Lustro AI w przymierzalni: jakie dane o sylwetce może zapisywać sklep i jak sprawdzić, czy skan zostanie usunięty

Lustro pokazuje rekomendowany rozmiar, dopasowuje krój i pozwala zobaczyć ubranie bez wkładania go przez głowę. Dla klienta trwa to kilkanaście sekund. Po stronie sklepu może jednak powstać znacznie więcej niż chwilowy obraz: zdjęcie lub nagranie, trójwymiarowy model ciała, wymiary poszczególnych części sylwetki, identyfikator sesji, historia przymiarek, lista oglądanych produktów, a czasem także powiązanie z kontem w aplikacji lojalnościowej.

Najważniejsze pytanie nie brzmi więc: „czy lustro robi zdjęcie?”, lecz: co dokładnie jest wysyłane poza urządzenie, jak długo jest przechowywane i czy można połączyć skan z konkretną osobą. Sam komunikat „technologia AI” nie wyjaśnia niczego. Informacja dla klienta powinna wskazywać administratora danych, cel operacji, podstawę prawną, odbiorców, okres retencji oraz sposób wykonania prawa dostępu i usunięcia danych.

Skan sylwetki może zawierać więcej danych, niż widać na ekranie

Systemy określane wspólnie jako inteligentne lustra działają na kilka różnych sposobów. Najprostsze wyświetlają na odbiciu cyfrową wersję ubrania i nie muszą zapisywać obrazu. Bardziej zaawansowane korzystają z kamer RGB, czujników głębi, podczerwieni albo układu kilku kamer, aby utworzyć mapę punktów ciała lub pełny model 3D.

W praktyce urządzenie może przetwarzać:

• obraz twarzy i całej postaci;
• przybliżony wzrost, obwód klatki piersiowej, talii, bioder, ramion i nóg;
• proporcje sylwetki, ułożenie ciała oraz sposób poruszania się;
• rozmiary rekomendowane dla konkretnych marek i fasonów;
• identyfikator urządzenia, kabiny, sklepu oraz czas wykonania skanu;
• historię wybranych ubrań, przymiarek i zakupów;
• adres e-mail, numer telefonu lub identyfikator konta, gdy klient loguje się w lustrze albo skanuje kod z aplikacji;
• dane techniczne, takie jak adres IP telefonu, typ urządzenia czy identyfikatory analityczne;
• surowe zdjęcia, nagrania, mapy głębi albo wyliczony model sylwetki.

Nie każdy skan ciała jest automatycznie daną biometryczną szczególnej kategorii. Zgodnie z RODO dane stają się biometryczne w tym znaczeniu, gdy wynikają ze specjalnego przetwarzania cech fizycznych, fizjologicznych lub behawioralnych i pozwalają jednoznacznie zidentyfikować osobę. Model używany wyłącznie do dobrania rozmiaru podczas anonimowej sesji może być zwykłą daną osobową albo w określonej konfiguracji nie pozwalać na identyfikację klienta. Ten sam model powiązany z twarzą, kontem klienta lub wzorcem służącym do rozpoznawania osoby może już podlegać znacznie surowszym zasadom.

Granica jest techniczna, a nie marketingowa. Deklaracja „nie zapisujemy zdjęć” nie przesądza sprawy, jeżeli sklep zachowuje wektor cech, szkielet 3D lub unikalny szablon sylwetki. Taki plik może być mniej czytelny dla człowieka niż fotografia, ale nadal pozwalać systemowi rozpoznawać tę samą osobę przy kolejnych wizytach.

Osobny problem pojawia się wtedy, gdy algorytm próbuje wyciągać dalsze wnioski: ocenia wiek, płeć, stan zdrowia, ciążę, niepełnosprawność albo stan emocjonalny. Dobór długości nogawki nie jest tym samym co automatyczne profilowanie klienta. Sklep powinien ograniczyć analizę do cech rzeczywiście potrzebnych do wykonania usługi. Zbieranie danych „na przyszłość”, aby kiedyś udoskonalić model lub reklamę, wymaga odrębnego celu i odpowiedniej podstawy prawnej.

Najbezpieczniejszy dla klienta wariant wygląda następująco: obraz jest analizowany lokalnie na urządzeniu, do systemu sprzedażowego trafia jedynie rekomendowany rozmiar, sesja nie wymaga logowania, a dane robocze są automatycznie kasowane po wyjściu z przymierzalni. Bardziej ryzykowny jest model chmurowy, w którym materiał opuszcza sklep i trafia do dostawcy technologii, szczególnie gdy serwery znajdują się poza Europejskim Obszarem Gospodarczym.

