Anonimizacja w mobilnym mapowaniu - definicja
Anonimizacja w mobilnym mapowaniu to proces usuwania lub nieodwracalnego zasłaniania danych identyfikujących osoby na zdjęciach panoramicznych, sekwencjach wideo i obrazach pozyskanych podczas przejazdów pomiarowych. W praktyce dotyczy głównie wykrywania twarzy oraz tablic rejestracyjnych, a następnie ich zamazywania przed publikacją warstwy mapowej, udostępnieniem materiału klientowi lub przekazaniem go do dalszej analizy.
W tym kontekście anonimizacja nie oznacza ogólnego „ukrycia danych”. Oznacza takie przekształcenie obrazu wynikowego, aby osoba fizyczna nie była możliwa do zidentyfikowania bezpośrednio ani pośrednio przy użyciu środków, które z rozsądnym prawdopodobieństwem mogą zostać wykorzystane, w tym na podstawie widocznej twarzy, numeru rejestracyjnego pojazdu oraz kontekstu lokalizacji i czasu wykonania zdjęcia. Punkt odniesienia stanowi motyw 26 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r., czyli RODO, zgodnie z którym dane uznaje się za anonimowe, jeżeli osoba, której dane dotyczą, nie jest lub przestała być możliwa do zidentyfikowania.
W mobilnym mapowaniu anonimizacja jest etapem publikacyjnym i kontrolnym dotyczącym materiału wynikowego. Nie jest tym samym co pseudonimizacja z art. 4 pkt 5 RODO, ponieważ po skutecznej anonimizacji materiału wynikowego nie powinno istnieć odwracalne powiązanie z osobą. Nie jest też wykrywaniem tożsamości. System wykrywa twarze jako obiekty w obrazie, a nie rozpoznaje konkretnych osób.
Rola anonimizacji w zdjęciach panoramicznych i przejazdach pomiarowych
Przejazdy pomiarowe rejestrują przestrzeń publiczną z dużą szczegółowością. Materiał może obejmować pieszych, kierowców, pasażerów, zaparkowane samochody oraz posesje prywatne widoczne z drogi. Połączenie obrazu z geolokalizacją i znacznikiem czasu zwiększa ryzyko identyfikacji.
Typowy proces anonimizacji w mobilnym mapowaniu obejmuje kilka etapów operacyjnych:
- import zdjęć panoramicznych, klatek wideo lub sekwencji obrazów z systemu pomiarowego,
- automatyczne wykrywanie twarzy i tablic rejestracyjnych w materiale źródłowym,
- nałożenie maski anonimizującej, najczęściej rozmycia, pikselizacji albo pełnego zasłonięcia,
- kontrolę jakości, w tym przegląd przypadków trudnych, takich jak odbicia w szybach, tablice pod kątem lub częściowo zasłonięte twarze,
- ręczną korektę elementów niewykrytych automatycznie,
- eksport zanonimizowanych panoram, kafli mapowych lub plików wynikowych do publikacji.
Gallio PRO działa w tym modelu jako oprogramowanie do przetwarzania materiału po jego zarejestrowaniu. Nie wykonuje anonimizacji w czasie rzeczywistym ani anonimizacji strumienia wideo. Automatycznie zamazuje twarze i tablice rejestracyjne. Inne elementy, takie jak logotypy firm, tatuaże, tabliczki z imionami, dokumenty lub obraz na monitorach, mogą wymagać ręcznego oznaczenia w edytorze, zależnie od celu projektu i oceny ryzyka identyfikacji.
Kluczowe parametry i metryki anonimizacji w mobilnym mapowaniu
Jakość anonimizacji należy oceniać metrykami technicznymi, a nie wyłącznie deklaracją, że obraz został „zamazany”. W projektach mapowych istotne są zarówno błędy detekcji, jak i jakość samej maski.
Parametr | Znaczenie praktyczne | Ryzyko przy słabym wyniku
|
|---|---|---|
Recall | Odsetek rzeczywistych twarzy lub tablic wykrytych przez system. | Pominięcie danych osobowych w publikowanej warstwie mapowej. |
Precision | Odsetek poprawnych detekcji wśród wszystkich wskazań systemu. | Nadmierne zamazywanie elementów niebędących twarzami ani tablicami. |
False negative rate | Udział niewykrytych obiektów, które powinny zostać zamazane. | Najważniejszy wskaźnik ryzyka prywatności. |
Pokrycie maską | Stopień objęcia twarzy lub tablicy przez obszar rozmycia. | Możliwość odczytania fragmentu numeru lub cech twarzy. |
Stabilność między klatkami | Spójność maskowania tego samego obiektu w kolejnych obrazach. | Odtworzenie identyfikatora z kilku niepełnych ujęć. |
Dla materiałów panoramicznych ważna jest także geometria obrazu. Twarz lub tablica może być zniekształcona przez projekcję equirectangular, widoczna na krawędzi panoramy albo częściowo odbita w szybie pojazdu. Dlatego kontrola jakości powinna obejmować próbki z różnych warunków: dzień, noc, deszcz, tunele, skrzyżowania, parkingi i obszary o dużym ruchu pieszym.
