Poza COPPA: jak stanowe przepisy o prywatności uczniów w USA (SOPIPA i inne) traktują wizerunki dzieci

Anonimizacja danych wizualnych polega na takim przekształceniu zdjęć lub nagrań wideo, aby osoby albo inne widoczne identyfikatory nie były już bezpośrednio rozpoznawalne w publikowanym materiale. W publikacjach szkolnych i EdTech najczęściej stosuje się rozmywanie twarzy, które maskuje twarz ucznia, oraz rozmywanie tablic rejestracyjnych widocznych w nagraniach z kampusu, zdjęciach z wycieczek, filmach z parkingów czy relacjach z wydarzeń publicznych.

Ten artykuł nie stanowi porady prawnej. Wyjaśnia typowe podejście do zgodności z przepisami w przypadku organizacji, które publikują zdjęcia lub filmy z udziałem dzieci i uczniów w Stanach Zjednoczonych. Najważniejszy wniosek jest praktyczny: COPPA ma duże znaczenie, ale podmioty działające w wielu stanach w obszarze K-12 nie mogą poprzestać wyłącznie na COPPA. Stanowe przepisy o prywatności uczniów często nakładają surowsze oczekiwania na operatorów, którzy zbierają, wykorzystują, ujawniają lub udostępniają materiały wizualne powiązane z uczniami.

Co obejmuje COPPA, gdy dzieci pojawiają się na zdjęciach i nagraniach wideo?

Ustawa Children’s Online Privacy Protection Act oraz reguła COPPA Rule mają zastosowanie do operatorów stron internetowych i usług online kierowanych do dzieci poniżej 13. roku życia, a także do operatorów, którzy mają faktyczną wiedzę, że zbierają dane osobowe od dzieci poniżej 13. roku życia [1]. COPPA jest prawem federalnym, dlatego ustanawia ogólnokrajowy punkt odniesienia dla objętych nim usług online.

W kontekście publikacji wizualnych istotne jest to, że COPPA Rule zalicza do danych osobowych fotografię, plik wideo lub plik audio zawierający wizerunek albo głos dziecka [1]. Oznacza to, że usługa online, która zbiera, wykorzystuje lub ujawnia możliwe do zidentyfikowania wizerunki dzieci, nie może traktować zdjęcia jako neutralnego zasobu medialnego tylko dlatego, że nie zawiera ono imienia, nazwiska ani adresu e-mail.

COPPA działa najsilniej tam, gdzie operator zbiera dane osobowe od dzieci poniżej 13. roku życia za pośrednictwem usługi online. Jest jednak mniej kompletna jako ogólna zasada publikowania wszystkich materiałów związanych ze szkołą. Dostawca usług dla sektora K-12 może w ograniczonych kontekstach edukacyjnych działać na podstawie zgody udzielonej przez szkołę, ale nie obejmuje to automatycznie marketingu, działań PR, publicznych case studies, postów w mediach społecznościowych ani szerokiego ponownego wykorzystania materiałów promocyjnych [2]. Takie scenariusze wymagają odrębnej analizy.

Dlaczego stanowe przepisy o prywatności uczniów mają znaczenie wykraczające poza COPPA?

Stanowe ustawy dotyczące prywatności uczniów zwykle koncentrują się na operatorach, usługodawcach i dostawcach, którzy przetwarzają informacje o uczniach na potrzeby szkolne. Często ograniczają reklamę behawioralną, profilowanie, sprzedaż informacji o uczniach, nieuprawnione ujawnianie danych oraz ich przechowywanie. Wiele z nich tworzono z myślą o usługach online, platformach edukacyjnych, systemach chmurowych i narzędziach cyfrowych, ale ich definicje mogą obejmować również dane wizualne powiązane z uczniem.

Najbardziej znanym przykładem jest kalifornijska ustawa SOPIPA. Reguluje ona działalność operatorów stron internetowych, usług online, aplikacji internetowych lub aplikacji mobilnych wykorzystywanych głównie do celów szkolnych K-12 oraz projektowanych i promowanych z myślą o takich celach. Ogranicza reklamę behawioralną, tworzenie określonych profili uczniów, sprzedaż objętych ochroną informacji oraz nieuprawnione ujawnianie danych [3]. Wizerunek ucznia może podlegać ochronie, jeżeli został przekazany za pośrednictwem usługi, powiązany z kontem ucznia, związany z aktywnością w klasie albo w inny sposób połączony z informacjami o uczniu.

