Zamazana twarz a RODO: czy zamazany wizerunek to nadal dane osobowe
Kiedy zamazanie twarzy naprawdę anonimizuje zdjęcie, a kiedy osobę nadal da się rozpoznać. RODO, art. 81 prawa autorskiego, monitoring i lista rzeczy do sprawdzenia przed publikacją.
Spis treści
- Czy wizerunek to dane osobowe według RODO
- Anonimizacja wizerunku a pseudonimizacja
- Kiedy zamazana twarz nadal pozwala rozpoznać osobę
- Zamazany wizerunek a zgoda z art. 81 prawa autorskiego
- A jeśli publikuję prywatnie?
- Zamazywanie twarzy na nagraniach z monitoringu
- Jak skutecznie anonimizować zdjęcia: lista kontrolna
- Najczęstsze pytania
Krótka odpowiedź
Zamazana twarz przestaje być daną osobową tylko wtedy, gdy osoby nie da się już zidentyfikować, ani po twarzy, ani po niczym innym. Skuteczna anonimizacja wizerunku wyłącza zdjęcie spod RODO i zwykle zwalnia z obowiązku zgody na rozpowszechnianie wizerunku. Jeśli jednak osobę zdradza tatuaż, ubiór, podpis, miejsce albo słaby efekt zamazania, zdjęcie nadal zawiera dane osobowe.
- Przepisy: RODO i art. 81 prawa autorskiego.
- Praktyka: po czym rozpoznaje się osobę bez twarzy.
- Lista kontrolna: jak skutecznie anonimizować zdjęcia.
Czy wizerunek to dane osobowe według RODO
Tak. Według art. 4 pkt 1 RODO danymi osobowymi są informacje o osobie zidentyfikowanej lub możliwej do zidentyfikowania, między innymi po cechach fizycznych. Zdjęcie, na którym widać twarz, to typowy przykład takich informacji.
Kluczowe jest słowo możliwej. Nie chodzi o to, czy Ty wiesz, kto jest na zdjęciu, tylko czy ktokolwiek mógłby to ustalić. Motyw 26 RODO mówi, że przy ocenie bierze się pod uwagę wszystkie sposoby, którymi można się rozsądnie posłużyć, uwzględniając koszt i czas potrzebny do identyfikacji. Te same przepisy stwierdzają, że RODO nie dotyczy informacji anonimowych.
Zwykłe zdjęcie nie jest przy tym automatycznie daną biometryczną. Staje się nią dopiero wtedy, gdy jest przetwarzane specjalnymi metodami technicznymi pozwalającymi na jednoznaczną identyfikację, na przykład przez system rozpoznawania twarzy (motyw 51 RODO).
Anonimizacja wizerunku a pseudonimizacja
| Anonimizacja | Pseudonimizacja | |
|---|---|---|
| Czy da się odwrócić | Nie | Tak, przy pomocy dodatkowych informacji |
| Czy to dane osobowe | Nie, RODO nie obowiązuje | Tak, RODO obowiązuje |
| Przykład ze zdjęciem | Twarz zamalowana, brak tatuaży, napisów, podpisu i metadanych | Twarz zamazana, ale podpis „Kasia z 3b” albo oryginał w folderze obok |
Ważna konsekwencja dla firm, szkół i redakcji: opublikowane zdjęcie może być anonimowe dla odbiorców, a jednocześnie Ty nadal przetwarzasz dane osobowe, bo masz oryginał. Oryginał trzeba więc chronić albo usunąć, gdy przestaje być potrzebny.
Kiedy zamazana twarz nadal pozwala rozpoznać osobę
Europejscy regulatorzy ochrony danych (Grupa Robocza Art. 29 w opinii 05/2014 o technikach anonimizacji) opisali trzy ryzyka, które dobrze pasują do zdjęć: wyodrębnienie konkretnej osoby, powiązanie z innymi danymi i wnioskowanie z kontekstu. W praktyce osobę z zamazaną twarzą zdradzają:
- Słaby efekt. Lekkie rozmycie albo drobna pikseloza, przez które prześwitują rysy. Przyjaciele rozpoznają osobę po samym zarysie.
- Cechy szczególne. Tatuaż, blizna, charakterystyczna fryzura, sylwetka, wózek inwalidzki, nietypowy strój.
- Napisy w kadrze. Imię na koszulce, identyfikator, logo szkoły lub firmy, tablica rejestracyjna, numer domu.
- Kontekst publikacji. Podpis z imieniem, oznaczenie osoby, komentarze, profil, na którym zdjęcie się pojawia.
- Seria zdjęć. Na jednym ujęciu twarz jest zamazana, a na kolejnym w tej samej galerii już nie.
- Metadane. Współrzędne GPS i data w pliku potrafią wskazać dom albo szkołę. Zobacz, jak usunąć lokalizację ze zdjęcia.
Zamazany wizerunek a zgoda z art. 81 prawa autorskiego
Poza RODO wizerunek chroni art. 81 ustawy o prawie autorskim i prawach pokrewnych: rozpowszechnianie wizerunku wymaga zezwolenia osoby na nim przedstawionej. Przepis dotyczy jednak wizerunku, czyli rozpoznawalnych cech osoby. Jeśli po zamazaniu nie da się jej rozpoznać, co do zasady nie rozpowszechniasz jej wizerunku i zgoda z art. 81 nie jest potrzebna.
