Monitoring wizyjny
Wydanie nagrania bez wydania wizerunku wszystkich pozostałych
Pikselujemy cały kadr, a następnie odsłaniamy wyłącznie osobę, której nagranie dotyczy. Przetwarzanie odbywa się na naszym sprzęcie w Polsce, bez połączenia z internetem i bez udziału usług chmurowych.
Kiedy to potrzebne
Nagranie trzeba wydać, ale nie całe
Do administratora trafia żądanie kopii nagrania. Wnioskodawca ma do niej prawo, tylko że w kadrze stoi jeszcze siedem innych osób, które o niczym nie wiedzą i o nic nie prosiły. Artykuł 15 ust. 4 RODO mówi w tej sytuacji krótko: prawo do kopii nie może niekorzystnie wpływać na prawa i wolności innych. Odmowa wydania całości bywa więc uzasadniona – tylko że sama odmowa nie zamyka sprawy, bo wnioskodawcy nadal należy się to, co jego dotyczy.
Ten sam problem wraca przy materiale dla pełnomocnika strony, dla ubezpieczyciela i przy wewnętrznym postępowaniu dyscyplinarnym. W praktyce administrator staje przed wyborem: wydać za dużo albo nie wydać nic. Trzecie wyjście wymaga narzędzia.
Wniosek osoby, której dane dotyczą
Kopia nagrania w zakresie, w jakim przedstawia wnioskodawcę. Reszta kadru nieczytelna.
Postępowanie sądowe i ubezpieczeniowe
Materiał dla pełnomocnika, biegłego czy likwidatora szkody, bez wizerunku przypadkowych świadków.
Sprawy pracownicze
Nagranie do postępowania wyjaśniającego, w którym rozpoznawalna zostaje jedna osoba.
Zasada działania
Anonimizuj wszystko, odkryj tylko to, co konieczne
Kolejność ma tu znaczenie większe, niż się wydaje. Systemy, które wyszukują twarze i zasłaniają je pojedynczo, przy każdej pomyłce ujawniają czyjś wizerunek – bo brak wykrycia oznacza brak ochrony. My zaczynamy od pełnej pikselizacji kadru. Odsłonięcie kogokolwiek wymaga świadomej decyzji operatora i potwierdzenia przez algorytm.
Błąd systemu prowadzi więc do nadmiarowej ochrony, nie do wycieku. W ocenie audytora to jedyny układ, który da się obronić przed organem nadzorczym.
Co to oznacza w praktyce
Pikselizacja obejmuje cały kadr – sylwetki, tło i przedmioty, nie same twarze.
Osoba wskazana jest wycinana maską dopasowaną do obrysu sylwetki, nie prostokątem.
Gdy system traci osobę z pola widzenia, maska pozostaje z zapasem przez kilka klatek.
Operator może wykluczyć osobę podobną do chronionej; wykluczenie jest zapamiętywane.
Efekt
Kadr z nagrania po anonimizacji
Osoby postronne przestają być rozpoznawalne, a nagranie nadal pokazuje przebieg zdarzenia: kto gdzie szedł, co się stało i w jakiej kolejności.
Nakładkę kamery z datą i nazwą obiektu usuwamy z kadru albo zasłaniamy jednolitym polem. Samo rozmycie bywa odwracalne, więc go w tym miejscu nie stosujemy.
Przebieg
Cztery kroki od surowego materiału do pliku, który można wydać
01
Analiza materiału
Algorytm wykrywa sylwetki osób i nadaje każdej własny identyfikator. Dzięki temu system rozpoznaje tę samą osobę na kolejnych klatkach, również wtedy, gdy na moment zniknie za regałem albo wyjdzie poza kadr.
02
Wskazanie osoby chronionej
Operator oznacza w edytorze osobę, która ma pozostać rozpoznawalna. Oznaczeń robi się od kilku do kilkudziesięciu, z różnych momentów nagrania, żeby system rozpoznawał ją pod różnym kątem i w ruchu.
03
Anonimizacja
Cały obraz zostaje zpikselizowany, po czym sylwetka wskazanej osoby wraca z oryginału. Efekt: wszyscy poza nią są nierozpoznawalni, ona sama widoczna w pełnej jakości.
04
Weryfikacja i korekta
Operator przegląda wynik w widoku porównawczym, oryginał obok anonimizacji. Poprawki nanosi się na poziomie pojedynczych klatek, a w razie potrzeby pojedynczych pikseli.
