Czy RODO (GDPR) wymaga rozmycia twarzy na filmie i czy rozmycie wystarczy?

W rozumieniu RODO (GDPR) film, na którym można rozpoznać osobę, to dane osobowe, więc jego udostępnienie wymaga podstawy prawnej, takiej jak zgoda albo prawnie uzasadniony interes. Rozmycie twarzy wszystkich osób, wobec których nie masz podstawy prawnej, to typowy sposób, by mimo to udostępnić film: rozmyta twarz z reguły nie jest już danymi osobowymi. To jednak nie wszystko, bo po głosie, imieniu, mundurze czy miejscu wciąż można zidentyfikować ludzi.

Kiedy rozmycie to praktyczne rozwiązanie

Udostępnianie nagrania klientowi, ubezpieczycielowi, urzędowi lub sądowi, gdy pojawiają się na nim osoby postronne.
Publikowanie materiałów marketingowych lub z wydarzeń nagranych w miejscu publicznym.
Przekazanie nagrania z monitoringu lub kamerki samochodowej w odpowiedzi na żądanie dostępu do danych, gdy trzeba chronić inne osoby.
Materiały szkoleniowe lub badawcze, które opuszczają organizację.

Jak to zrobić

Trzymaj oryginał na urządzeniu albo w miejscu, nad którym masz kontrolę. Nie wysyłaj go do edytora w chmurze tylko po to, by go rozmyć; to nowa operacja przetwarzania z nowym podmiotem przetwarzającym.
Rozmyj lub zapikseluj każdą twarz, wobec której nie masz podstawy prawnej. W Anonimo twarze są pogrupowane według osób: dotknij osób, które wyraziły zgodę, a wszyscy pozostali zostaną zakryci w każdej klatce, na iPhonie.
Wyeksportuj film w pełnej rozdzielczości w Pro, żeby udostępniony plik nadawał się do użytku, i udostępnij tylko rozmyty plik.
Zanotuj, co i kiedy zostało zrobione. Twój rejestr czynności przetwarzania powinien uwzględniać rozmycie.

Czego rozmycie nie robi

Nie usuwa głosów. Osobę, która mówi, można rozpoznać po głosie i po tym, co mówi.
Nie usuwa imion, identyfikatorów, tablic rejestracyjnych, tatuaży ani charakterystycznego ubrania.
Nie zmienia kontekstu: mały zespół nagrany we własnym biurze jest rozpoznawalny dla współpracowników nawet po rozmyciu.
Lekkie rozmycie gaussowskie na dobrze znanej twarzy jest słabe; pikselizacja albo emoji ukrywają więcej. Nie twierdzimy, że jakakolwiek zasłona jest nieodwracalna.

Jeśli chcesz to zrobić automatycznie na swoim iPhonie, Anonimo znajduje każdą twarz na filmie, grupuje je według osób i rozmywa wszystkich oprócz wybranych osób. Nic nie opuszcza telefonu.

Plusy i minusy

Rozmycie na urządzeniu pozwala uniknąć angażowania kolejnego podmiotu przetwarzającego; usługa rozmywania w chmurze sama w sobie rodzi pytania na gruncie RODO (GDPR).
Pikselizacja ukrywa więcej niż miękkie rozmycie; miękkie rozmycie wygląda lepiej w materiałach marketingowych.
Rozmycie wszystkich jest najprostsze; pozostawienie widocznych osób, które wyraziły zgodę, wymaga ewidencji, kto jej udzielił.

Pytania

Czy rozmyta twarz to nadal dane osobowe w rozumieniu RODO (GDPR)?

Sama w sobie zwykle nie, jeśli osoby nie da się już zidentyfikować rozsądnymi środkami. Inne elementy filmu wciąż mogą sprawiać, że nagranie jest danymi osobowymi; wytyczne samych organów nadzorczych znajdziesz na stronach poszczególnych krajów.

Czy RODO (GDPR) dotyczy moich filmów z wakacji?

Filmowanie w ramach czynności o czysto osobistym lub domowym charakterze nie podlega RODO (GDPR). Publikacja w otwartym internecie z reguły już tak, więc wtedy liczą się przepisy Twojego kraju o zgodzie i prawie do wizerunku.

Czy mogę użyć narzędzia w chmurze, żeby rozmyć twarze na potrzeby RODO (GDPR)?

Możesz, ale samo przesłanie jest przetwarzaniem danych osobowych przez inną firmę, które wymaga umowy powierzenia przetwarzania i podstawy prawnej. Rozmycie na urządzeniu pozwala uniknąć tego problemu.