Anonimizacja nagrań dla mediów i dziennikarzy - definicja
Anonimizacja nagrań dla mediów i dziennikarzy to zorganizowany proces usuwania lub ograniczania możliwości identyfikacji osób fizycznych w materiałach wideo i zdjęciach przeznaczonych do publikacji, archiwizacji lub przekazania podmiotom trzecim. W praktyce dotyczy to przede wszystkim wizerunku twarzy oraz numerów tablic rejestracyjnych widocznych w kadrze. W kontekście redakcyjnym celem nie jest przetwarzanie dokumentów czy danych tekstowych, lecz modyfikacja obrazu tak, aby materiał dało się wykorzystać zgodnie z prawem i zasadą minimalizacji danych.
Z perspektywy prawa ochrony danych oraz prawa do wizerunku anonimizacja nagrań jest środkiem organizacyjnym i technicznym, który ogranicza ryzyko naruszenia praw osób występujących w materiale. W przypadku zdjęć i wideo identyfikacja może wynikać nie tylko z podpisu pod materiałem, ale z samego obrazu. Twarz jest co do zasady daną osobową, jeżeli pozwala zidentyfikować osobę bezpośrednio lub pośrednio. Taki kierunek wynika z art. 4 pkt 1 RODO, a obowiązek stosowania odpowiednich środków ochrony danych i privacy by design wynika odpowiednio z art. 5 ust. 1 lit. c, art. 25 i art. 32 rozporządzenia (UE) 2016/679.
W pracy redakcji i agencji fotograficznych anonimizacja najczęściej przybiera formę rozmycia lub zamazania twarzy oraz tablic rejestracyjnych przed publikacją materiału. Jeżeli identyfikacja jest nadal możliwa mimo użycia filtra, nie można mówić o skutecznej anonimizacji. W takim przypadku mamy raczej do czynienia z niewystarczającą maską wizualną, a nie z anonimizacją.
Obowiązki redakcji i agencji fotograficznych przy publikacji wizerunku
Publikacja zdjęć i nagrań z udziałem osób wymaga równoczesnej analizy przepisów o ochronie danych osobowych oraz przepisów krajowych dotyczących prawa do wizerunku. Dla redakcji istotne jest to, że legalność publikacji nie zawsze oznacza brak potrzeby anonimizacji. Jeżeli materiał ma wysoką wartość informacyjną, ale nie wymaga pokazania rozpoznawalnej twarzy, zamazanie bywa rozwiązaniem proporcjonalnym.
W Polsce podstawowe znaczenie mają RODO, art. 23 i 24 Kodeksu cywilnego dotyczące dóbr osobistych oraz art. 81 ustawy o prawie autorskim i prawach pokrewnych z 1994 r. Ten ostatni przepis przewiduje zasadę zgody na rozpowszechnianie wizerunku i wskazuje najważniejsze wyjątki.
- osoba powszechnie znana, gdy wizerunek wykonano w związku z pełnieniem funkcji publicznych, w szczególności politycznych, społecznych lub zawodowych,
- osoba stanowiąca jedynie szczegół całości takiej jak zgromadzenie, krajobraz, publiczna impreza,
- osoba, która otrzymała umówione wynagrodzenie za pozowanie, jeżeli nie zastrzegła inaczej.
Poza tymi przypadkami redakcja powinna ocenić, czy publikacja rozpoznawalnego wizerunku jest konieczna. Jeżeli nie jest konieczna, praktyką zgodną z zasadą minimalizacji danych jest anonimizacja twarzy. Dotyczy to zwłaszcza materiałów o ofiarach przestępstw, osobach małoletnich, świadkach, pacjentach, uczestnikach interwencji oraz osobach postronnych.
Technologie anonimizacji zdjęć i wideo
W materiałach redakcyjnych stosuje się dwa etapy techniczne: detekcję obiektu oraz nałożenie maski. Automatyczne wykrywanie twarzy i tablic rejestracyjnych opiera się dziś zwykle na modelach uczenia maszynowego, w tym głębokiego uczenia. Model AI służy do wykrywania cech wizualnych twarzy i tablic w różnych warunkach oświetlenia, skali, kąta i jakości obrazu. Sam model nie anonimizuje jeszcze materiału. Służy do wskazania obszaru, który ma zostać rozmyty lub zamazany.
W praktyce produkcyjnej ważne jest śledzenie obiektu między klatkami, aby maska nie „gubiła” twarzy przy ruchu kamery lub częściowym zasłonięciu. Dla zdjęć kluczowa jest dokładność lokalizacji, a dla wideo dodatkowo stabilność maski w czasie.
