Imagini și AI

Cine decide, cine prelucrează

Dacă în imaginile analizate pot apărea persoane, fețe, numere de înmatriculare sau alte informații care identifică pe cineva, GDPR se aplică și rolurile trebuie clare de la început:

• Tu ești operatorul. Stabilești scopul supravegherii, ce camere se folosesc și cine are acces la rezultate. Răspunzi de temeiul legal și de informarea persoanelor filmate.
• Noi suntem persoana împuternicită. Prelucrăm imaginile numai pentru scopul stabilit de tine și numai la instrucțiunile tale scrise.

Dacă un proiect analizează doar produse, piese sau materiale, iar în cadru nu apar persoane, regulile de protecție a datelor nu se aplică imaginilor. Stabilim împreună acest lucru la analiza tehnică.

Acordul de prelucrare

Înainte să primim orice imagine, semnăm un acord de prelucrare a datelor (art. 28 GDPR). Acesta stabilește, printre altele:

• obiectul, durata, natura și scopul prelucrării, tipurile de date și categoriile de persoane vizate;
• camerele, zonele din cadru și intervalele de timp analizate;
• unde sunt procesate imaginile: local, la sediul tău, sau într-un serviciu cloud;
• cât timp se păstrează imaginile și rezultatele;
• măsurile de securitate aplicate;
• obligația de confidențialitate a persoanelor din echipa noastră;
• cum te ajutăm să răspunzi cererilor persoanelor filmate;
• ce se întâmplă la final: returnarea sau ștergerea datelor, cu confirmare scrisă;
• dreptul tău de a verifica modul în care respectăm acordul.

Înainte de instalare

Unele obligații sunt ale tale, ca operator. Te ajutăm cu informațiile tehnice necesare pentru fiecare:

Informarea persoanelor filmate

Zonele monitorizate se semnalează înainte de intrarea în câmpul camerei, printr-un panou care spune cine operează sistemul, în ce scop și unde se găsesc informațiile complete.

Angajații

Dacă în imagini apar angajați, Legea nr. 190/2018 (art. 5) permite monitorizarea video la locul de muncă doar dacă sunt îndeplinite cumulativ condițiile de mai jos:

• interesul legitim urmărit este temeinic justificat și prevalează asupra drepturilor angajaților;
• angajații au fost informați în prealabil, complet și explicit;
• sindicatul sau reprezentanții angajaților au fost consultați înainte de instalare;
• metodele mai puțin intruzive nu și-au dovedit anterior eficiența;
• imaginile se păstrează cel mult 30 de zile, cu excepția situațiilor prevăzute de lege sau temeinic justificate.

Evaluarea impactului

Monitorizarea sistematică, pe scară largă, a unei zone accesibile publicului, cum ar fi un magazin sau o parcare, cere o evaluare a impactului asupra protecției datelor înainte de începere (art. 35 GDPR). Îți furnizăm descrierea tehnică a sistemului, a fluxurilor de date și a măsurilor de protecție.

Mai puține date personale, din proiectare

Cea mai sigură dată personală este cea pe care sistemul nu o vede. Unde scopul permite:

• încadrăm camera pe produs, pe bandă sau pe rampă, nu pe oameni;
• mascăm zonele din cadru care nu sunt necesare analizei;
• păstrăm rezultatele, cum ar fi numărători, evenimente și imagini ale pieselor de verificat, în loc de înregistrări continue;
• procesăm local, astfel încât imaginile să nu părăsească locația ta.

Antrenarea modelelor

Imaginile tale sunt folosite numai pentru a construi și a verifica sistemul tău. Nu le folosim pentru modelele altor clienți, nu le vindem și nu le publicăm. Dacă am vrea să prezentăm un exemplu din proiectul tău, de exemplu pe acest site, îți cerem separat acordul scris, pentru materialul respectiv.

Ce nu construim

Unele sisteme sunt interzise în Uniunea Europeană din 2 februarie 2025, prin articolul 5 din Regulamentul (UE) 2024/1689 privind inteligența artificială. Pe altele le refuzăm din principiu.

Interzise prin lege

• recunoașterea emoțiilor la locul de muncă și în instituțiile de învățământ, cu excepții limitate pentru motive medicale sau de siguranță;
• clasificarea persoanelor pe baza datelor biometrice pentru a deduce rasa, opiniile politice, apartenența sindicală, convingerile religioase sau filozofice, viața sexuală sau orientarea sexuală;
• extragerea fără țintă a imaginilor faciale de pe internet sau din înregistrări CCTV pentru a crea baze de date de recunoaștere facială.

Refuzate de noi

• recunoașterea facială și identificarea persoanelor după trăsături biometrice;
• recunoașterea emoțiilor clienților;
• evaluarea performanței sau a comportamentului unui angajat anume pe baza imaginilor.

Numărarea persoanelor, de exemplu la intrarea într-un magazin, se face fără identificarea lor și fără păstrarea imaginilor faciale.

Regulamentul privind IA

Majoritatea sistemelor pe care le construim, cum ar fi numărarea obiectelor sau detecția defectelor de suprafață, nu se încadrează în categoriile cu risc ridicat din regulament. Încadrarea depinde însă de utilizarea concretă. De exemplu, un sistem care devine componentă de siguranță a unui utilaj poate avea alt regim.

De aceea, pentru fiecare proiect:

• verificăm încadrarea sistemului și o documentăm în scris, la analiza tehnică;
• documentăm scopul, datele de antrenare și testare, performanța măsurată și limitele cunoscute;
• instruim persoanele din echipa ta care folosesc sistemul, ca să înțeleagă ce poate și ce nu poate face (art. 4 din regulament).

Omul decide

Sistemul semnalează; o persoană din echipa ta confirmă sau respinge. Acțiunile automate, precum oprirea unei linii, se configurează numai cu acordul tău scris, cu reguli clare și cu posibilitatea de a fi anulate de operator. Alarmele false și detecțiile ratate sunt măsurate în pilot și raportate periodic, nu ascunse.

Furnizori implicați

Dacă un proiect folosește servicii externe pentru stocare sau procesare, acestea sunt trecute în acordul de prelucrare. Te anunțăm în scris înainte de orice adăugare sau înlocuire, iar tu poți obiecta.

În prezent nu folosim furnizori externi pentru stocarea sau procesarea imaginilor din proiecte.

Incidente de securitate

Dacă aflăm de un incident care afectează imaginile sau datele tale, te anunțăm fără întârziere nejustificată. Îți transmitem ce s-a întâmplat, ce date sunt afectate și ce măsuri am luat, astfel încât să poți notifica autoritatea în termenul de 72 de ore prevăzut de GDPR, dacă este cazul.