Multi-camera anonymization - definicja
Multi-camera anonymization to anonimizacja materiału wideo lub zdjęć pochodzących z wielu kamer w ramach jednego procesu organizacyjnego i technicznego. W praktyce oznacza to wykrywanie oraz zamazywanie twarzy i tablic rejestracyjnych w wielu plikach lub strumieniach nagranych przez różne urządzenia CCTV, przy zachowaniu spójnych reguł przetwarzania, kontroli jakości i rozliczalności operacji. W kontekście ochrony danych nie chodzi wyłącznie o transmisję na żywo, lecz często o przetwarzanie nagrań już zapisanych. To istotne rozróżnienie, ponieważ Gallio PRO nie realizuje anonimizacji w czasie rzeczywistym ani anonimizacji strumienia wideo.
Technicznie jest to zagadnienie z obszaru przetwarzania wsadowego obrazu i wideo. System analizuje materiał z wielu kamer, lokalizuje obszary zawierające dane osobowe w postaci wizerunku twarzy lub numeru rejestracyjnego pojazdu, a następnie nakłada maskę lub rozmycie. Do automatycznej detekcji stosuje się modele uczenia maszynowego, zwykle oparte na deep learning. Deep learning jest wykorzystywany zarówno na etapie budowy modelu AI, jak i później podczas wykonywania detekcji obiektów na klatkach wideo lub obrazach. Sama anonimizacja polega więc nie na "inteligentnym" usuwaniu danych, lecz na zastosowaniu modelu wykrywającego obszary wymagające zakrycia i na trwałym przekształceniu obrazu wynikowego.
Od strony prawnej i organizacyjnej multi-camera anonymization jest formą przetwarzania danych osobowych, do której stosuje się wymagania RODO, w szczególności zasady ograniczenia celu, minimalizacji danych, integralności i poufności oraz rozliczalności, opisane w art. 5 rozporządzenia (UE) 2016/679, a także wymogi bezpieczeństwa przetwarzania z art. 32. W przypadku monitoringu wizyjnego znaczenie mają też wytyczne Europejskiej Rady Ochrony Danych, w tym Guidelines 3/2019 on processing of personal data through video devices, przyjęte w wersji ostatecznej 29 stycznia 2020 r.
Rola Multi-camera anonymization w dużych instalacjach CCTV
Przy dużych instalacjach CCTV problemem nie jest wyłącznie wykrycie twarzy lub tablicy rejestracyjnej w pojedynczym kadrze. Trudność polega na skali. Jedno zdarzenie może być zarejestrowane przez kilkanaście lub kilkadziesiąt kamer, z różnymi parametrami obrazu, perspektywą, kompresją i warunkami oświetleniowymi. Anonimizacja musi wtedy działać spójnie dla całego zestawu nagrań.
W praktyce oznacza to konieczność połączenia wymagań technicznych i organizacyjnych:
- jednolitej polityki anonimizacji dla wszystkich kamer objętych procesem,
- identyfikacji źródeł materiału i ich parametrów technicznych,
- ustalenia kolejki przetwarzania i priorytetów dla dużych wolumenów danych,
- kontroli jakości po przetworzeniu, w tym ręcznej weryfikacji przypadków granicznych,
- zabezpieczenia dostępu do materiałów źródłowych i wynikowych.
W środowiskach takich jak transport, logistyka, przemysł, retail czy administracja publiczna materiał z wielu kamer jest często udostępniany podmiotom trzecim, na przykład kancelariom, ubezpieczycielom, organom lub osobom realizującym prawa z art. 15 RODO. W takim modelu brak anonimizacji albo niewystarczająca anonimizacja zwiększa ryzyko naruszenia prywatności osób postronnych.
Technologie stosowane w Multi-camera anonymization
Skuteczność anonimizacji wielokamerowej zależy od jakości detekcji i od stabilności przetwarzania. Najczęściej stosuje się modele detekcji obiektów trenowane na dużych zbiorach obrazów. W obszarze twarzy i tablic rejestracyjnych typowe są architektury CNN oraz nowsze modele detekcji jednokrokowej i dwukrokowej. Ich zadaniem jest wskazanie ramki detekcji na każdej klatce lub na wybranych klatkach referencyjnych.
W środowisku produkcyjnym istotne są zwykle następujące elementy pipeline:
- dekodowanie wideo i ekstrakcja klatek,
- detekcja twarzy i tablic rejestracyjnych,
- śledzenie obiektu między klatkami w celu ograniczenia migotania masek,
- nakładanie maski lub rozmycia,
- enkodowanie materiału wynikowego,
- weryfikacja manualna przypadków niepewnych.
Przy wielu kamerach szczególne znaczenie ma heterogeniczność danych wejściowych. Inne wyniki da kamera 2 MP przy 15 fps, a inne kamera 4K przy 25 fps z kodekiem H.265 i silną kompresją. Z tego powodu parametry modeli i progi pewności nie zawsze mogą być identyczne dla całej instalacji.
Gallio PRO automatycznie zamazuje twarze i tablice rejestracyjne. Nie wykrywa automatycznie logotypów firm, tatuaży, tabliczek z imionami, dokumentów ani obrazu na monitorach. Takie elementy mogą być zamazywane manualnie w edytorze. Ma to znaczenie praktyczne przy audytach i przy definiowaniu zakresu procesu anonimizacji.
Kluczowe parametry i metryki Multi-camera anonymization
Ocena procesu nie powinna opierać się na ogólnych deklaracjach. Potrzebne są mierzalne parametry. W systemach anonimizacji obrazu najważniejsze są metryki jakości detekcji oraz wydajności przetwarzania.
