Anonimizacja wideo w badaniach naukowych - definicja
Anonimizacja wideo w badaniach naukowych to zestaw działań technicznych i organizacyjnych, których celem jest takie przygotowanie nagrań i zdjęć badawczych, aby ograniczyć lub wyeliminować możliwość identyfikacji osób fizycznych widocznych w materiale. W praktyce dotyczy to głównie twarzy, tablic rejestracyjnych oraz innych elementów ujawniających tożsamość, jeśli występują w obrazie i mają znaczenie identyfikacyjne w danym kontekście badawczym.
W kontekście materiałów wizualnych trzeba odróżnić anonimizację od pseudonimizacji. Zgodnie z RODO, pseudonimizacja nadal oznacza przetwarzanie danych osobowych, ponieważ możliwe jest przypisanie danych do konkretnej osoby przy użyciu dodatkowych informacji. Anonimizacja ma charakter nieodwracalny. W praktyce badawczej pełna anonimizacja nagrań bywa trudna, ponieważ identyfikacja może wynikać nie tylko z twarzy, ale też z kontekstu sceny, głosu, ubioru, lokalizacji, czasu zdarzenia lub metadanych pliku. Dlatego wiele zbiorów po zamazaniu twarzy i tablic rejestracyjnych nadal należy traktować jako materiały o zredukowanym ryzyku identyfikacji, a nie zawsze jako dane definitywnie anonimowe.
Podstawą prawną oceny jest rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, czyli RODO, stosowane od 25 maja 2018 r., a także wytyczne Europejskiej Rady Ochrony Danych dotyczące m.in. pseudonimizacji, minimalizacji danych i privacy by design. W badaniach naukowych dochodzą też zgody i opinie komisji etycznych, polityki instytucji badawczej, wymogi grantodawców oraz standardy archiwizacji i udostępniania danych badawczych.
Rola anonimizacji wideo w badaniach naukowych
W badaniach naukowych nagrania wideo i fotografie są wykorzystywane między innymi w naukach społecznych, medycynie, psychologii, transporcie, ergonomii, edukacji, sporcie i badaniach zachowań. Taki materiał może być bardzo wartościowy analitycznie, ale jednocześnie zawierać dane osobowe lub szczególne kategorie danych osobowych, jeżeli pokazuje stan zdrowia, niepełnosprawność, dzieci albo sytuacje intymne.
Anonimizacja służy tu kilku celom jednocześnie:
- realizacji zasady minimalizacji danych z art. 5 ust. 1 lit. c RODO,
- ograniczeniu ryzyka naruszenia praw i wolności uczestników badań,
- umożliwieniu bezpieczniejszego udostępniania materiałów zespołowi badawczemu, audytorom lub archiwom danych,
- spełnieniu warunków zgody etycznej, jeśli komisja wymaga deidentyfikacji materiału przed analizą lub publikacją,
- przygotowaniu materiału do wtórnego wykorzystania badawczego zgodnie z polityką instytucji.
W badaniach opartych na obrazie samo usunięcie metadanych pliku nie wystarcza. Jeżeli na nagraniu widoczna jest twarz, numer rejestracyjny pojazdu albo inny unikalny identyfikator, materiał nadal może umożliwiać identyfikację. Dlatego kluczowe są techniki ingerujące bezpośrednio w warstwę obrazu.
Jak przebiega anonimizacja zdjęć i nagrań badawczych
Proces powinien być zaplanowany przed rozpoczęciem zbierania materiału. W praktyce oznacza to opisanie źródeł ryzyka identyfikacji, ustalenie podstawy prawnej przetwarzania oraz określenie, które elementy obrazu będą podlegały maskowaniu automatycznemu, a które manualnemu.
Typowy proces obejmuje następujące etapy:
- Inwentaryzację materiału - zdjęcia, sekwencje wideo, formaty plików, metadane, długość nagrań, liczba osób.
- Klasyfikację ryzyka - czy materiał pokazuje dzieci, pacjentów, osoby w sytuacjach wrażliwych, lokalizacje prywatne.
- Detekcję obiektów identyfikujących - przede wszystkim twarzy i tablic rejestracyjnych.
- Maskowanie - najczęściej przez rozmycie, pikselizację lub trwałe zasłonięcie obszaru.
- Kontrolę jakości - weryfikację, czy nie pozostały klatki z widoczną twarzą lub tablicą.
- Archiwizację - rozdzielenie wersji źródłowej i wersji zanonimizowanej, nadanie uprawnień i retencji.
W przypadku Gallio PRO automatyczne zamazywanie dotyczy twarzy i tablic rejestracyjnych. Oprogramowanie nie wykrywa automatycznie logotypów, tatuaży, identyfikatorów osobistych, dokumentów ani treści na monitorach. Takie elementy można zamazać manualnie we wbudowanym edytorze. Jest to istotne w badaniach terenowych, laboratoryjnych i obserwacyjnych, gdzie źródłem identyfikacji bywa nie tylko wizerunek.
