą wzorców | Tak | Występuje specjalne przetwarzanie techniczne i skutek w postaci jednoznacznej identyfikacji albo uwierzytelnienia |
Face verification 1:1 przy logowaniu lub kontroli dostępu | Tak | Przetwarzanie służy potwierdzeniu tożsamości konkretnej osoby |
Face recognition 1:N w zbiorze nagrań | Tak | Przetwarzanie służy znalezieniu i identyfikacji osoby wśród wielu rekordów |
Najważniejsze rozróżnienie dotyczy relacji między detekcją twarzy a identyfikacją twarzy. Detekcja odpowiada na pytanie, czy na klatce jest twarz i gdzie się znajduje. Identyfikacja odpowiada na pytanie, czyja to twarz. To nie są te same operacje ani pod względem technicznym, ani prawnym.
Znaczenie dla anonimizacji zdjęć i nagrań wideo
W procesach anonimizacji materiałów foto i wideo stosuje się zwykle modele detekcyjne oparte na deep learning. Są one konieczne po to, aby automatycznie odnaleźć twarze lub tablice rejestracyjne na obrazie, a następnie zastosować maskowanie, rozmycie albo pikselizację. Taki model AI nie musi jednak prowadzić do przetwarzania danych biometrycznych z art. 9 RODO, jeśli nie służy identyfikacji osoby.
W kontekście Gallio PRO oznacza to, że automatyczne zamazywanie twarzy i tablic rejestracyjnych co do zasady realizuje cel ochronny, a nie identyfikacyjny. Oprogramowanie nie służy do rozpoznawania tożsamości osób, nie wykonuje rozpoznawania twarzy w strumieniu wideo i nie zamazuje całych sylwetek. Automatycznie wykrywa wyłącznie twarze i tablice rejestracyjne. Inne elementy, takie jak dokumenty, identyfikatory, tatuaże, logotypy czy treść na ekranach, mogą być maskowane manualnie w edytorze.
Z perspektywy IOD istotne jest, aby udokumentować, że pipeline przetwarzania nie obejmuje tworzenia szablonów biometrycznych, porównywania cech twarzy z bazą oraz funkcji identyfikacji osoby. To ogranicza ryzyko wejścia w reżim art. 9 RODO.
Techniczne kryteria oceny procesu przetwarzania
Ocena zgodności nie powinna kończyć się na opisie funkcji marketingowej systemu. Trzeba sprawdzić, jakie operacje techniczne są rzeczywiście wykonywane na obrazie i jakie artefakty danych są zapisywane. W praktyce audytowej pomocne są następujące pytania.
- Czy system tworzy wektory cech twarzy, na przykład embedding 128D, 512D lub podobny.
- Czy te wektory są zapisywane, cache'owane lub przekazywane do innych usług.
- Czy wykonywane jest dopasowanie 1:1 albo wyszukiwanie 1:N.
- Czy wynik procesu brzmi „twarz wykryta w obszarze X,Y,W,H”, czy raczej „to osoba A z prawdopodobieństwem P”.
- Czy logi, metadane lub telemetria zawierają informacje pozwalające odtworzyć identyfikację.
Jeżeli odpowiedź na pierwsze trzy pytania jest twierdząca, zwykle istnieją mocne przesłanki do uznania, że dochodzi do przetwarzania danych biometrycznych. Jeżeli system kończy działanie na detekcji i maskowaniu obszaru twarzy, kwalifikacja może być inna.
Kluczowe parametry i metryki w systemach zamazywania twarzy
W projektach anonimizacji trzeba mierzyć skuteczność detekcji, bo to ona przesądza o poziomie ryzyka ujawnienia wizerunku. Parametry techniczne nie definiują same w sobie statusu prawnego danych, ale wpływają na ocenę adekwatności zabezpieczeń zgodnie z art. 5 ust. 1 lit. c oraz art. 32 RODO.
Parametr | Znaczenie praktyczne | Typowa interpretacja
|
|---|---|---|
Recall detekcji | Odsetek rzeczywistych twarzy wykrytych przez model | Niski recall zwiększa ryzyko pozostawienia niezamazanych twarzy |
Precision detekcji | Odsetek poprawnych detekcji wśród wszystkich detekcji | Niska precision zwiększa liczbę zbędnych masek |
False Negative Rate | Odsetek pominiętych twarzy | Krytyczny wskaźnik z perspektywy prywatności |
IoU - Intersection over Union | Zgodność obszaru wykrytego z obszarem referencyjnym | Zbyt mały box może nie zakryć całej twarzy |
Czas przetwarzania na plik lub klatkę | Wpływa na planowanie procesu i pojemność środowiska | Istotny w środowiskach on-premise i przy dużych wolumenach |
Dla funkcji anonimizacji ważniejszy od accuracy klasyfikacji jest niski poziom false negatives. W praktyce oznacza to preferencję dla ustawień modelu, które lepiej wykryją więcej twarzy kosztem części fałszywych alarmów, o ile materiał można zweryfikować przed publikacją lub udostępnieniem.
Odniesienia normatywne i rozbieżności interpretacyjne
Podstawą oceny są źródła pierwotne. Najważniejsze to RODO - rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r., stosowane od 25 maja 2018 r., w szczególności art. 4 pkt 1 i 14, art. 9 oraz motyw 51. Dodatkowo znaczenie mają wytyczne EROD oraz stanowiska organów nadzorczych dotyczące rozpoznawania twarzy.
W literaturze i praktyce organów istnieje zgodność co do tego, że nie każdy obraz twarzy jest daną szczególnej kategorii. Rozbieżności pojawiają się przy systemach pośrednich, które analizują twarz bardzo szczegółowo, ale formalnie nie mają modułu identyfikacyjnego. W takich przypadkach należy badać realny cel przetwarzania, architekturę systemu, logi, zakres metadanych i możliwość wtórnego użycia cech twarzy.
W przypadku udostępniania nagrań na zewnątrz, na przykład w odpowiedzi na wnioski, publikacje lub potrzeby dowodowe, bezpiecznym podejściem jest wcześniejsze zamazanie twarzy wszystkich osób, które nie mieszczą się w wyjątkach przewidzianych przez prawo dla rozpowszechniania wizerunku. To zmniejsza ryzyko naruszenia prywatności i ogranicza wtórne wykorzystanie materiału do identyfikacji biometrycznej.