Dronebilder kan være personopplysninger uten synlig ansikt
Fravær av ansikt beviser ikke at bildet er anonymt. Undersøk opplysningene og den faktiske sammenhengen i et rent syntetisk læringscase.
Et dronebilde uten et synlig ansikt er ikke automatisk anonymt. Opplysninger om sted, tidspunkt og sammenheng kan gjøre en person identifiserbar selv om ett tydelig kjennetegn er skjult. Kontrollspørsmålet må derfor gjelde hele materialet og den relevante sammenhengen.
Denne papirøvelsen undersøker identifiserbarhet, ikke hvordan du kan finne identiteten til virkelige personer. Ingen faktiske bilder eller personopplysninger er brukt. Eksemplet gjelder en virksomhets dokumentasjon, og er ikke en generell konklusjon om all privat fotografering.
Begynn med definisjonen, ikke ansiktet
Datatilsynets forklaring av personopplysninger omfatter opplysninger som kan knyttes til en enkeltperson direkte eller indirekte. Veiledningen viser også at flere opplysninger kan gi en identifiserende sammenheng selv om én opplysning isolert ikke gjør det.
Veiledningen om virksomheters dronebruk omtaler bilder, lokasjonsdata og andre opplysninger som kan knyttes til personer. Det er derfor ikke tilstrekkelig å kontrollere bare om ansiktet er tydelig i den eksporterte bildefilen.
Dette betyr ikke at hvert landskapsbilde er en personopplysning. Du må undersøke om materialet faktisk inneholder opplysninger om en identifisert eller identifiserbar person. Et bilde av et tomt, uidentifiserende område og et bilde som kan knyttes til en bestemt person har forskjellige forutsetninger.
Et konstruert bilde med kjent sammenheng
En virksomhet har et fiktivt dokumentasjonsbilde. Personen i bildet har skjult ansikt. Filen er knyttet til en bestemt oppdragsadresse og et tidspunkt. I den samme dokumentmappen finnes en oppdragsplan som bekrefter hvilken navngitt medarbeider som var på stedet da bildet ble tatt.
En deltaker skriver: «Ansiktet er skjult, derfor har vi ingen personopplysninger.» Den oppgitte koblingen gjør denne begrunnelsen for svak. Ansiktet er ikke den eneste informasjonen som kan knytte materialet til medarbeideren.
| Del av grunnlaget | Hva den viser | Hva den ikke alene avgjør |
|---|---|---|
| Ansiktet er skjult | Ett visuelt kjennetegn er fjernet | At alle identifiserende forbindelser er borte |
| Sted og tidspunkt | Bildets oppgitte sammenheng | Hvem som var der uten andre opplysninger |
| Dokumentert oppdragsplan | Kobling til medarbeider i dette eksemplet | At enhver adresse alltid identifiserer en person |
| Samlet dokumentmappe | Et konkret identifiseringsgrunnlag | At behandlingen ellers er lovlig |
Konklusjonen følger av den uttrykkelig dokumenterte sammenhengen i papircaset. Den er ikke en oppfordring til å lete etter virkelige personer eller lage nye koblinger uten behov og grunnlag.
Skill fjerning av ett felt fra anonymitet
Sladding av ansikt kan redusere en risiko. Det dokumenterer ikke alene resultatet for hele materialet. Undersøk hva som fortsatt vises i bildet, hva filen inneholder og hvilke relevante opplysninger materialet er koblet til.
Hvis oppgaven bare sier at ansiktet er skjult, men ikke oppgir resten av sammenhengen, bør svaret begrenses. Du kan bekrefte den synlige endringen, men kan ikke uten videre erklære alt anonymt. Forklar hvilken informasjon som må avklares før den sterkere påstanden kan vurderes.
Påstand og dokumentasjon hjelper deg å finne spranget i begrunnelsen. En presis observasjon blir mindre presis når den utvides til en konklusjon om hele datasettet.
Formål og lovlighet kommer i tillegg
At et bilde er en personopplysning, betyr ikke automatisk at enhver behandling av bildet er forbudt. Det betyr at relevant personvernregelverk og behandlingen må vurderes. Virksomhetens formål, grunnlag og nødvendige opplysninger er egne spørsmål.
Datatilsynets droneveiledning omtaler blant annet bestemte formål og begrensning til nødvendige data. Denne øvelsen velger ikke et behandlingsgrunnlag for en virkelig virksomhet. Den undersøker bare hvorfor manglende ansikt ikke avgjør om det finnes personopplysninger.
Et samtykke eller et annet grunnlag må heller ikke antas bare fordi bildet er teknisk mulig å ta. Tillatelse til å bruke en drone og grunnlag for å behandle bildedata har forskjellige roller. Droneøving etter kategori og krav gir bakgrunn for å holde delene atskilt.
Endre koblingen i læringskortet
Lag en ny variant uten en kjent personkobling i oppdragsplanen. Be deltakeren forklare hva som nå er kjent og hva som er uavklart. Ikke bytt automatisk til fasiten «anonymt» bare fordi ett identifikasjonsgrunnlag forsvinner.
Lag deretter en variant hvor en ren dokumentkode erstatter medarbeiderens navn, men virksomheten fortsatt har en oversikt som kobler koden til personen. Da viser øvelsen hvorfor en ny etikett ikke nødvendigvis gjør personen uidentifiserbar for virksomheten.
Hold disse variantene rent syntetiske. Du kan lære begrepsforskjellen uten å bruke bilder av ansatte, naboer eller tilfeldige personer som testmateriale. Det reduserer også risikoen for at selve øvelsen skaper en ny personvernsak.
Gi et begrenset og forståelig svar
Et godt svar beskriver hvilke opplysninger som kan knyttes til personen i det oppgitte caset, og hvorfor fravær av ansikt ikke er tilstrekkelig. Det sier også hvilke større spørsmål som ikke er avklart.
Risikomodellen hjelper når en virksomhet vurderer videre deling. Et bilde blir ikke ufarlig bare fordi en konklusjon om anonymitet er skrevet i en mappe. Identifiserbarhet må vurderes på faktisk underlag, og usikkerhet skal vises fremfor å skjules bak én visuell retting.