Anonimizacja danych z pojazdów - definicja
Anonimizacja danych z pojazdów to proces trwałego usuwania lub przekształcania identyfikatorów osób i pojazdów widocznych na zdjęciach oraz nagraniach wideo rejestrowanych przez kamery pojazdowe. Dotyczy to w szczególności materiałów zbieranych do rozwoju, testowania i walidacji systemów ADAS, pojazdów autonomicznych, systemów parkowania, monitoringu floty oraz analizy zdarzeń drogowych.
W praktyce anonimizacja obejmuje przede wszystkim wykrywanie twarzy, zamazywanie twarzy oraz zamazywanie tablic rejestracyjnych. Jej celem jest ograniczenie możliwości identyfikacji przechodniów, kierowców, pasażerów i właścicieli pojazdów, przy zachowaniu użyteczności materiału dla zespołów data science, inżynierów perception AI, działów bezpieczeństwa oraz inspektorów ochrony danych.
W rozumieniu RODO anonimizacja jest skuteczna tylko wtedy, gdy osoba fizyczna nie jest już możliwa do zidentyfikowania przy użyciu środków, które są „racjonalnie prawdopodobne” do zastosowania. Wynika to z motywu 26 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679. Jeżeli organizacja zachowuje możliwość odtworzenia identyfikatora, na przykład przez dostęp do oryginalnego nagrania, proces może być pseudonimizacją albo środkiem ograniczenia ryzyka, ale nie pełną anonimizacją całego zbioru.
Rola anonimizacji danych z pojazdów w systemach ADAS i autonomicznych
Nagrania z kamer pojazdowych zawierają sceny drogowe o wysokiej wartości technicznej. Jednocześnie rejestrują osoby postronne i pojazdy, które nie są celem analizy. Anonimizacja pozwala wykorzystać dane do trenowania i testowania modeli, bez niepotrzebnego ujawniania twarzy oraz tablic rejestracyjnych.
Typowy materiał z pojazdu może pochodzić z kamer przednich, bocznych, tylnych, kamer kabinowych oraz systemów surround view. W kontekście prywatności największe znaczenie mają dane obrazowe, ponieważ mogą zawierać bezpośrednie identyfikatory wizualne.
- Twarze pieszych i kierowców - mogą identyfikować osobę samodzielnie albo w połączeniu z miejscem i czasem nagrania.
- Tablice rejestracyjne - w Unii Europejskiej i według wytycznych EROD mogą stanowić dane osobowe, jeżeli istnieje rozsądna możliwość powiązania ich z osobą.
- Metadane nagrania - czas, lokalizacja GPS, identyfikator trasy lub pojazdu mogą zwiększać ryzyko reidentyfikacji.
- Kontekst sceny - miejsce zamieszkania, parking firmowy, szkoła lub szpital mogą ujawniać dodatkowe informacje o osobach widocznych w materiale.
Technologie stosowane przy anonimizacji danych z pojazdów
Proces techniczny zwykle składa się z detekcji obiektów, śledzenia ich pomiędzy klatkami oraz zastosowania maski anonimizującej. W nagraniach drogowych istotne są zmienne warunki oświetlenia, ruch kamery, odbicia, zabrudzenia szyby i częściowe zasłonięcia obiektów.
Etap | Opis techniczny | Znaczenie dla anonimizacji
|
|---|---|---|
Detekcja | Model AI wykrywa twarze i tablice rejestracyjne w klatkach obrazu. | Decyduje o tym, czy identyfikator zostanie objęty maską. |
Śledzenie | Obiekt jest utrzymywany w kolejnych klatkach mimo ruchu pojazdu lub kamery. | Zmniejsza ryzyko „migania” niezamazanych identyfikatorów. |
Maskowanie | Na obszar twarzy lub tablicy nakładane jest rozmycie, pikselizacja albo pełne zakrycie. | Utrudnia albo uniemożliwia odczyt identyfikatora wizualnego. |
Kontrola jakości | Wynik jest weryfikowany automatycznie lub próbkowany ręcznie. | Pozwala wykryć fałszywe negatywy i błędy na trudnych scenach. |
Gallio PRO automatycznie zamazuje twarze i tablice rejestracyjne w zdjęciach oraz nagraniach, ale nie wykonuje anonimizacji strumienia wideo w czasie rzeczywistym. Inne elementy, takie jak logotypy, tatuaże, tabliczki z imionami, dokumenty lub treści na monitorach, mogą wymagać ręcznego oznaczenia w edytorze.
