Czy kamera w robocie sprzątającym może nagrywać dom?

Kiedy robot faktycznie rejestruje obraz?

Kamera w robocie sprzątającym pracuje w trzech różnych trybach, które warto rozdzielić, bo każdy niesie inne konsekwencje.

Tryb pierwszy to rozpoznawanie przeszkód podczas sprzątania. Kamera nieprzerwanie przetwarza obraz, ale nie jest to nagrywanie w potocznym rozumieniu. Klatki trafiają do modelu klasyfikacji, który stwierdza, że przed robotem leży kabel albo but, i natychmiast są odrzucane. Nic nie jest zapisywane, nic nie opuszcza urządzenia. W nowszych konstrukcjach cały ten proces odbywa się na procesorze w robocie, bez udziału internetu.

Tryb drugi to zapisywanie zdjęć wykrytych przeszkód. Wiele aplikacji pokazuje po sprzątaniu galerię z miniaturami tego, co robot ominął, wraz z lokalizacją na mapie. Te zdjęcia są realnymi obrazami wnętrza mieszkania i gdzieś muszą być przechowywane. W części systemów zostają w pamięci robota, w części lądują na serwerze producenta, żeby były dostępne z telefonu poza domem.

Tryb trzeci to zdalny podgląd, czyli funkcja pozwalająca zobaczyć obraz na żywo i, w niektórych modelach, przeprowadzić rozmowę głosową przez wbudowany głośnik i mikrofon. Producenci reklamują to jako sposób sprawdzenia, co robi pies pod nieobecność domowników. Technicznie jest to pełnoprawna kamera zdalna, z całym bagażem konsekwencji.

Do tego dochodzi czwarty, opcjonalny mechanizm: programy poprawy jakości rozpoznawania, w których użytkownik zgadza się na przesyłanie zdjęć nierozpoznanych obiektów do producenta w celu doszkalania modelu. Zgoda bywa domyślnie włączona przy pierwszej konfiguracji, a jej opis potrafi być zwięzły do granic.

Co dokładnie trafia na serwery producenta?

Obraz to tylko część zbieranych danych i wcale nie najbardziej wartościowa z punktu widzenia analityki.

Mapa mieszkania jest informacją o strukturze wnętrza: metrażu, liczbie pomieszczeń, rozkładzie mebli, szerokości przejść. W połączeniu z częstotliwością sprzątania i porami uruchamiania daje obraz rytmu życia gospodarstwa domowego. To dane, które w większości ekosystemów trafiają do chmury, bo bez tego nie działa dostęp z telefonu spoza domu ani synchronizacja między urządzeniami.

Dane telemetryczne obejmują czasy pracy, liczbę cykli, błędy, zużycie materiałów eksploatacyjnych. Same w sobie mało wrażliwe, choć również informują o tym, kiedy ktoś jest w domu.

Adres sieciowy, identyfikator urządzenia, wersja oprogramowania i nazwa sieci Wi-Fi to standardowy zestaw przy każdym urządzeniu podłączonym do internetu.

Zdjęcia przeszkód są najbardziej wrażliwe, bo pokazują konkretne wnętrze i konkretne przedmioty. Warto sprawdzić w ustawieniach, czy Twój model przechowuje je lokalnie, czy synchronizuje z chmurą, oraz czy jest włączona opcja udostępniania ich producentowi.

Nagrania ze zdalnego podglądu w większości ekosystemów nie są archiwizowane, tylko transmitowane na żywo. Nie znaczy to jednak, że nie da się ich przechwycić, o czym mówi historia opisana niżej.

Czego uczą udokumentowane incydenty?

Dwa przypadki z ostatnich lat są dobrze opisane i warto je znać, bo pokazują dwa zupełnie różne mechanizmy porażki.

Pierwszy dotyczy zdjęć z robotów iRobot Roomba serii J7, które pod koniec 2022 roku pojawiły się w sieci. Wśród nich znalazły się bardzo prywatne ujęcia, w tym osoby w toalecie. Mechanizm był następujący: zdjęcia z urządzeń trafiały do firmy zewnętrznej zajmującej się oznaczaniem danych treningowych, a część osób pracujących przy tym zadaniu udostępniła materiały w prywatnych grupach w mediach społecznościowych. Producent wskazywał, że chodziło o jednostki rozwojowe, a ich użytkownicy wiedzieli o rejestrowaniu obrazu. Nawet przyjmując to wyjaśnienie w całości, wniosek pozostaje ten sam: obraz opuszczający urządzenie przechodzi przez łańcuch podmiotów, nad którym użytkownik nie ma kontroli.

