Nieodwracalność anonimizacji - definicja
Nieodwracalność anonimizacji oznacza taki stan przetworzenia zdjęcia lub nagrania wideo, w którym nie można już zidentyfikować osoby fizycznej przy użyciu środków, które można rozsądnie zastosować. W praktyce chodzi o trwałe usunięcie albo zniszczenie cech identyfikujących, takich jak twarz lub tablica rejestracyjna, a nie tylko o ich ukrycie w sposób możliwy do cofnięcia.
W prawie Unii Europejskiej punkt odniesienia stanowi motyw 26 RODO, czyli rozporządzenia (UE) 2016/679. Zgodnie z nim zasady ochrony danych nie mają zastosowania do informacji anonimowych, jeżeli osoba nie jest lub przestała być możliwa do zidentyfikowania. Ocena nieodwracalności nie jest absolutna. Uwzględnia się dostępne technologie, koszt, czas, kontekst oraz prawdopodobieństwo użycia określonych metod reidentyfikacji.
W anonimizacji zdjęć i wideo nieodwracalność zależy od tego, czy zamazanie zostało trwale zapisane w obrazie wynikowym. Jeżeli twarz lub tablica rejestracyjna została jedynie przykryta warstwą edycyjną, filtrem w projekcie montażowym albo efektem możliwym do usunięcia, anonimizacja nie jest nieodwracalna. Jeżeli natomiast piksele identyfikujące zostały zastąpione nowymi pikselami, a oryginał nie jest dostępny dla odbiorcy, ryzyko odwrócenia jest istotnie niższe.
Dlaczego nieodwracalność przesądza o statusie danych?
Status materiału po zamazaniu zależy od tego, czy dana osoba nadal może być zidentyfikowana. To rozróżnienie ma bezpośrednie znaczenie dla Inspektora Ochrony Danych, ponieważ od tego zależy, czy do pliku nadal stosuje się RODO.
Stan materiału | Charakter techniczny | Status prawny według RODO
|
|---|---|---|
Oryginalne nagranie z widoczną twarzą | Pełne cechy identyfikujące | Dane osobowe, art. 4 pkt 1 RODO |
Materiał z odwracalną maską lub warstwą | Ukrycie, nie zniszczenie informacji | Nadal dane osobowe |
Materiał po pseudonimizacji | Możliwa identyfikacja przy użyciu dodatkowych informacji | Dane osobowe, jeżeli możliwa jest identyfikacja przy użyciu dodatkowych informacji; art. 4 pkt 5 i motyw 26 RODO |
Materiał po trwałym usunięciu cech identyfikujących | Brak rozsądnie dostępnej ścieżki reidentyfikacji | Informacja anonimowa, poza zakresem RODO według motywu 26 |
W praktyce samo użycie słowa „anonimizacja” nie wystarcza. Należy wykazać, że zastosowana metoda faktycznie usuwa możliwość identyfikacji w konkretnym kontekście użycia materiału.
Kiedy zamazanie twarzy jest trwałe?
Trwałe zamazanie twarzy wymaga modyfikacji pikseli w pliku wynikowym. Efekt powinien być zapisany w materiale eksportowanym, a nie jedynie w projekcie edycyjnym lub metadanych odtwarzacza.
Za technicznie silniejsze uznaje się metody destrukcyjne, które nie zachowują struktury twarzy w sposób pozwalający na jej rekonstrukcję. Należą do nich między innymi pełne wypełnienie obszaru jednolitym kolorem, mozaikowanie o dużym rozmiarze bloku, silne rozmycie oraz trwałe zakrycie maską. W przypadku wideo ważna jest też stabilność maski w czasie, ponieważ pojedyncze niezamazane klatki mogą ujawnić tożsamość osoby.
Przykładowe warunki trwałości są następujące:
- efekt jest „wypalony” w pliku wynikowym, a nie przechowywany jako osobna warstwa,
- oryginalny materiał nie jest przekazywany odbiorcy razem z wersją zanonimizowaną,
- w pliku nie pozostają miniatury, ścieżki podglądu ani metadane zawierające obraz sprzed anonimizacji,
- maski obejmują twarz w każdej klatce, także przy ruchu głowy, częściowym zasłonięciu i zmianie oświetlenia,
- jakość pozostałych cech sceny, takich jak ubiór, głos lub kontekst miejsca, nie pozwala samodzielnie zidentyfikować osoby.
Kiedy zamazanie jest odwracalne?
Zamazanie jest odwracalne wtedy, gdy informacja identyfikująca nadal istnieje albo może zostać odzyskana z innych elementów procesu. Dotyczy to zarówno błędów technicznych, jak i błędów organizacyjnych.
Najczęstsze sytuacje odwracalności obejmują następujące przypadki:
- zachowanie oryginału w tym samym repozytorium, do którego dostęp ma odbiorca pliku po anonimizacji,
- użycie filtra w edytorze wideo bez renderowania efektu do finalnych pikseli,
- zastosowanie zbyt słabego rozmycia, które pozostawia geometrię twarzy, kontur oczu, nosa lub ust,
- pozostawienie pojedynczych klatek bez maski, szczególnie przy szybkim ruchu kamery,
- zapis pliku w formacie projektowym, który przechowuje historię edycji, warstwy lub ścieżki źródłowe,
- pozostawienie dźwięku, napisów, nazwy pliku, lokalizacji lub innych informacji umożliwiających identyfikację.