Gallio PRO automatycznie zamazuje wyłącznie twarze i tablice rejestracyjne. Nie wykrywa automatycznie logotypów firm, tatuaży, tabliczek z imionami, dokumentów ani obrazu na ekranach monitorów. Takie elementy można zamazać ręcznie przy użyciu wbudowanego edytora. Oprogramowanie nie wykonuje anonimizacji w czasie rzeczywistym ani anonimizacji strumienia wideo. Jest przeznaczone do przetwarzania plików.
Kluczowe parametry i metryki anonimizacji nagrań
Ocena skuteczności anonimizacji nie powinna opierać się wyłącznie na subiektywnej ocenie operatora. Dla działów compliance i IOD istotne są mierzalne parametry jakości detekcji oraz ryzyko ponownej identyfikacji po publikacji.
Parametr
Znaczenie praktyczne
Typowa interpretacja
Precision
Odsetek poprawnych wykryć wśród wszystkich wykryć
Niski precision oznacza zbyt wiele fałszywych masek
Recall
Odsetek wykrytych twarzy lub tablic spośród wszystkich obecnych w materiale
Niski recall oznacza ryzyko pozostawienia niezamalowanych danych
IoU - Intersection over Union
Stopień dopasowania ramki detekcji do obiektu
Wpływa na to, czy maska rzeczywiście zakrywa twarz lub tablicę
Stabilność śledzenia
Utrzymanie maski na obiekcie między klatkami
Kluczowe przy dynamicznym wideo
Czas przetwarzania pliku
Czas potrzebny na analizę i render końcowy
Wpływa na wydajność pracy newsroomu
Przy ocenie ryzyka można przyjąć prostą zasadę operacyjną: im wyższy recall i im mniej przypadków, w których twarz pozostaje widoczna choćby przez pojedyncze klatki, tym niższe ryzyko naruszenia. W środowisku redakcyjnym większym problemem jest zwykle false negative niż false positive, ponieważ niewykryta twarz oznacza możliwość identyfikacji osoby.
Tablice rejestracyjne i twarze - zakres anonimizacji
W materiałach prasowych poza twarzą często pojawiają się numery rejestracyjne pojazdów. W części państw europejskich ich zamazywanie jest traktowane jako ostrożnościowy standard zgodności z prawem krajowym, praktyką organów nadzorczych lub polityką redakcyjną. W Polsce sytuacja nie jest całkowicie jednolita.
Z jednej strony UODO, EROD oraz orzecznictwo TSUE wspierają szerokie rozumienie danych osobowych, gdy identyfikacja jest możliwa pośrednio. Z drugiej strony w części orzecznictwa sądów administracyjnych pojawia się pogląd, że sama tablica rejestracyjna nie zawsze stanowi daną osobową. W praktyce redakcyjnej oznacza to potrzebę analizy kontekstu. Jeżeli numer może prowadzić do identyfikacji właściciela lub użytkownika pojazdu, jego zamazanie jest rozwiązaniem ostrożnym i zgodnym z zasadą ograniczania ryzyka.
Bezpieczeństwo danych i model on-premise
Dla redakcji przetwarzających materiały wrażliwe istotny jest nie tylko efekt wizualny, ale też sposób przetwarzania plików. Oprogramowanie on-premise ogranicza transfer nagrań poza organizację i ułatwia spełnienie wymagań bezpieczeństwa z art. 32 RODO. Ma to znaczenie przy materiałach śledczych, nagraniach z miejsc przestępstw, materiałach z udziałem małoletnich lub informatorów.
Gallio PRO działa jako oprogramowanie on-premise. Dodatkowo nie zbiera logów zawierających detekcję twarzy i tablic rejestracyjnych oraz nie zapisuje logów zawierających dane osobowe ani dane szczególnych kategorii. Z punktu widzenia IOD zmniejsza to powierzchnię ryzyka i zakres danych operacyjnych, które należałoby dodatkowo zabezpieczać.
Odniesienia normatywne i źródła
Definicję i praktykę anonimizacji nagrań dla mediów należy opierać na aktach prawnych i wytycznych, a nie na zwyczaju redakcyjnym. Poniższe źródła mają znaczenie bezpośrednie albo interpretacyjne dla publikacji zdjęć i wideo.
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. - RODO, w szczególności art. 4, 5, 25, 32
- Ustawa z 23 kwietnia 1964 r. - Kodeks cywilny, art. 23 i 24
- Ustawa z 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych, art. 81
- Wytyczne 4/2019 EROD dotyczące art. 25 RODO - Data Protection by Design and by Default, przyjęte ostatecznie w 2020 r.
- Orzecznictwo TSUE dotyczące szerokiego rozumienia identyfikowalności osoby oraz praktyka organów nadzorczych w zakresie danych wizualnych
Zobacz też
- Rozmywanie twarzy
- Zamazywanie tablic rejestracyjnych
- Zgodność z RODO w anonimizacji wideo i zdjęć
- Oprogramowanie on-premise do anonimizacji danych wizualnych