Drugi przypadek dotyczy zabezpieczeń samych urządzeń. W sierpniu 2024 roku na konferencji DEF CON dwoje badaczy, Dennis Giese i Braelynn, przedstawiło wyniki analizy robotów Ecovacs, obejmującej szeroką listę modeli od serii Deebot 900 po Deebot X2 oraz urządzenia z innych kategorii. Wykryte podatności pozwalały na przejęcie kontroli nad urządzeniem, odczyt map, a także dostęp do kamery i mikrofonu. Szczególnie niepokojące były dwa szczegóły: połączenie przez Bluetooth dawało dostęp z odległości ponad stu metrów, a urządzenia nie miały żadnego wskaźnika informującego o aktywnej kamerze, więc podgląd pozostawał niewidoczny dla domownika. Badacze wskazywali również, że dane i tokeny uwierzytelniające pozostawały w chmurze producenta po usunięciu konta.

W październiku 2024 roku doszło do praktycznej realizacji tego scenariusza. W kilku stanach USA użytkownicy modeli Deebot X2 zgłosili przejęcie urządzeń: roboty odtwarzały przez głośniki obraźliwe treści, a atakujący mieli dostęp do transmisji z kamery i do zdalnego sterowania. Producent w oświadczeniu z 11 października potwierdził istnienie luki i wydał aktualizację, zaznaczając, że nie znalazł dowodów na naruszenie kont użytkowników ani systemów firmy. Część specjalistów oceniła poprawkę jako niewystarczającą.

Wniosek z obu historii nie brzmi „nie kupuj robota z kamerą”. Brzmi raczej tak: ryzyko nie leży w samym istnieniu obiektywu, tylko w tym, gdzie obraz jest przetwarzany, jak zabezpieczony jest dostęp zdalny i jak szybko producent reaguje na zgłoszenia badaczy.

Jak sprawdzić, czy Twój robot ma kamerę?

Brzmi to jak pytanie trywialne, a nie jest, bo część konstrukcji ma czujniki optyczne, które kamerą w potocznym sensie nie są.

Obejrzyj przednią ścianę obudowy. Kamera to zwykle małe, ciemne, okrągłe okienko o średnicy kilku milimetrów, często umieszczone pośrodku, pod zderzakiem. Obok niej bywa dioda doświetlająca. Jeśli widzisz poziomą szczelinę albo dwa rozstawione okienka, to najczęściej rzutnik linii laserowej i czujnik czasu przelotu, czyli układ mierzący kształt przeszkód bez rejestrowania obrazu w formie zdjęcia.

W opisie technicznym szukaj sformułowań w rodzaju rozpoznawania przeszkód z użyciem sztucznej inteligencji, kamery RGB, zdalnego podglądu, funkcji patrolowania, wideorozmowy albo trybu monitorowania zwierząt. Każde z nich oznacza obecność kamery. Same określenia w rodzaju nawigacji laserowej, czujnika czasu przelotu czy oświetlenia strukturalnego kamery nie implikują.

Skaner laserowy, wbrew intuicji, nie rejestruje obrazu. Zwraca wyłącznie zbiór odległości do przeszkód, z którego powstaje zarys ścian. Nie ma tam kolorów ani rozpoznawalnych kształtów przedmiotów.

Co na to przepisy?

Obraz wnętrza mieszkania, na którym widoczni są ludzie, jest daną osobową w rozumieniu RODO. Producent, który taki obraz zbiera i przetwarza, występuje w roli administratora danych i ma obowiązki: musi wskazać podstawę prawną, cel, okres przechowywania oraz umożliwić realizację praw, w tym dostępu do danych i ich usunięcia.

W praktyce oznacza to kilka rzeczy, które warto wykorzystać. Możesz zażądać od producenta informacji o tym, jakie dane na Twój temat przechowuje, i zażądać ich usunięcia. Możesz też wycofać zgodę na przetwarzanie w celach doskonalenia algorytmów, jeśli taką zgodę wyraziłeś przy konfiguracji, i nie może to skutkować odmową działania podstawowych funkcji urządzenia.

Ograniczenie jest takie, że deklaracja usunięcia danych i faktyczne usunięcie to dwie różne rzeczy, na co wskazywały ustalenia badaczy w sprawie robotów jednego z producentów. Egzekwowanie tych praw wobec podmiotu spoza Unii Europejskiej bywa uciążliwe, choć formalnie przepisy obowiązują każdego, kto oferuje usługi mieszkańcom Unii.