Co sklep musi powiedzieć przed uruchomieniem lustra

Kartka z ikoną kamery i zdaniem „obiekt monitorowany” nie wystarczy. Klient powinien otrzymać informację przed wykonaniem skanu, a nie dopiero po zalogowaniu się do aplikacji lub wejściu na kilkuwarstwową stronę regulaminu.

W pierwszej kolejności trzeba sprawdzić:

• kto jest administratorem danych — sieć handlowa, franczyzobiorca, operator galerii czy dostawca lustra;
• jaki jest dokładny cel przetwarzania: dobór rozmiaru, wizualizacja ubrania, analityka, rozwój algorytmu, marketing czy rozpoznawanie powracających klientów;
• czy zapisywany jest surowy obraz, model 3D, zestaw wymiarów, czy jedynie wynik rekomendacji;
• czy dane są łączone z kontem klienta, płatnością, monitoringiem sklepowym lub programem lojalnościowym;
• komu są przekazywane, w tym dostawcom chmury i systemów analitycznych;
• czy trafiają poza EOG;
• przez jaki dokładnie okres są przechowywane;
• jak wycofać zgodę, zgłosić sprzeciw, uzyskać kopię danych i zażądać ich usunięcia.

Okres retencji nie powinien być opisany zdaniem „tak długo, jak to konieczne”. Administrator ma obowiązek podać konkretny czas albo czytelne kryteria jego ustalania. Wewnętrzna polityka powinna także przewidywać terminy automatycznego kasowania lub okresowego przeglądu danych.

Nie istnieje jeden ustawowy limit, na przykład 24 godziny albo 30 dni, obowiązujący każde lustro AI. Termin zależy od celu. W jednorazowej, anonimowej przymiarce surowy obraz zwykle przestaje być potrzebny po obliczeniu wymiarów — często po kilku sekundach lub minutach. Przechowywanie go przez kilka miesięcy wymagałoby mocnego, jasno opisanego uzasadnienia. Dane przypisane do profilu klienta mogą być utrzymywane dłużej, jeżeli użytkownik świadomie wybrał funkcję zapamiętywania wymiarów, ale powinien móc ją wyłączyć bez utraty dostępu do zwykłych zakupów.

Podstawa prawna również musi odpowiadać rzeczywistemu celowi. Sklep może próbować oprzeć podstawową funkcję na wykonaniu umowy lub uzasadnionym interesie, gdy przetwarzanie jest konieczne i proporcjonalne. Zgoda musi być dobrowolna, konkretna, świadoma i możliwa do wycofania. Gdy skan jest wykorzystywany jako dane biometryczne do jednoznacznej identyfikacji, co do zasady wchodzi w grę zakaz przetwarzania danych szczególnej kategorii oraz konieczność wykazania jednego z wyjątków, na przykład wyraźnej zgody.

Tu pojawia się typowy problem praktyczny: zgoda nie jest w pełni dobrowolna, jeżeli bez skanu klient nie może skorzystać z przymierzalni, otrzymać standardowej obsługi albo kupić produktu na takich samych warunkach. Alternatywa bez skanowania powinna być realna, a nie ukryta w odległym dziale sklepu albo dostępna wyłącznie po wezwaniu kierownika.

Sygnały ostrzegawcze są dość czytelne:

• lustro włącza kamerę automatycznie po wejściu;
• na miejscu nie ma nazwy administratora ani sposobu kontaktu;
• polityka prywatności nie wymienia skanów ciała, modeli 3D lub danych z przymierzalni;
• klient musi podać telefon lub zalogować się, mimo że chce tylko sprawdzić rozmiar;
• jedna zgoda obejmuje dobór ubrania, marketing, analitykę i trenowanie algorytmu;
• sklep nie podaje okresu przechowywania;
• obsługa twierdzi, że „to anonimowe”, ale system rozpoznaje konto z aplikacji;
• nie wiadomo, czy kamera obejmuje także moment przebierania się.

Ostatni punkt jest krytyczny. System w przymierzalni powinien mieć tak ustawione pole widzenia i procedurę uruchamiania, aby nie rejestrować osoby w trakcie zdejmowania lub zakładania odzieży. Sama obietnica, że nagrania „nikt nie ogląda”, nie rozwiązuje problemu. Liczy się to, czy materiał powstaje, gdzie trafia i kto może uzyskać do niego dostęp.