Miejsce przetwarzania
Nagrania nie opuszczają naszej serwerowni
Modele rozpoznawania działają lokalnie. System nie wymaga połączenia z internetem, nie odpytuje zewnętrznych API i nie korzysta z usług chmurowych – ani przy detekcji, ani przy porównywaniu sylwetek. Materiał źródłowy i wynikowy pozostają na sprzęcie w Polsce przez cały cykl życia zlecenia, a po jego zakończeniu są trwale usuwane.
On-premises
Infrastruktura obliczeniowa stoi fizycznie w Polsce, w środowisku pod naszą kontrolą.
Offline
Stacja przetwarzająca pracuje bez dostępu do sieci. Żadna klatka nie trafia na zewnątrz.
Bez transferu poza EOG
Nie powstaje kwestia z rozdziału V RODO, bo dane nigdzie nie wyjeżdżają.
Poziomy zabezpieczenia obrazu
Dwa tryby do wyboru, trzeci wyłącznie roboczo
Tryb standardowy w zupełności wystarcza do materiału z monitoringu. Rozpoznanie twarzy po takiej pikselizacji jest nierealne zarówno dla człowieka, jak i dla algorytmu. Tryb wzmocniony proponujemy tam, gdzie nagranie może trafić do podmiotu dysponującego zaawansowanymi narzędziami analitycznymi.
Standardowy
Pikselizacja z rozmyciem gaussowskim. Ustawienie domyślne, stosowane w większości zleceń.
Wzmocniony
Dodatkowo losowe przesunięcia siatki pikseli i szum kolorystyczny. Utrudnia próby rekonstrukcji obrazu sieciami neuronowymi.
Lekki
Prosta mozaika blokowa. Wyłącznie do podglądów roboczych – nie wydajemy w nim materiału.
Rozliczalność
Do każdego nagrania dołączamy raport
Zapytany o to, dlaczego wydał akurat taki materiał, administrator powinien mieć czym odpowiedzieć. Sam plik wideo tego nie udokumentuje. Dlatego każde przetworzenie kończy się raportem, który pokazuje, jak przebiegała ochrona kadru i w których momentach system był mniej pewny.
Raport odpowiada na wymóg rozliczalności z art. 5 ust. 2 RODO i zostaje w dokumentacji razem z decyzją o udostępnieniu.
Co zawiera
Parametry materiału źródłowego: rozdzielczość, czas trwania, liczba klatek
Udział poszczególnych mechanizmów ochrony w czasie nagrania
Oś czasu z zaznaczeniem momentów o niższym zaufaniu do identyfikacji
Wykaz klatek, które wymagały uwagi operatora
Pokrycie: jaki procent obecności osoby chronionej został obsłużony poprawnie
Podstawa współpracy
Umowa powierzenia przed przekazaniem pierwszego pliku
Przetwarzamy wizerunki osób widocznych na nagraniu, więc działamy jako podmiot przetwarzający. Artykuł 28 RODO wymaga w takim układzie umowy powierzenia i nie jest to formalność do uzupełnienia później – umowa musi obowiązywać, zanim materiał do nas trafi.
Dysponujemy własnym wzorem. Określa przedmiot, czas trwania, charakter i cel przetwarzania, rodzaj danych i kategorie osób, gwarancje bezpieczeństwa oraz procedurę trwałego usunięcia materiałów po zakończeniu prac. Na życzenie zawieramy dodatkowo odrębną umowę o zachowaniu poufności.
Z bloga na ten temat
Pisaliśmy o tym szerzej
-
Anonimizacja nagrań wideo – jak udostępniać monitoring bez naruszania praw osób trzecich
Wyobraźmy sobie sytuację: pracownik składa wniosek o udostępnienie nagrania z kamery w magazynie. Twierdzi, że doszło do incydentu i potrzebuje dowodu. Na…
-
Monitoring wizyjny w placówkach medycznych, a prawo pacjenta do poszanowania godności i intymności.
Od kilkunastu lat w Polsce obserwuje się wzrost ilości urządzeń rejestrujących obraz, będących jednym z elementów systemu wpływającego na poziom i poczucie…
-
Chińczycy muszą skanować twarz, aby uzyskać dostęp do sieci, bądź zakupić nowy telefon.
Od 1 grudnia 2019 roku w Chinach obowiązują nowe regulacje prawne, wprowadzone przez chińskie Ministerstwo Przemysłu i Technologii Informacyjnych (MIIT), w zakresie…
Mają Państwo nagranie do wydania i wątpliwość, ile z niego pokazać?
Prześlemy wycenę po ustaleniu długości materiału i liczby osób do odsłonięcia.