Warto też wiedzieć, że sytuacja regulacyjna się zmienia. Unijne przepisy dotyczące cyberodporności produktów z elementami cyfrowymi wprowadzają obowiązki w zakresie bezpieczeństwa i aktualizacji, przy czym większość z nich zacznie obowiązywać dopiero pod koniec 2027 roku. Do tego czasu praktyka rynku pozostaje mocno zróżnicowana i odpowiedzialność za konfigurację spoczywa głównie na użytkowniku.

Osobno warto pamiętać o innych osobach. Jeśli w mieszkaniu mieszkają domownicy albo bywają goście, kamera rejestrująca wnętrze dotyczy również ich. Uruchamianie zdalnego podglądu bez ich wiedzy jest problemem nie tylko etycznym.

Jak realnie ograniczyć ryzyko?

Poniższe kroki uporządkowane są od najbardziej do najmniej skutecznych. Pierwsze trzy załatwiają większość realnego zagrożenia.

Ustaw unikalne, długie hasło do konta w aplikacji producenta i włącz uwierzytelnianie dwuskładnikowe, jeśli jest dostępne. Zdecydowana większość przejęć urządzeń domowych następuje nie przez wyrafinowany atak na sprzęt, tylko przez wykorzystanie haseł powtarzanych z innych serwisów. To najtańsza i najskuteczniejsza rzecz, jaką możesz zrobić.

Aktualizuj oprogramowanie robota. Poprawki bezpieczeństwa trafiają właśnie tą drogą, a urządzenie z firmware’em sprzed dwóch lat nie ma załatanych podatności opisanych publicznie. Sprawdź w aplikacji, czy aktualizacje instalują się automatycznie.

Wyłącz funkcje, z których nie korzystasz. Zdalny podgląd, wideorozmowa, patrol, przesyłanie zdjęć przeszkód do producenta: jeśli nigdy z tego nie korzystasz, wyłączenie eliminuje całą kategorię ryzyka. To ustawienie znajdziesz zwykle w sekcji prywatności albo ustawień zaawansowanych.

Ustaw strefy zakazane w pomieszczeniach, których nie chcesz mieć na obrazie. Sypialnia i łazienka to najczęstsze wybory. Pamiętaj, że strefa działa, dopóki robot poprawnie się lokalizuje, więc dla pomieszczeń najbardziej wrażliwych pewniejsze jest zamknięcie drzwi.

Wydziel urządzenia domowe do osobnej sieci. W większości routerów wystarczy uruchomić sieć dla gości i podłączyć do niej sprzęt smart home. Ogranicza to skutki ewentualnego przejęcia urządzenia, bo nie ma ono wtedy dostępu do komputerów i dysków sieciowych.

Zaklej obiektyw, jeśli nie korzystasz z rozpoznawania przeszkód. To rozwiązanie skrajne i pogarszające działanie sprzętu, ale w niektórych sytuacjach zasadne, na przykład przy robocie używanym w gabinecie z dokumentacją. Warto wtedy raczej rozważyć model bez kamery.

Sprawdź, czy przetwarzanie obrazu odbywa się lokalnie. Producenci coraz częściej podkreślają, że rozpoznawanie i asystent głosowy działają w samym urządzeniu, bez wysyłania danych na zewnątrz, a część modeli potrafi wykonać sprzątanie nawet bez połączenia z internetem. To realna przewaga z punktu widzenia prywatności.

Dla kogo robot z kamerą to zły wybór?

Warto powiedzieć to wprost, bo nie każdemu ta technologia jest potrzebna, a dla części osób jest wręcz przeciwwskazana.

W gabinecie lekarskim, kancelarii albo biurze domowym, w którym leżą dokumenty objęte tajemnicą zawodową, urządzenie rejestrujące obraz wnętrza wprowadza ryzyko trudne do uzasadnienia wobec pracodawcy czy klienta. Lepszym wyborem jest model z samą nawigacją laserową, bez kamery.

W domach, w których mieszkają osoby niewyrażające zgody na obecność kamery, kwestia jest prosta: wystarczy jedna osoba, która ma z tym problem, żeby funkcja przestała być warta swojej ceny.

W mieszkaniach, gdzie robot ma sprzątać wyłącznie uprzątniętą podłogę, rozpoznawanie przeszkód i tak nie ma czego rozpoznawać, więc dopłata do kamery jest pieniędzmi wyrzuconymi razem z dodatkowym ryzykiem.

Kamera ma za to konkretną wartość w domach ze zwierzętami, gdzie ryzyko rozwleczenia zabrudzeń jest realne, oraz tam, gdzie na podłodze regularnie zostają kable i drobne przedmioty. W takich warunkach robot bez rozpoznawania przeszkód generuje więcej pracy, niż jej oszczędza.