Inne stany kierują się podobną logiką ochrony, choć nie używają identycznych sformułowań. Szczególnie istotna jest illinoiska ustawa SOPPA, ponieważ treści tworzone przez ucznia mogą wprost obejmować fotografie i pliki audio, a informacje biometryczne mogą obejmować odciski głosu oraz cechy twarzy [4]. Nowojorskie Education Law 2-d oraz przepisy wykonawcze koncentrują się na informacjach umożliwiających identyfikację osoby, danych uczniów, umowach, bezpieczeństwie i prawach rodziców [5]. Przepisy stanów Kolorado i Connecticut również regulują dane osobowe uczniów oraz obowiązki operatorów [6], [7]. Teksas posiada ramy ochrony informacji o uczniach, obejmujące ograniczenia dotyczące informacji objętych ochroną, reklamy behawioralnej, profilowania, sprzedaży i ujawniania danych [8].

Wniosek dla operatorów działających w wielu stanach jest prosty, ale wymagający: zdjęcie lub nagranie wideo, które zgodnie z brzmieniem przepisów jednego stanu wydaje się niskiego ryzyka, w innym stanie może zostać potraktowane jako regulowana informacja o uczniu ze względu na szerszą definicję albo wymogi umowne.

Porównanie stanów USA w zakresie wizerunków uczniów na zdjęciach i filmach

Rozmywanie twarzy jako punkt odniesienia dla najsurowszego właściwego stanu

Rozmywanie twarzy nie jest magiczną tarczą. Niska jakość maskowania, pozostawiony głos, koszulki z nazwiskami, widoczne ekrany, tatuaże, identyfikatory czy wskazówki kontekstowe nadal mogą pozwalać na identyfikację ucznia. Jednak w procesach publikacyjnych anonimizacja twarzy przed publikacją zewnętrzną jest rozsądnym punktem wyjścia, gdy firma, okręg szkolny, agencja lub dostawca nie potrzebuje tożsamości dziecka do opowiedzenia danej historii.

Ta sama logika dotyczy rozmywania tablic rejestracyjnych w materiałach wideo związanych ze szkołą. Tablice rejestracyjne nie muszą być centralnym elementem przepisów o prywatności uczniów, ale tablice widoczne w strefach odbioru dzieci, na parkingach, autobusach czy ulicach osiedlowych mogą identyfikować rodziny, pracowników albo uczniów przez kontekst. W przypadku materiałów publicznych kluczowe pytanie biznesowe brzmi: czy tablica jest potrzebna? Zwykle nie jest.

Organizacje często dokumentują wąskie uzasadnienia publikacji przed podjęciem decyzji o nierozmywaniu danej osoby:

1. dana osoba jest osobą publiczną,
2. wizerunek osoby stanowi element szerszej sceny, zwłaszcza wydarzenia otwartego dla rodzin lub publiczności, takiego jak koncert, zawody sportowe czy uroczystość,
3. dana osoba, a w przypadku osoby małoletniej rodzic lub opiekun, udzieliła ważnego zwolnienia albo upoważnienia do wykorzystania wizerunku.

W przypadku dzieci i uczniów każde takie uzasadnienie pozostaje zależne od kontekstu i nie powinno być traktowane jako skrót pozwalający ominąć COPPA, stanowe przepisy o prywatności uczniów, politykę szkoły ani oczekiwania rodziców.

Co anonimizacja danych wizualnych powinna obiecywać, a czego nie?

Użyteczny proces maskowania oddziela automatyczne wykrywanie od weryfikacji przez człowieka. Gallio PRO wspiera anonimizację danych wizualnych na zdjęciach i nagraniach wideo poprzez automatyczne wykrywanie oraz rozmywanie twarzy i tablic rejestracyjnych. Jest przeznaczone do pracy na plikach, a nie do anonimizacji w czasie rzeczywistym ani anonimizacji strumieni wideo.

