Privacy-preserving surveillance - definicja
Privacy-preserving surveillance to projektowanie i eksploatacja monitoringu wizyjnego w sposób, który ogranicza ingerencję w prywatność do minimum niezbędnego dla osiągnięcia konkretnego celu. W praktyce oznacza to takie dobranie architektury systemu CCTV, zasad retencji, uprawnień dostępu oraz metod przetwarzania obrazu, aby identyfikacja osób była ograniczana już na etapie projektowania systemu. W kontekście zdjęć i nagrań wideo podstawowym środkiem technicznym jest anonimizacja lub pseudonimizacja obrazu, najczęściej przez automatyczne rozmywanie lub zamazywanie twarzy i tablic rejestracyjnych.
Pojęcie to wynika z ogólnych zasad ochrony danych, a nie z jednej odrębnej definicji ustawowej. Kluczowe znaczenie mają art. 5 ust. 1 lit. c RODO - minimalizacja danych, art. 25 RODO - ochrona danych w fazie projektowania i domyślna ochrona danych, oraz art. 32 RODO - bezpieczeństwo przetwarzania. W monitoringu oznacza to, że administrator powinien wykazać, iż zakres rejestrowanego obrazu, jakość nagrania, czas przechowywania i sposób udostępniania są proporcjonalne do celu. Jeżeli cel można osiągnąć przy użyciu materiału po anonimizacji, to pełny materiał identyfikujący nie powinien być szeroko udostępniany.
W systemach smart city i CCTV privacy-preserving surveillance jest często rozumiane jako operacyjne wdrożenie zasady privacy by design. Europejska Rada Ochrony Danych w Wytycznych 3/2019 dotyczących przetwarzania danych osobowych przez urządzenia wideo wskazuje, że rozwiązania techniczne ograniczające identyfikację, takie jak maskowanie obszarów czy redukcja pola widzenia, powinny być rozważane już na etapie doboru systemu. Europejski Inspektor Ochrony Danych w pracach dotyczących video-surveillance oraz seria norm EN 62676 dla systemów nadzoru wizyjnego podkreślają związek między celem systemu a parametrami technicznymi obrazu.
Rola privacy-preserving surveillance w anonimizacji zdjęć i nagrań wideo
W odniesieniu do materiałów wizualnych privacy-preserving surveillance nie oznacza rezygnacji z monitoringu, lecz zmianę sposobu jego użycia. Najważniejsze jest rozdzielenie funkcji bezpieczeństwa od funkcji identyfikacyjnej. Nie każdy użytkownik systemu potrzebuje dostępu do pełnego, niezanonimizowanego obrazu. W wielu procesach wystarczający jest materiał z ukrytymi twarzami i tablicami rejestracyjnymi.
Takie podejście ma znaczenie przy publikacji nagrań, przekazywaniu ich podmiotom zewnętrznym, obsłudze wniosków, szkoleniach, audytach i analizie zdarzeń. W tym modelu materiał źródłowy pozostaje pod kontrolą administratora, a wersja robocza lub eksportowana jest pozbawiona bezpośrednich identyfikatorów wizualnych.
- twarze są traktowane jako dane osobowe, jeżeli umożliwiają identyfikację osoby fizycznej
- tablice rejestracyjne w wielu porządkach prawnych i praktykach nadzorczych są traktowane jako dane osobowe lub informacje pozwalające na identyfikację pośrednią
- anonimizacja materiału audiowizualnego powinna być nieodwracalna w zakresie udostępnianej kopii, jeżeli celem jest wyłączenie możliwości identyfikacji
- jeżeli proces jest odwracalny lub istnieje klucz pozwalający na ponowne powiązanie osoby z nagraniem, mówimy raczej o pseudonimizacji niż anonimizacji
W Polsce kwestia tablic rejestracyjnych pozostaje sporna. W praktyce compliance należy odnotować dwa stanowiska. Z jednej strony wytyczne organów ochrony danych i praktyka europejska skłaniają się do ich ochrony. Z drugiej strony w orzecznictwie sądów administracyjnych występuje pogląd, że tablica rejestracyjna sama w sobie nie zawsze stanowi daną osobową. W modelu ostrożnościowym dla monitoringu i publikacji materiałów wideo przyjmuje się zamazywanie tablic jako działanie ograniczające ryzyko regulacyjne.
Technologie stosowane w privacy-preserving surveillance
W nowoczesnych wdrożeniach anonimizacja obrazu opiera się głównie na detekcji obiektów i śledzeniu ich w kolejnych klatkach. Do wykrywania twarzy i tablic rejestracyjnych używa się modeli uczenia maszynowego, najczęściej deep learning. Jest to istotne rozróżnienie: samo rozmycie nie jest technologią inteligentną, lecz efektem końcowym. Komponentem AI jest model, który najpierw lokalizuje twarz lub tablicę na obrazie, a dopiero potem uruchamiany jest algorytm maskowania.
Model AI wymaga wcześniejszego procesu trenowania na odpowiednio przygotowanych zbiorach danych. Jakość późniejszego zamazywania zależy od jakości anotacji, różnorodności danych treningowych, warunków oświetlenia, kąta kamery, rozdzielczości i parametrów inferencji. W systemach przetwarzania materiału po nagraniu ważne są także mechanizmy korekty manualnej, ponieważ nawet wysoka skuteczność detekcji nie eliminuje błędów całkowicie.