W ocenie rozpoznawalności liczy się nie tylko obcy widz, ale także krąg osób, które znają tę osobę: rodzina, sąsiedzi, współpracownicy. Jeśli oni by ją rozpoznali, zamazanie nie zadziałało. Kiedy wolno publikować wizerunek bez zgody i co grozi za naruszenie, opisaliśmy w tekście publikacja wizerunku bez zgody, a gotowe wzory zgody znajdziesz w artykule zgoda na publikację wizerunku: wzór.
A jeśli publikuję prywatnie?
RODO nie obejmuje przetwarzania danych w ramach czynności o czysto osobistym lub domowym charakterze (art. 2 ust. 2 lit. c). Zdjęcia w rodzinnym albumie czy wysłane bliskim w prywatnej wiadomości to typowy przykład. Trybunał Sprawiedliwości UE w wyroku w sprawie Bodil Lindqvist z 6 listopada 2003 r. uznał jednak, że publikacja w internecie dostępna dla nieokreślonej liczby osób nie jest działalnością czysto osobistą. Publiczny post z cudzą twarzą nie korzysta więc z tego wyjątku, a zamazanie twarzy jest najprostszym sposobem, żeby problem w ogóle nie powstał.
Zamazywanie twarzy na nagraniach z monitoringu
Gdy ktoś prosi o kopię nagrania ze swoim udziałem (prawo dostępu z art. 15 RODO), administrator nie może przy okazji ujawnić innych osób. Europejska Rada Ochrony Danych w wytycznych 3/2019 dotyczących urządzeń wideo wskazuje, że wizerunki osób trzecich trzeba wtedy zanonimizować, na przykład przez zamazanie. To samo dotyczy publikowania kadrów z monitoringu: twarze przypadkowych przechodniów, klientów czy pracowników powinny zostać zakryte.
Narzędzia do zdjęć nie obsłużą filmu. Pojedyncze kadry z nagrania zamażesz jak zwykłe zdjęcia, a do całych nagrań potrzebny jest program ze śledzeniem twarzy. Przegląd znajdziesz w zestawieniu aplikacja do zamazywania twarzy.
Jak skutecznie anonimizować zdjęcia: lista kontrolna
- Zakryj całą głowę, nie tylko oczyPasek na oczach nie anonimizuje. Obejmij czoło, brodę, uszy i włosy.
- Wybierz mocny efektPrzy ważnych zdjęciach zamalowanie albo pikseloza z dużymi kwadratami. Rozmycie tylko w wysokiej intensywności. Porównanie: blurowanie twarzy i jak spikselować zdjęcie.
- Zakryj inne cechy i napisyTatuaże, identyfikatory, logo, tablice rejestracyjne, adresy. Zobacz, jak zamazać coś na zdjęciu.
- Sprawdź odbicia i całą serięLustra, szyby, ekrany i wszystkie zdjęcia z tej samej galerii.
- Usuń metadane i nie podpisujPlik bez EXIF i GPS, bez imienia w opisie i bez oznaczania osób.
- Publikuj spłaszczony plikJPG albo PNG, nigdy PSD, XCF czy prezentację, w której pod efektem leży oryginał.
- Zrób test znajomegoCzy ktoś, kto zna tę osobę, rozpoznałby ją na tym zdjęciu? Jeśli tak, zakryj więcej.
Kiedy RODO obejmuje publikację zdjęć z imprez i zdjęć grupowych, wyjaśniamy w tekście RODO a zdjęcia, a zasady dla nagrań z kamer w artykule publikacja wizerunku z monitoringu.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej. W konkretnej sprawie skonsultuj się z prawnikiem albo inspektorem ochrony danych.
Najczęstsze pytania
Czy zamazana twarz to nadal dane osobowe?
To zależy od tego, czy osobę nadal da się zidentyfikować. Jeśli po zamazaniu twarzy nikt rozsądnymi sposobami nie ustali, kto jest na zdjęciu, opublikowany obraz jest anonimowy i RODO go nie obejmuje. Jeśli osobę zdradza tatuaż, ubiór, podpis, miejsce albo inne zdjęcia z tej samej serii, to nadal są dane osobowe.
Czy na publikację zdjęcia z zamazaną twarzą potrzebna jest zgoda?
Jeśli osoba jest nierozpoznawalna, co do zasady nie rozpowszechniasz jej wizerunku w rozumieniu art. 81 prawa autorskiego, więc zgoda z tego przepisu nie jest potrzebna. Warunek jest jeden: nie rozpoznają jej także znajomi i rodzina. To informacja ogólna, a nie porada prawna.
Czym się różni anonimizacja od pseudonimizacji?
Anonimizacja trwale uniemożliwia identyfikację, więc dane przestają być danymi osobowymi. Pseudonimizacja tylko utrudnia identyfikację, bo da się ją odwrócić przy pomocy dodatkowych informacji, na przykład oryginalnego zdjęcia albo listy osób. Dane spseudonimizowane nadal podlegają RODO.
Czy firma może opublikować zdjęcie z zamazanymi twarzami pracowników lub klientów?
Tak, jeśli zamazanie jest skuteczne i nic innego nie pozwala ustalić, kim są te osoby. Firma, która przechowuje oryginalne, niezamazane zdjęcie, nadal przetwarza dane osobowe i musi mieć do tego podstawę prawną, a oryginał chronić.
Jak zanonimizować zdjęcie zgodnie z RODO?
Zakryj twarz z zapasem mocnym efektem albo zamalowaniem, zakryj tatuaże, tablice rejestracyjne, identyfikatory i napisy, usuń metadane EXIF z lokalizacją i nie dodawaj podpisu z imieniem. Na koniec zadaj sobie pytanie, czy znajomy tej osoby by ją rozpoznał.