To ograniczenie ma znaczenie. Automatyczne wykrywanie obejmuje wyłącznie twarze i tablice rejestracyjne. Nie wykrywa automatycznie logotypów, tatuaży, plakietek z imionami, dokumentów, plakatów w klasie, tablic ani treści widocznych na ekranach monitorów. Te elementy nadal mogą identyfikować ucznia albo ujawniać kontekst szkolny. W stosownych przypadkach należy je sprawdzić ręcznie.

Ręczna edycja jest więc częścią kontroli, a nie dodatkiem na końcu procesu. Recenzent może użyć wbudowanego edytora, aby rozmyć dodatkowe widoczne elementy, których automatyczny proces nie ma wykrywać. Zespoły, które muszą anonimizować nagrane wydarzenia szkolne, materiały z korytarzy, wywiady z uczniami lub filmy z kampusu, powinny przeanalizować praktyczny przepływ pracy przed wyborem modelu wdrożenia.

W przypadku wrażliwych zastosowań K-12 istotne może być również oprogramowanie lokalne, czyli on-premise. Oprogramowanie on-premise oznacza, że narzędzie do anonimizacji działa w infrastrukturze własnej organizacji, zamiast domyślnie wysyłać pliki multimedialne do zewnętrznej usługi chmurowej. Taki model może pomóc zespołom ds. prywatności, IT i zakupów ograniczyć punkty transferu danych oraz dostosować się do surowszych oczekiwań dotyczących ryzyka dostawców. Gallio PRO nie przechowuje logów zawierających dane detekcji ani dane osobowe.

Praktyczny przepływ pracy dla operatorów EdTech i K-12 działających w wielu stanach

1. Po pierwsze, określ cel publikacji. Archiwum klasowe, portal dla rodziców, newsletter okręgu szkolnego, publiczna strona internetowa, case study dostawcy i płatna kampania w mediach społecznościowych nie niosą takiego samego ryzyka.
2. Po drugie, sklasyfikuj materiał wizualny. Sprawdź, czy widoczne lub słyszalne są twarze, głosy, tablice rejestracyjne, mundurki szkolne, identyfikatory, ekrany, plakaty, wskazówki lokalizacyjne albo unikalne cechy ucznia.
3. Po trzecie, zmapuj zaangażowane stany. Dostawca obsługujący Kalifornię, Illinois, Nowy Jork, Kolorado, Connecticut i Teksas nie powinien stosować wyłącznie najwęższej reguły. Operacyjny punkt odniesienia powinien odzwierciedlać najsurowszy właściwy stan oraz warunki umów z okręgami szkolnymi.
4. Po czwarte, przed publikacją zastosuj rozmywanie twarzy i tablic rejestracyjnych, chyba że możliwy do zidentyfikowania wizerunek jest konieczny i został prawidłowo autoryzowany. Gdy obraz ma jedynie pokazać klasę, wydarzenie, interfejs produktu, obiekt szkolny lub aktywność, możliwe do zidentyfikowania twarze rzadko wnoszą dodatkową wartość.
5. Po piąte, przeprowadź ręczną kontrolę elementów pozostających poza automatycznym wykrywaniem. Logotypy, tatuaże, identyfikatory, dokumenty i treści na monitorach wymagają uwagi człowieka, ponieważ nie są wykrywane automatycznie.
6. Po szóste, zachowaj prosty zapis decyzji. Powinien on wskazywać, co opublikowano, co zostało rozmyte, kto zatwierdził publikację oraz dlaczego ewentualny widoczny wizerunek ucznia pozostał niezanonimizowany.

Zespoły, które chcą sprawdzić taki przepływ pracy oparty na plikach, mogą zrobić to, pobierając wersję demo i testując ją na reprezentatywnych zdjęciach oraz nagraniach wideo przed użyciem produkcyjnym.

Kiedy zwykle potrzebna jest indywidualna konsultacja?

Indywidualna analiza jest często potrzebna, gdy dostawca publikuje historie klientów ze szkół, gdy okręg szkolny udostępnia nagrania z kamer bezpieczeństwa, gdy agencja stanowa publikuje materiały z programów dla młodzieży albo gdy firma chce wdrożenia on-premise dla wrażliwych mediów. W takich przypadkach doradcy ds. prywatności, zespoły zakupowe, bezpieczeństwo IT i zespoły komunikacji powinny uzgodnić wspólny standard publikacji przed uruchomieniem projektu.