Techniki zamazywania twarzy i tablic rejestracyjnych
Najczęściej stosowane techniki anonimizacji obrazu to rozmycie Gaussa, pikselizacja oraz zasłonięcie jednolitym kolorem. Każda metoda ma inne skutki dla użyteczności mapy i odporności na próbę odtworzenia danych.
Rozmycie zachowuje naturalny wygląd sceny, ale musi mieć odpowiednio dobrany promień i intensywność. Zbyt słabe rozmycie może pozostawić czytelne znaki tablicy lub cechy twarzy. Pikselizacja jest łatwa do kontroli wizualnej, lecz przy zbyt małych blokach nadal może ujawniać kształt znaków. Pełne zasłonięcie jest najbardziej jednoznaczne, ale mocniej ingeruje w obraz.
W projektach o wysokim ryzyku stosuje się zasadę priorytetu dla błędów fałszywie negatywnych. Oznacza to, że lepiej zaakceptować ograniczone nadmiarowe zamazanie niż pozostawić niezamazaną twarz lub tablicę. Tę decyzję należy opisać w dokumentacji projektu, zwłaszcza gdy materiał ma być publicznie dostępny.
Odniesienia normatywne i prawne
Anonimizacja w mobilnym mapowaniu w Unii Europejskiej i w Polsce powinna być oceniana głównie przez pryzmat RODO, ochrony wizerunku oraz zasad przetwarzania obrazu z przestrzeni publicznej. Zastosowanie mają w szczególności art. 4 pkt 1 RODO, art. 5 RODO, art. 6 RODO, art. 25 RODO oraz motyw 26 RODO.
Europejska Rada Ochrony Danych w wytycznych 3/2019 dotyczących przetwarzania danych osobowych przez urządzenia wideo, wersja 2.0 przyjęta 29 stycznia 2020 r., wskazuje, że obraz osoby może być daną osobową, gdy pozwala na jej identyfikację. W Polsce ochronę wizerunku wzmacniają art. 23 i 24 Kodeksu cywilnego z 23 kwietnia 1964 r. oraz art. 81 ustawy o prawie autorskim i prawach pokrewnych z 4 lutego 1994 r.
Tablice rejestracyjne wymagają ostrożnej oceny. UODO i EROD traktują je jako informacje mogące prowadzić do identyfikacji osoby, zwłaszcza w połączeniu z lokalizacją, czasem i innymi danymi. W orzecznictwie Naczelnego Sądu Administracyjnego występuje jednak stanowisko, że sam numer rejestracyjny nie zawsze stanowi dane osobowe, przykładowo wyrok NSA z 28 czerwca 2019 r., I OSK 2063/17. Dla publicznych warstw mapowych bezpieczniejszą praktyką jest zamazywanie tablic przed publikacją.
Pomocniczo można stosować standardy techniczne. ISO/IEC 20889:2018 opisuje terminologię i klasyfikację technik de-identyfikacji danych. ISO/IEC 27001:2022 dotyczy systemów zarządzania bezpieczeństwem informacji, a ISO/IEC 27701:2019 rozszerza ten model o zarządzanie informacjami dotyczącymi prywatności.
Praktyczny kontekst wdrożenia
W projekcie mobilnego mapowania anonimizacja powinna być zaplanowana przed rozpoczęciem publikacji, a nie dopiero po wykryciu incydentu. Wymaga to ustalenia zakresu danych, odpowiedzialności, sposobu kontroli i kryteriów akceptacji materiału.
Dokumentacja procesu powinna obejmować co najmniej:
- opis źródeł danych, typów kamer i formatów plików,
- zakres automatycznej detekcji, czyli twarze i tablice rejestracyjne,
- reguły ręcznego zamazywania elementów nietypowych,
- metody kontroli jakości oraz próbkowania materiału,
- zasady przechowywania materiału źródłowego i wynikowego,
- informację, czy przetwarzanie odbywa się on-premise,
- zakres logów technicznych i wykluczenie logów zawierających dane osobowe.
W podejściu on-premise materiał nie musi być przekazywany do zewnętrznej chmury. Ma to znaczenie przy dużych zbiorach zdjęć panoramicznych, przy danych infrastruktury krytycznej oraz przy projektach dla administracji publicznej. Gallio PRO nie zbiera logów zawierających detekcje twarzy i tablic rejestracyjnych oraz nie zbiera logów zawierających dane osobowe lub szczególne kategorie danych osobowych.