Istotne są także metody rekonstrukcji obrazu. Techniki super-resolution i modele generatywne mogą poprawiać jakość rozmytego obrazu, ale nie zawsze odtwarzają rzeczywiste dane źródłowe. Dla oceny RODO ważne jest jednak nie to, czy rekonstrukcja jest idealna, lecz czy umożliwia identyfikację osoby z wystarczającym prawdopodobieństwem w danym kontekście.
Kluczowe parametry oceny nieodwracalności anonimizacji
Ocena nieodwracalności powinna być udokumentowana. Nie wystarczy wskazać, że zastosowano rozmycie. Trzeba określić parametry, zakres detekcji i kontrolę jakości.
Parametr | Znaczenie praktyczne | Ryzyko przy złej konfiguracji
|
|---|---|---|
Recall detekcji twarzy lub tablic | Odsetek obiektów poprawnie wykrytych przez model | Niezamazane obiekty w części klatek |
Precyzja detekcji | Odsetek poprawnych detekcji wśród wszystkich zaznaczeń | Nadmierne maskowanie elementów nieistotnych |
Rozmiar maski | Margines wokół twarzy lub tablicy | Widoczne krawędzie cech identyfikujących |
Stabilność czasowa | Ciągłość maski między klatkami | Ujawnienie tożsamości w pojedynczych klatkach |
Format eksportu | Sposób utrwalenia zmian w pliku końcowym | Możliwość usunięcia warstwy anonimizującej |
W systemach takich jak Gallio PRO automatyczne zamazywanie dotyczy twarzy i tablic rejestracyjnych. Inne elementy, na przykład logotypy, tatuaże, tabliczki z imionami, dokumenty lub obraz na monitorze, wymagają oceny operatora i mogą być zamazane ręcznie w edytorze.
Nieodwracalność anonimizacji w workflow zdjęć i wideo
Bezpieczny proces anonimizacji powinien oddzielać materiał źródłowy od materiału udostępnianego. Ma to znaczenie zwłaszcza wtedy, gdy nagrania pochodzą z monitoringu, kamer nasobnych, kamer samochodowych lub dokumentacji zdarzeń.
Praktyczny schemat kontroli obejmuje kilka kroków:
- import materiału źródłowego do środowiska kontrolowanego, najlepiej on-premise, jeżeli polityka organizacji tego wymaga,
- automatyczne wykrywanie twarzy i tablic rejestracyjnych,
- weryfikację klatek problematycznych przez operatora,
- ręczne zamazanie elementów niewykrywanych automatycznie, jeżeli mogą identyfikować osobę,
- eksport pliku z trwale naniesionymi maskami,
- kontrolę jakości pliku wynikowego,
- oddzielne zarządzanie retencją oryginału i wersji zanonimizowanej.
Jeżeli oryginał pozostaje w organizacji, nie oznacza to automatycznie, że wersja udostępniona na zewnątrz nie może być anonimowa. Trzeba jednak ocenić, kto ma dostęp do oryginału, czy możliwe jest powiązanie plików oraz czy odbiorca ma realną możliwość reidentyfikacji.
Odniesienia normatywne i standardy dla nieodwracalności anonimizacji
Nieodwracalność anonimizacji jest oceniana na styku prawa i techniki. Najważniejsze źródła wskazują, że anonimizacja wymaga oceny ryzyka reidentyfikacji, a nie samego zastosowania określonego filtra graficznego.
- RODO, rozporządzenie (UE) 2016/679, motyw 26 - kryterium identyfikowalności osoby przy użyciu rozsądnie prawdopodobnych środków.
- RODO, art. 4 pkt 1 - definicja danych osobowych.
- RODO, art. 4 pkt 5 - definicja pseudonimizacji, która co do zasady pozwala na przypisanie danych osobie przy użyciu dodatkowych informacji.
- Article 29 Working Party, Opinion 05/2014 on Anonymisation Techniques, WP216, 10 kwietnia 2014 r. - opis ryzyk takich jak singling out, linkability i inference.
- EDPB, Guidelines 04/2020 on the use of location data and contact tracing tools in the context of the COVID-19 outbreak, wersja 1.1 z 21 kwietnia 2020 r. - podkreślenie, że anonimizacja musi być skuteczna i nieodwracalna w świetle dostępnych środków.
- EDPB, Guidelines 3/2019 on processing of personal data through video devices, wersja 2.0 z 29 stycznia 2020 r. - wskazówki dotyczące przetwarzania danych w nagraniach wideo, w tym wizerunku i identyfikatorów takich jak tablice rejestracyjne.
- ISO/IEC 20889:2018, Privacy enhancing data de-identification terminology and classification of techniques - klasyfikacja technik deidentyfikacji.
- ISO/IEC 27559:2022, Privacy enhancing data de-identification framework - ramy zarządzania deidentyfikacją i oceną ryzyka.
W polskim kontekście należy dodatkowo uwzględniać stanowiska UODO i EROD dotyczące wizerunku oraz tablic rejestracyjnych. W przypadku tablic istnieje rozbieżność: wytyczne UODO, EROD oraz ogólny kierunek orzecznictwa TSUE dotyczącego identyfikowalności wskazują na potrzebę ostrożnego traktowania takich informacji, natomiast w orzecznictwie NSA występuje pogląd, że tablice rejestracyjne nie zawsze stanowią dane osobowe.