Kluczowe parametry i metryki anonimizacji danych z pojazdów
Skuteczność anonimizacji należy oceniać technicznie i prawnie. Sama deklaracja zamazania nie wystarcza, jeżeli w materiale pozostają możliwe do odczytania identyfikatory albo istnieje dostęp do nieprzetworzonych oryginałów.
Metryka lub parametr | Znaczenie | Praktyczna interpretacja
|
|---|---|---|
Recall detekcji | Odsetek rzeczywistych twarzy lub tablic wykrytych przez system. | Niski recall oznacza większe ryzyko pozostawienia danych osobowych w materiale. |
Precision detekcji | Odsetek poprawnych detekcji wśród wszystkich wskazań modelu. | Niska precision zwiększa liczbę niepotrzebnie zamazanych obszarów. |
False negative rate | Udział niewykrytych identyfikatorów. | To jedna z najważniejszych metryk dla IOD, ponieważ dotyczy pozostałego ryzyka ujawnienia. |
Stabilność maski w czasie | Ciągłość zasłonięcia obiektu pomiędzy klatkami. | Istotna przy dynamicznych scenach, wyprzedzaniu, skrzyżowaniach i ruchu pieszych. |
Przepustowość przetwarzania | Czas potrzebny do przetworzenia określonej liczby zdjęć lub godzin nagrań. | Wpływa na planowanie pipeline’u danych, SLA wewnętrzne i koszty infrastruktury. |
Wymagania prawne i normatywne dla anonimizacji danych z pojazdów
W Unii Europejskiej podstawowym punktem odniesienia jest RODO, czyli rozporządzenie (UE) 2016/679. Zgodnie z art. 4 pkt 1 RODO dane osobowe obejmują informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Twarz w nagraniu oraz tablica rejestracyjna mogą spełniać tę definicję, jeżeli pozwalają na identyfikację bezpośrednio lub pośrednio.
Istotne są także zasady z art. 5 RODO, w tym minimalizacja danych, ograniczenie celu i ograniczenie przechowywania. Art. 25 RODO wymaga ochrony danych w fazie projektowania i domyślnej ochrony danych, a art. 32 RODO dotyczy bezpieczeństwa przetwarzania. Dla pojazdów połączonych szczególne znaczenie mają wytyczne EROD 01/2020 dotyczące przetwarzania danych osobowych w kontekście connected vehicles i aplikacji mobilnościowych, przyjęte w wersji 2.0 w marcu 2021 r.
W Polsce należy uwzględnić stanowiska UODO oraz rozbieżności dotyczące tablic rejestracyjnych. UODO i EROD traktują tablice jako dane osobowe w odpowiednim kontekście, natomiast w orzecznictwie Naczelnego Sądu Administracyjnego pojawia się pogląd, że sama tablica rejestracyjna nie zawsze stanowi dane osobowe. Dla materiałów z kamer pojazdowych bezpieczniejszym podejściem jest ocena całego kontekstu nagrania, a nie samego numeru tablicy.
W obszarze standardów pomocne są ISO/IEC 20889:2018 dotycząca technik deidentyfikacji, ISO/IEC 27559:2022 dotycząca ram deidentyfikacji oraz NISTIR 8053 z 2015 r. dotyczący deidentyfikacji informacji osobowych. Dla środowisk motoryzacyjnych znaczenie mogą mieć także ISO/SAE 21434:2021 w zakresie cyberbezpieczeństwa pojazdów oraz ISO 26262:2018 w zakresie bezpieczeństwa funkcjonalnego.
Praktyczny przykład zastosowania
Producent systemu ADAS zbiera nagrania z jazd testowych w miastach i na drogach szybkiego ruchu. Materiał ma posłużyć do oceny działania modelu wykrywającego pieszych, rowerzystów, znaki i pasy ruchu. Przed udostępnieniem danych zespołowi anotacji organizacja przetwarza nagrania lokalnie, zamazując twarze oraz tablice rejestracyjne.
Po anonimizacji zespół nadal widzi geometrię sceny, pozycję uczestników ruchu, trajektorie i warunki drogowe. Nie powinien jednak mieć dostępu do czytelnych identyfikatorów osób i pojazdów, jeżeli nie są niezbędne do celu testowego. Oryginały powinny być przechowywane oddzielnie, z ograniczonym dostępem i określonym terminem retencji, albo usuwane po kontroli jakości.