Warstwa
Funkcja
Znaczenie dla prywatności
Detekcja obiektów
Wykrywanie twarzy i tablic rejestracyjnych
Warunek poprawnego objęcia danych maskowaniem
Tracking
Śledzenie obiektu między klatkami
Zmniejsza ryzyko pominięć w ruchu
Maskowanie
Blur, pixelation, fill, blackout
Ukrywa identyfikatory wizualne
Walidacja manualna
Ręczna korekta detekcji
Redukuje ryzyko false negative
Kontrola dostępu
Uprawnienia do wersji źródłowej i zanonimizowanej
Ogranicza nieuprawnione ujawnienie danych
W tym obszarze należy zachować precyzję. Gallio PRO automatycznie zamazuje wyłącznie twarze i tablice rejestracyjne. Nie wykrywa automatycznie logotypów, tatuaży, tabliczek z imionami, dokumentów ani obrazu na ekranach monitorów. Takie elementy mogą być ukrywane manualnie za pomocą wbudowanego edytora. Oprogramowanie działa w modelu on-premise i nie wykonuje anonimizacji w czasie rzeczywistym ani anonimizacji strumienia wideo.
Kluczowe parametry i metryki privacy-preserving surveillance
Dla Inspektora Ochrony Danych i zespołów technicznych istotna jest możliwość oceny skuteczności ochrony prywatności na podstawie mierzalnych parametrów. Sama deklaracja użycia AI nie przesądza o zgodności procesu.
- recall detekcji - odsetek twarzy lub tablic wykrytych przez model; przy anonimizacji zwykle ważniejszy niż sama precyzja, bo pominięcie obiektu oznacza ryzyko ujawnienia danych
- precision detekcji - odsetek poprawnych wykryć wśród wszystkich wykryć; wpływa na liczbę zbędnych masek
- false negative rate - udział niewykrytych obiektów; to jeden z kluczowych wskaźników ryzyka
- latency przetwarzania pliku - czas potrzebny do analizy i renderingu materiału, zwykle mierzony dla określonej długości nagrania lub jako przepustowość przetwarzania
- coverage frame-to-frame - ciągłość maskowania między klatkami
- retencja materiału źródłowego i zanonimizowanego - liczba dni lub miesięcy przechowywania
W praktyce można stosować prosty wskaźnik pokrycia anonimizacji:
Coverage = liczba poprawnie zamazanych obiektów / liczba wszystkich obiektów wymagających zamazania
Dla procesów zgodności krytyczne jest dokumentowanie metody testowej: liczebności próbki, typu scen, jakości obrazu i kryteriów akceptacji. Bez tego porównywanie wyników między systemami jest niewiarygodne.
Wyzwania i ograniczenia privacy-preserving surveillance
Model ochrony prywatności w monitoringu ma ograniczenia techniczne i prawne. Po pierwsze, skuteczność detekcji zależy od jakości materiału. Mała rozdzielczość, silna kompresja, zasłonięcie twarzy, ruch kamery, odbicia szyb i nocne oświetlenie obniżają trafność modeli. Po drugie, granica między anonimizacją a pseudonimizacją zależy od tego, czy istnieje możliwość ponownej identyfikacji przy użyciu dodatkowych informacji.
Nie każde użycie monitoringu wymaga takiego samego poziomu szczegółowości obrazu. Norma EN 62676-4:2015 opisuje sposób doboru parametrów obrazu do celu obserwacji, rozpoznania i identyfikacji. Z perspektywy privacy by design ma to znaczenie praktyczne: jeżeli celem jest ogólny nadzór nad obszarem, stosowanie parametrów właściwych dla identyfikacji może być nieproporcjonalne.
Odniesienia normatywne i praktyka compliance
Podstawą oceny systemów privacy-preserving surveillance są akty prawne i wytyczne, które należy czytać łącznie. Nie tworzą one jednej zamkniętej specyfikacji technicznej, ale wyznaczają standard zgodności.
- RODO - rozporządzenie (UE) 2016/679, w szczególności art. 5, 25 i 32
- EROD, Wytyczne 3/2019 dotyczące przetwarzania danych osobowych przez urządzenia wideo, wersja przyjęta po konsultacjach w 2020 r.
- EN 62676 - seria norm dla systemów video surveillance, w tym część 4:2015 dotycząca zastosowań
- ISO/IEC 27001:2022 - system zarządzania bezpieczeństwem informacji, przydatny do organizacji kontroli dostępu i retencji
W praktyce compliance oznacza to konieczność przeprowadzenia testu proporcjonalności, określenia podstawy prawnej, udokumentowania okresu retencji, rozdzielenia dostępu do kopii źródłowej i zanonimizowanej oraz zapewnienia, że logi systemowe nie będą same w sobie źródłem nowych danych osobowych. W tym kontekście istotne jest, że Gallio PRO nie zbiera logów zawierających dane z detekcji twarzy i tablic rejestracyjnych ani innych logów zawierających dane osobowe lub szczególne kategorie danych.
Zobacz też
- Anonimizacja danych
- Rozmywanie twarzy
- Rozmywanie tablic rejestracyjnych
- Zgodność z RODO