Technologie stosowane do anonimizacji wideo
Skuteczna anonimizacja materiału wizualnego wymaga poprawnej detekcji obiektów w każdej klatce lub na reprezentatywnych klatkach zdjęciowych. W praktyce wykorzystuje się modele uczenia maszynowego, najczęściej z obszaru deep learning. To konieczne, ponieważ klasyczne metody oparte wyłącznie na cechach obrazu są zwykle mniej odporne na zmianę oświetlenia, kąta kamery, częściowe zasłonięcie twarzy lub ruch.
Technicznie proces wygląda zwykle tak:
- model detekcyjny lokalizuje twarz albo tablicę rejestracyjną w obrazie,
- algorytm śledzenia łączy wykrycia między kolejnymi klatkami,
- moduł maskowania nakłada efekt rozmycia lub zasłonięcia na cały wykryty obszar,
- operator wykonuje przegląd materiału i poprawki manualne.
Do budowy modeli detekcyjnych stosuje się architektury CNN lub ich nowsze warianty, a w zadaniach wykrywania obiektów również modele jednokrokowe i dwukrokowe. Kluczowe jest jednak nie to, jaka architektura została użyta, ale czy model osiąga odpowiednią czułość i stabilność na danych podobnych do tych, które występują w badaniu. Materiał z kamer stacjonarnych, telefonów, kamer nasobnych i laboratoriów ma inne właściwości, więc model powinien być walidowany dla konkretnego zastosowania.
Ważne ograniczenie praktyczne polega na tym, że Gallio PRO nie wykonuje anonimizacji w czasie rzeczywistym ani anonimizacji strumienia wideo. Jest to rozwiązanie do przetwarzania materiałów zapisanych, co w badaniach naukowych zwykle jest zgodne z rzeczywistym przebiegiem pracy badawczej i procedurą archiwizacji.
Kluczowe parametry i metryki anonimizacji wideo
Ocena jakości anonimizacji nie powinna opierać się wyłącznie na deklaracji, że materiał został zamazany. Potrzebne są mierzalne wskaźniki detekcji i kontroli jakości. W praktyce stosuje się zarówno metryki z obszaru computer vision, jak i wskaźniki operacyjne związane z przetwarzaniem zbioru.
Parametr
Znaczenie
Dlaczego jest ważny w badaniach
Recall
Odsetek rzeczywiście występujących twarzy lub tablic wykrytych przez system
Niski recall oznacza ryzyko pozostawienia widocznych danych osobowych
Precision
Odsetek poprawnych wykryć wśród wszystkich wykryć
Niska precision zwiększa liczbę błędnych masek i czas korekty manualnej
IoU
Intersection over Union dla pola wykrycia
Wpływa na to, czy maska pokrywa cały obszar twarzy lub tablicy
Miss rate na 1000 klatek
Liczba niewykrytych obiektów w przeliczeniu na 1000 klatek
Ułatwia ocenę ryzyka resztkowego w długich nagraniach
Czas przetwarzania
Minuty materiału przetwarzane na godzinę pracy systemu
Wpływa na planowanie projektów i koszt operacyjny
Odsetek korekt manualnych
Udział nagrań wymagających ingerencji operatora
Pokazuje dojrzałość procesu i realny nakład pracy
Przy ocenie ryzyka można stosować prosty wskaźnik operacyjny:
Ryzyko resztkowe = P(niewykrycia) x Skutki ujawnienia x Ekspozycja materiału
Nie jest to wzór normatywny, ale użyteczny model roboczy w DPIA i ocenie projektu badawczego. Każdy składnik powinien być opisany jakościowo lub liczbowo zgodnie z metodyką instytucji.
RODO, zgody etyczne i archiwizacja materiałów badawczych
W badaniach naukowych sama anonimizacja obrazu nie zwalnia z obowiązków prawnych na wcześniejszych etapach cyklu życia danych. Jeżeli materiał źródłowy zawiera dane osobowe, jego pozyskanie, przechowywanie i przetwarzanie musi mieć podstawę prawną. W praktyce najczęściej będzie to zadanie realizowane w interesie publicznym, zgoda uczestnika lub inna podstawa przewidziana w przepisach krajowych i wewnętrznych regulacjach instytucji.
Najważniejsze wymagania obejmują:
- art. 5 RODO - zasady przetwarzania, w tym zgodność z prawem, minimalizacja, ograniczenie celu, integralność i poufność,
- art. 9 RODO - szczególne kategorie danych, jeżeli nagranie ujawnia np. stan zdrowia,
- art. 25 RODO - privacy by design i privacy by default,
- art. 32 RODO - odpowiednie środki bezpieczeństwa,
- art. 35 RODO - ocena skutków dla ochrony danych, gdy ryzyko jest wysokie.