Parametr | Znaczenie | Praktyczny sens
|
|---|---|---|
Recall | Odsetek poprawnie wykrytych obiektów spośród wszystkich obiektów istniejących | Im wyższy, tym mniejsze ryzyko pozostawienia niezamazanej twarzy lub tablicy |
Precision | Odsetek poprawnych detekcji spośród wszystkich detekcji | Im wyższy, tym mniej błędnych masek na tle lub innych obiektach |
IoU | Intersection over Union dla ramki detekcji | Pozwala ocenić, czy maska obejmuje właściwy obszar |
Latency przetwarzania pliku | Czas od rozpoczęcia do wygenerowania pliku wynikowego | Wpływa na terminy realizacji wniosków i prac operacyjnych |
Throughput | Liczba minut lub godzin materiału przetwarzanych na godzinę | Kluczowy parametr przy dużych instalacjach CCTV |
Wskaźnik weryfikacji manualnej | Odsetek materiału wymagającego korekty ręcznej | Pokazuje rzeczywisty koszt operacyjny procesu |
W zadaniach detekcji obrazu powszechnie stosuje się metrykę average precision liczoną dla progów IoU. Dla przykładu benchmark COCO używa miary AP w zakresie IoU od 0,50 do 0,95, co zostało opisane przez Lin i in. w 2014 r. Tego typu metryki są przydatne przy testach modeli, ale dla inspektora ochrony danych ważniejsza bywa wysoka czułość procesu, ponieważ pojedyncze niewykryte twarze mogą mieć istotne skutki prawne.
Praktycznie można stosować prosty wskaźnik operacyjny:
Skuteczność anonimizacji = 1 - (liczba niewykrytych obiektów / liczba wszystkich obiektów wymagających zamazania)
Jest to wskaźnik pomocniczy do audytu wewnętrznego, o ile sposób liczenia jest opisany i powtarzalny.
Wymagania organizacyjne przy anonimizacji nagrań z wielu kamer jednocześnie
W instalacjach wielokamerowych sama technologia nie wystarcza. Potrzebny jest proces, który ogranicza ryzyko błędów i umożliwia wykazanie zgodności działania. Dotyczy to szczególnie przypadków, gdy materiał opuszcza organizację lub jest udostępniany większej liczbie odbiorców.
Najczęściej obejmuje to następujące wymagania:
- rejestr źródeł nagrań, formatów plików i właścicieli systemów,
- uprawnienia dostępu oparte na rolach,
- oddzielenie materiału źródłowego od materiału po anonimizacji,
- procedurę kontroli jakości i akceptacji wyniku,
- zasady postępowania z wyjątkami, na przykład z materiałem bardzo niskiej jakości,
- określenie retencji i bezpiecznego usuwania kopii roboczych.
Jeżeli oprogramowanie działa on-premise, łatwiej spełnić wymagania dotyczące kontroli środowiska przetwarzania i transferu danych. Taki model bywa preferowany tam, gdzie nagrania z CCTV nie powinny opuszczać infrastruktury administratora. Z perspektywy bezpieczeństwa istotne są też praktyki opisane w normie ISO/IEC 27001:2022 dotyczącej systemu zarządzania bezpieczeństwem informacji oraz w ISO/IEC 27002:2022 dotyczącej środków bezpieczeństwa.
Ograniczenia i ryzyka Multi-camera anonymization
Anonimizacja wielokamerowa nie daje gwarancji absolutnej. Jakość wyniku zależy od jakości nagrania, pozycji obiektu, zasłonięć, kompresji, ruchu i oświetlenia. W szczególności twarze częściowo odwrócone, małe w kadrze albo zakryte przez elementy sceny mogą wymagać korekty manualnej. Podobnie tablice rejestracyjne fotografowane pod ostrym kątem lub w ruchu.
Trzeba też odróżnić anonimizację od pseudonimizacji. Jeżeli materiał nadal pozwala na identyfikację osoby innymi cechami sceny, sam fakt zamazania twarzy nie zawsze eliminuje ryzyko identyfikacji. Dlatego zakres udostępnianego materiału powinien być oceniany kontekstowo. W odniesieniu do monitoringu wizyjnego EROD wskazuje, że administrator powinien stosować środki adekwatne do celu oraz do ryzyka dla praw i wolności osób fizycznych.
Odniesienia prawne i normatywne dla Multi-camera anonymization
Podstawą oceny procesu są akty prawne i wytyczne dotyczące przetwarzania danych wizyjnych. W przypadku twarzy ich status jako danych osobowych jest co do zasady bezsporny, jeżeli osoba jest możliwa do zidentyfikowania. Wizerunek może też korzystać z ochrony na gruncie prawa cywilnego i prawa autorskiego. W przypadku tablic rejestracyjnych sytuacja w Polsce nie jest całkowicie jednolita i zależy od kontekstu identyfikowalności oraz celu przetwarzania.
Najważniejsze punkty odniesienia to:
- RODO - Rozporządzenie (UE) 2016/679, w szczególności art. 5, 25 i 32,
- EROD - Guidelines 3/2019 on processing of personal data through video devices, wersja finalna z 29.01.2020,
- ISO/IEC 27001:2022 i ISO/IEC 27002:2022 - bezpieczeństwo informacji,
- ISO/IEC 23894:2023 - guidance on risk management for AI, przydatna przy ocenie ryzyk modeli AI,
- NIST AI RMF 1.0 - ramy zarządzania ryzykiem AI, użyteczne przy walidacji i nadzorze nad modelami detekcji.
W praktyce administrator powinien udokumentować, jakie kategorie obiektów są zamazywane automatycznie, jakie przypadki trafiają do weryfikacji ręcznej oraz jakie są ograniczenia techniczne procesu. Taka dokumentacja jest ważna z punktu widzenia rozliczalności.