W sprawie wdrożenia enterprise, konfiguracji on-premise lub konkretnego przypadku zgodności obejmującego wiele stanów organizacje mogą skontaktować się z zespołem, aby omówić model operacyjny.

Najważniejszy wniosek dotyczący publikowania wizerunków dzieci w Stanach Zjednoczonych

COPPA wprost traktuje zdjęcia i nagrania wideo zawierające wizerunek lub głos dziecka jako dane osobowe, gdy są zbierane przez objęte ustawą usługi online. Stanowe przepisy o prywatności uczniów dodają kolejną warstwę ochrony, zwłaszcza dla operatorów i dostawców K-12. Kalifornijska SOPIPA, illinoiska SOPPA, nowojorskie Education Law 2-d oraz przepisy Kolorado, Connecticut i Teksasu nie używają identycznych sformułowań, ale wskazują ten sam kierunek: materiały wizualne powiązane z uczniem nie powinny być swobodnie ponownie wykorzystywane, ujawniane, profilowane, sprzedawane ani publikowane.

Dla operatorów działających w wielu stanach najbezpieczniejszym nawykiem operacyjnym nie jest pytanie, czy dana ustawa dosłownie używa słowa „zdjęcie” w każdym przepisie. Lepszą praktyką biznesową jest pytanie, czy obraz identyfikuje ucznia, czy cel publikacji wymaga identyfikacji oraz czy anonimizacja może osiągnąć ten sam cel komunikacyjny przy niższym ryzyku dla prywatności.

FAQ: COPPA, stanowe przepisy o prywatności uczniów i wizerunki dzieci

Czy COPPA ma zastosowanie do każdego zdjęcia szkolnego?

Nie. COPPA ma zastosowanie do objętych nią usług online kierowanych do dzieci poniżej 13. roku życia albo do usług, których operatorzy mają faktyczną wiedzę, że zbierają dane osobowe od dzieci poniżej 13. roku życia. Zdjęcie szkolne nadal może podlegać stanowym przepisom o prywatności uczniów, polityce szkoły, warunkom umownym lub innym zasadom, nawet jeśli COPPA nie jest głównym problemem.

Czy twarze dzieci są danymi osobowymi w rozumieniu COPPA?

Tak, gdy zastosowanie ma COPPA Rule. Reguła ta obejmuje w definicji danych osobowych fotografię, plik wideo lub plik audio zawierający wizerunek albo głos dziecka [1].

Czy rozmywanie twarzy sprawia, że zdjęcie ucznia jest w pełni anonimowe?

Nie zawsze. Rozmywanie twarzy ogranicza możliwość identyfikacji, ale inne wskazówki wizualne mogą pozostać. Koszulki sportowe, identyfikatory, tatuaże, ekrany w klasie, banery szkolne, wskazówki lokalizacyjne i głos nadal mogą identyfikować ucznia. Efekt zależy od kontekstu.

Czy stanowe przepisy o prywatności uczniów wprost wspominają o zdjęciach?

Niektóre tak, a inne posługują się szerszymi pojęciami. Illinois SOPPA wprost wymienia fotografie jako rodzaj treści tworzonych przez ucznia i obejmuje również określone pliki audio [4]. Przepisy innych stanów mogą obejmować wizerunki wtedy, gdy są one powiązane z danymi ucznia, kontami uczniów, usługami szkolnymi lub dokumentacją edukacyjną.

Czy tablice rejestracyjne w filmach szkolnych powinny być rozmywane?

Często tak - jako dobra praktyka biznesowa. Tablice rejestracyjne widoczne na szkolnych parkingach, w strefach odbioru dzieci, podczas wycieczek lub w nagraniach z okolicy mogą identyfikować rodziny albo uczniów przez kontekst. Jeśli tablica nie jest potrzebna do celu publikacji, jej rozmycie zwykle jest prostym sposobem ograniczenia ryzyka.

Czy automatyczne oprogramowanie może rozmyć wszystko, co mogłoby identyfikować ucznia?

Nie. W Gallio PRO automatyczne wykrywanie obejmuje wyłącznie twarze i tablice rejestracyjne. Logotypy, tatuaże, plakietki z imionami, dokumenty, plakaty i treści na ekranach wymagają ręcznej kontroli oraz, w razie potrzeby, ręcznego rozmycia.