Jak zażądać danych i sprawdzić, czy skan rzeczywiście usunięto

Najpierw trzeba zidentyfikować sesję. To bywa trudniejsze niż samo napisanie żądania, ponieważ anonimowe lustro może nie znać imienia klienta. Dlatego bezpośrednio po skanowaniu dobrze zapisać:

• nazwę i adres sklepu;
• datę oraz przybliżoną godzinę skanu;
• numer przymierzalni lub urządzenia;
• adres e-mail albo telefon użyty podczas logowania;
• identyfikator sesji, kod QR, numer paragonu lub zrzut ekranu z aplikacji;
• nazwy przymierzanych produktów, jeżeli mogą pomóc odnaleźć zapis.

Pierwszym krokiem powinien być wniosek o dostęp do danych, a nie samo żądanie usunięcia. Dzięki temu klient może ustalić, co faktycznie istnieje. Administrator powinien potwierdzić, czy przetwarza dane, oraz przekazać ich kopię i informacje między innymi o celach, kategoriach danych, odbiorcach, okresie przechowywania i źródle pozyskania. Pierwsza kopia danych jest zasadniczo bezpłatna.

Wiadomość może brzmieć:

„Na podstawie art. 15 RODO proszę o potwierdzenie, czy przetwarzają Państwo dane powstałe podczas korzystania przeze mnie z inteligentnego lustra w sklepie [adres] w dniu [data] około godziny [godzina]. Proszę o przekazanie kopii danych, w szczególności zdjęć, nagrań, map głębi, modeli sylwetki, wymiarów, identyfikatorów sesji, wyników profilowania oraz informacji o odbiorcach, okresie przechowywania i ewentualnym przekazaniu danych poza EOG.”

Dopiero w kolejnym akapicie warto dodać:

„Jednocześnie, na podstawie art. 17 RODO, żądam usunięcia danych, które nie są już niezbędne do celu, dla którego zostały zebrane, oraz danych przetwarzanych na podstawie wycofanej przeze mnie zgody. Proszę o potwierdzenie zakresu usunięcia, daty wykonania operacji oraz wskazanie, czy dane pozostały w kopiach zapasowych, logach technicznych, zbiorach analitycznych albo materiałach używanych do trenowania modeli.”

To ostatnie zdanie ma znaczenie. Odpowiedź „konto zostało usunięte” nie musi oznaczać skasowania:

• surowego obrazu z kamery;
• modelu 3D i zapisanych wymiarów;
• danych w systemie dostawcy lustra;
• kopii zapasowych;
• logów bezpieczeństwa;
• profilu reklamowego;
• danych w zbiorze treningowym;
• plików przekazanych innym podmiotom.

Nie da się samodzielnie zajrzeć do infrastruktury sklepu i technicznie udowodnić, że każda kopia zniknęła. Można jednak wymagać jednoznacznej odpowiedzi administratora. Dobre potwierdzenie powinno wskazywać kategorie usuniętych danych, systemy objęte operacją, datę usunięcia, odbiorców poinformowanych o żądaniu oraz sposób postępowania z kopiami zapasowymi.

Backup nie daje sklepowi prawa do bezterminowego zachowania aktywnej kopii. Część organizacji usuwa dane z systemu produkcyjnego od razu, a z zaszyfrowanych kopii zapasowych dopiero podczas ich planowej rotacji, na przykład po 30, 60 lub 90 dniach. W takim przypadku dane powinny być odseparowane, niedostępne do normalnego użycia i nieprzywracane poza sytuacją awaryjną. Administrator powinien podać konkretny termin ich definitywnego nadpisania.

Prawo do usunięcia nie jest bezwzględne. Sklep może zachować określone informacje, gdy wymaga tego prawo albo gdy są potrzebne do ustalenia, dochodzenia lub obrony roszczeń. Trudno jednak takim argumentem uzasadnić wielomiesięczne przechowywanie szczegółowego modelu nagiego lub częściowo ubranego ciała po jednorazowej rekomendacji rozmiaru. Odmowa musi wskazywać konkretną podstawę, zakres zachowanych danych oraz dalszy okres retencji.

Administrator powinien odpowiedzieć bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Termin może zostać przedłużony maksymalnie o kolejne dwa miesiące ze względu na złożoność sprawy lub liczbę żądań, ale informacja o przedłużeniu i jego przyczynach musi dotrzeć przed końcem pierwszego miesiąca.

Sklep może poprosić o dodatkowe dane potrzebne do potwierdzenia tożsamości. Nie powinien jednak automatycznie żądać skanu dowodu osobistego, gdy wystarcza potwierdzenie adresu e-mail, numer sesji albo okazanie dokumentu z zasłoniętymi zbędnymi polami. Wysyłanie pełnej kopii dowodu w odpowiedzi na problem z prywatnością często tylko tworzy kolejne, niepotrzebne ryzyko.