Podsumowanie

Kamera w robocie sprzątającym może rejestrować obraz i w niektórych trybach faktycznie to robi, ale sama jej obecność nie oznacza, że dom jest nagrywany i wysyłany w świat. Kluczowe są trzy rzeczy: czy przetwarzanie odbywa się lokalnie, czy włączony jest zdalny podgląd oraz czy zgodziłeś się na przesyłanie zdjęć do producenta. Wszystkie trzy sprawdzisz w aplikacji w kilka minut.

Ryzyko, które warto traktować poważnie, nie ma charakteru abstrakcyjnego. Udokumentowane przypadki pokazały, że obraz z domów potrafi wyciec przez łańcuch podwykonawców przetwarzających dane treningowe oraz że urządzenia bywają przejmowane przez podatności w zabezpieczeniach, bez żadnego sygnału widocznego dla domownika. Jednocześnie oba scenariusze mają skuteczne środki zaradcze: wyłączenie zgód na przesyłanie danych, mocne hasło z uwierzytelnianiem dwuskładnikowym, bieżące aktualizacje i wydzielona sieć dla urządzeń domowych.

Jeśli sama myśl o kamerze w mieszkaniu jest dla Ciebie nie do przyjęcia, wybierz robota z nawigacją laserową bez modułu wizyjnego albo prostszy model żyroskopowy. Stracisz omijanie kabli i skarpetek, zyskasz spokój, a przy uprzątniętej podłodze różnica w skuteczności sprzątania będzie niewielka.

Najczęściej zadawane pytania

Poniżej krótkie odpowiedzi na pytania, które najczęściej pojawiają się przy temacie prywatności robotów sprzątających. Dotyczą konkretnych sytuacji i ustawień.

Czy robot sprzątający nagrywa dźwięk?

Tylko te modele, które mają mikrofon, czyli obsługujące sterowanie głosem, wideorozmowy lub wbudowanego asystenta. Robot bez tych funkcji nie ma sprzętowej możliwości rejestracji dźwięku. Obecność mikrofonu sprawdzisz w specyfikacji, szukając wzmianki o asystencie głosowym lub komunikacji dwukierunkowej.

Czy zaklejenie kamery zepsuje robota?

Nie uszkodzi go, ale wyłączy rozpoznawanie przeszkód, a w modelach z nawigacją wizyjną także zdolność budowania mapy. Sprzęt zwykle przełącza się wtedy na czujniki zderzakowe i jeździ mniej precyzyjnie. Zaklejanie ma sens tylko przy modelach, w których kamera pełni wyłącznie funkcję podglądu.

Czy robot działa bez podłączenia do internetu?

Część modeli tak, wykonując sprzątanie z zapisanego harmonogramu i korzystając z mapy przechowywanej lokalnie. Tracisz wtedy sterowanie z telefonu spoza domu i podgląd mapy. Modele trzymające mapy wyłącznie w chmurze przy braku sieci wracają do trybu podstawowego bez sprzątania pokojami.

Czy usunięcie konta w aplikacji kasuje wszystkie dane?

Powinno, i taki obowiązek wynika z RODO, ale ustalenia badaczy bezpieczeństwa wskazywały, że u części producentów dane i tokeny pozostawały w chmurze po usunięciu konta. Bezpieczniej jest przed usunięciem konta wykonać reset fabryczny urządzenia, a następnie skierować do producenta formalne żądanie usunięcia danych.

Czy sprzedając robota, mogę przekazać go z mapami?

Zdecydowanie nie warto. Przed sprzedażą wykonaj przywrócenie ustawień fabrycznych, które usuwa mapy, harmonogramy i powiązanie z kontem, a następnie odepnij urządzenie od swojego konta w aplikacji. Mapa mieszkania to szczegółowa informacja o Twoim domu.

Czy robot bez kamery jest całkowicie bezpieczny dla prywatności?

Nie całkowicie, bo nadal buduje i wysyła mapę mieszkania oraz dane o porach uruchamiania. To informacje mniej wrażliwe niż obraz, ale wciąż opisujące Twój dom i rytm dnia. Najmniej danych generują proste modele z nawigacją żyroskopową, które nie tworzą trwałej mapy.

Czy dostawca internetu lub producent może zobaczyć obraz na żywo bez mojej wiedzy?

W poprawnie zabezpieczonym systemie transmisja jest szyfrowana i wymaga uwierzytelnienia z Twojego konta, często dodatkowym kodem PIN. Opisane publicznie podatności dotyczyły sytuacji, w których ten mechanizm był słabo zaimplementowany. Aktualne oprogramowanie i mocne hasło to główna linia obrony.