W projektach naukowych znaczenie mają też zgody i opinie komisji etycznych. Dokumentacja etyczna powinna wskazywać, czy materiał będzie archiwizowany, jak długo, kto uzyska dostęp do wersji źródłowej i czy planowane jest udostępnienie danych wtórnym badaczom. Dobrą praktyką jest przechowywanie wersji surowej w środowisku o podwyższonych zabezpieczeniach, a do analiz zespołowych i publikacji przekazywanie wyłącznie wersji zanonimizowanej lub co najmniej zredukowanej pod względem ryzyka identyfikacji.
W obszarze archiwizacji warto odwoływać się do zasad FAIR dla danych badawczych, opublikowanych w 2016 r., z zastrzeżeniem, że dostępność i interoperacyjność nie mogą naruszać ochrony prywatności. W praktyce oznacza to rozdzielenie warstwy opisowej od plików zawierających obraz oraz kontrolę uprawnień do repozytoriów.
Wyzwania i ograniczenia anonimizacji materiałów wizualnych
Największym problemem jest to, że identyfikacja osoby może wynikać z kombinacji cech. Zamazanie twarzy nie zawsze wystarcza. W badaniu może identyfikować nietypowy ubiór, miejsce, głos, znana godzina zdarzenia albo towarzystwo innych osób. Dlatego decyzja, czy materiał jest już anonimowy, wymaga oceny kontekstowej.
Istotne są też ograniczenia prawne i interpretacyjne. W wielu państwach europejskich zamazywanie tablic rejestracyjnych jest co do zasady standardem ostrożności i wynika z krajowych praktyk regulacyjnych oraz szerokiego podejścia do ochrony prywatności. W Polsce kwestia tablic rejestracyjnych jest mniej jednoznaczna. Z jednej strony UODO i część orzecznictwa unijnego wskazują na potrzebę ostrożnego traktowania identyfikatorów pośrednich. Z drugiej strony w orzecznictwie NSA pojawia się stanowisko, że tablica rejestracyjna sama w sobie nie zawsze stanowi daną osobową. W badaniach naukowych bezpieczniejsze jest przyjęcie podejścia ostrożnościowego i maskowanie tablic, zwłaszcza przy publikacji materiału.
Wizerunek osoby również wymaga odrębnej uwagi. Obowiązki wynikają nie tylko z RODO, ale też z Kodeksu cywilnego i ustawy o prawie autorskim i prawach pokrewnych. W praktyce istnieją wyjątki dotyczące osób publicznych, szerszej sceny oraz sytuacji wynagrodzenia za pozowanie, ale ich zastosowanie wymaga każdorazowej analizy celu badania i sposobu dalszego wykorzystania materiału.
Przykłady zastosowań anonimizacji wideo w badaniach naukowych
Anonimizacja zdjęć i nagrań ma sens przede wszystkim tam, gdzie obraz jest potrzebny do analizy zjawiska, ale tożsamość osoby nie jest potrzebna badaczowi albo powinna być ograniczona do wąskiego grona uprawnionych osób.
- Badania zachowań pieszych i kierowców - maskowanie twarzy i tablic rejestracyjnych przed analizą ruchu.
- Analiza interakcji w klasie szkolnej - zamazywanie twarzy uczniów przed przekazaniem materiału zewnętrznym koderom.
- Badania medyczne i rehabilitacyjne - ograniczenie identyfikacji pacjenta w nagraniach ćwiczeń lub konsultacji.
- Badania UX i eyetracking w laboratorium - ochrona tożsamości uczestnika przy zachowaniu informacji o zachowaniu i ruchu.
- Badania terenowe w przestrzeni publicznej - publikacja materiałów ilustracyjnych dopiero po maskowaniu osób i pojazdów.
Odniesienia normatywne i źródła
Poniższe akty i dokumenty stanowią podstawę interpretacji pojęcia oraz praktyki anonimizacji materiałów wizualnych w badaniach naukowych:
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. - RODO.
- Article 29 Working Party, Opinion 05/2014 on Anonymisation Techniques, 10 April 2014.
- European Data Protection Board - wytyczne dotyczące RODO, privacy by design, zgody oraz wytyczne dotyczące przetwarzania danych do celów badań naukowych, o ile mają zastosowanie.
- OECD Recommendation of the Council concerning Access to Research Data from Public Funding, 2021.
- Wilkinson et al., The FAIR Guiding Principles for scientific data management and stewardship, Scientific Data 3, 2016.
- Ustawa z 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych.
- Kodeks cywilny - przepisy dotyczące dóbr osobistych, w tym wizerunku i prywatności.
Jeżeli instytucja stosuje lokalne polityki zarządzania danymi badawczymi, repozytoriami i retencją, należy je traktować jako warstwę uzupełniającą wobec przepisów powszechnych. W praktyce to one często precyzują minimalne okresy archiwizacji, model dostępu i wymagania dokumentacyjne dla materiałów wideo.
Zobacz też
- Anonimizacja danych
- Rozmywanie twarzy
- Rozmywanie tablic rejestracyjnych
- Zgodność z RODO