Gdy odpowiedź nie przyjdzie, będzie wymijająca albo sklep ograniczy się do stwierdzenia „dane zostały zanonimizowane”, należy zażądać wyjaśnienia:

1. jakie pola zostały usunięte lub zmienione;
2. czy zachowano zdjęcia, modele, wymiary i identyfikatory techniczne;
3. czy możliwe jest ponowne powiązanie danych z klientem;
4. kto nadal ma dostęp do zbioru;
5. czy dane są używane do analityki lub trenowania AI.

Pseudonimizacja nie jest usunięciem. Zamiana nazwiska na losowy identyfikator nadal pozostawia dane osobowe, jeżeli sklep lub jego dostawca ma klucz pozwalający odtworzyć powiązanie. Anonimizacja powinna być praktycznie nieodwracalna, także po połączeniu zbioru z innymi informacjami posiadanymi przez administratora.

Jeżeli administrator nie zrealizuje prawidłowo żądania, kolejnym krokiem jest skarga do Prezesa Urzędu Ochrony Danych Osobowych. Do skargi należy dołączyć kopię wniosku, potwierdzenie jego wysłania, odpowiedź sklepu i materiały identyfikujące sesję. UODO zaleca, aby przed złożeniem skargi najpierw zwrócić się bezpośrednio do administratora o usunięcie uchybienia.

FAQ: lustro AI i skan sylwetki

Czy sklep może zrobić skan bez mojej zgody?
To zależy od rodzaju danych, celu i podstawy prawnej, ale klient musi zostać poinformowany przed rozpoczęciem przetwarzania. Jeżeli system wykorzystuje dane biometryczne do jednoznacznej identyfikacji albo opiera dodatkowe funkcje na zgodzie, uruchomienie ich bez prawidłowej zgody będzie szczególnie trudne do obrony.

Czy obraz z lustra zawsze jest zapisywany?
Nie. System może analizować obraz na bieżąco i usuwać go natychmiast po obliczeniu wymiarów. Trzeba jednak sprawdzić osobno, czy zapisywany jest obraz, mapa głębi, model 3D, zestaw punktów ciała lub wynik analizy.

Czy brak widocznej twarzy oznacza anonimowość?
Nie. Sylwetkę można połączyć z kontem, numerem telefonu, kodem QR, godziną zakupu, monitoringiem sklepu albo identyfikatorem urządzenia. Usunięcie twarzy z kadru nie wystarcza, gdy pozostałe dane pozwalają wskazać konkretną osobę.

Czy mogę poprosić o kopię modelu sylwetki?
Tak, jeżeli jest to dotycząca Ciebie dana osobowa przetwarzana przez sklep. Administrator powinien przekazać ją w zrozumiałej formie. Sam techniczny plik punktów lub współrzędnych może nie wystarczyć bez opisu, co oznaczają zapisane wartości.

Czy wycofanie zgody automatycznie usuwa skan?
Nie zawsze. Wycofanie zgody kończy dalsze przetwarzanie oparte na tej zgodzie, ale najlepiej równocześnie złożyć wyraźne żądanie usunięcia i zapytać o kopie zapasowe, odbiorców oraz zbiory treningowe.

Czy sklep może zatrzymać anonimowe statystyki?
Tak, jeżeli dane zostały skutecznie i nieodwracalnie zanonimizowane. Samo usunięcie nazwiska, numeru telefonu lub zdjęcia twarzy zwykle nie wystarcza, gdy pozostają identyfikatory umożliwiające ponowne połączenie rekordów.

Jak długo trzeba czekać na odpowiedź?
Maksymalnie miesiąc od otrzymania żądania. W złożonej sprawie administrator może przedłużyć termin o kolejne dwa miesiące, ale musi poinformować o tym i podać przyczynę przed upływem pierwszego miesiąca.

Od czego zacząć przed użyciem lustra?
Najpierw sprawdź, czy skan działa bez logowania i czy analiza odbywa się lokalnie. Następnie znajdź okres przechowywania oraz informację o surowych obrazach i modelach 3D. Jeżeli sklep nie potrafi odpowiedzieć na te trzy pytania, wybierz zwykłą przymierzalnię. Wygoda rekomendacji rozmiaru nie jest warta pozostawienia trwałego cyfrowego modelu ciała u administratora, który sam nie wie, gdzie ten model trafia.