Počítání osob bez kamer

Ano. Přístupové body Wi-Fi, které budova už provozuje, dokážou počítat osoby bez kamery. Zachytí signály, které vysílají telefony, převedou je na počty a toky návštěvníků a ponechají jen souhrnné statistiky. Nepořizuje se žádný snímek a nikdo není identifikován. Vchody, kde je potřeba přesný počet, mohou využít LiDAR, který kameru také nepotřebuje.

Ve zkratce

• Stávající přístupové body Wi-Fi dokážou počítat návštěvníky v celé budově bez kamery a pokrytí sahá všude, kam sahá síť.
• Ze signálů telefonů vznikají počty, doba setrvání a trasy mezi zónami. Zůstávají jen souhrnné statistiky.
• LiDAR dává přesný počet u vchodu bez kamery a bez obrazu.
• Počty se kalibrují podle ručního počítání, takže platí na souhrnné úrovni.
• Zda je potřeba DPIA, rozhoduje váš pověřenec pro ochranu osobních údajů (DPO) nebo oddělení compliance.

Můžeme počítat návštěvníky na celé ploše i u dveří bez kamer?

Ano, a práci si dělí dvě metody. Počítání přes Wi-Fi pokryje plochu pomocí přístupových bodů, které už v budově jsou, a dává počty, dobu setrvání a trasy mezi zónami. LiDAR obslouží vchod, kde záleží na přesném počtu, a měří laserovými pulzy, takže žádný obraz nevzniká.

Osadit optické počítadlo na každý vstup, hranici zóny, eskalátor a halu u výtahů vyžaduje projektovou přípravu, kabeláž a průběžnou údržbu hardwaru. Počítání přes Wi-Fi pracuje s přístupovými body, které správa budovy nebo IT už spravuje kvůli připojení, takže pokrytí sahá všude, kam sahá síť, a ve většině budov není na stropě potřeba žádný nový hardware.

Nákupní centrum s desítkami přístupových bodů v pěti podlažích získá analýzu po zónách na všech pěti, tedy mnohem víc, než by ukázalo počítání u hlavního vchodu. Pro muzea a kulturní zařízení nebo přestupní uzly je taková úroveň detailu obvykle dosažitelná bez projektu kabeláže a výstupy dat jsou bohatší, protože počítání pokrývá celou budovu. Žádnou další kameru není třeba obhajovat před stavebním úřadem ani ji mířit na frontu.

Co přístupové body Wi-Fi z telefonu zachytí?

Telefon se zapnutou Wi-Fi vysílá probe requesty, krátké signály, které se ptají, zda je poblíž známá síť. Přístupové body v dosahu je zachytí. Každý probe request dříve nesl jedinečný hardwarový identifikátor, MAC adresu, se kterou bylo v principu možné dohledat jedno konkrétní zařízení v čase a prostoru.

Apple zavedl randomizaci MAC adres v iOS 8 v roce 2014; Android následoval od verze 8 dále.

Zařízení dnes posílají probe requesty s náhodnými MAC adresami, které se v čase mění a pro každou síť se liší, místo pevného hardwarového ID, takže pevná hardwarová adresa už zařízení v čase neprovází. Ochrana soukromí v systému pro počítání osob přesto závisí na tom, co systém se signály udělá potom.

Co zůstane, když se signály zpracují?

Počítání osob přes Wi-Fi anonymizuje signály už v místě sběru. Probe requesty se zpracují na počty a statistiky toků a podkladová data signálů se neukládají. Zůstává jen souhrn: kolik zařízení bylo v zóně zachyceno během dané hodiny, jak dlouhá byla průměrná doba setrvání a která trasa prostorem byla nejčastější. Žádný řádek v žádné databázi neodpovídá konkrétní osobě.

Systém pro analýzu návštěvnosti v souladu s GDPR postavený na počítání přes Wi-Fi nepotřebuje k provozu souhlas návštěvníků. Souhlas se týká zpracování osobních údajů a tato metoda žádné nezpracovává. Proto je také jedinou metodou počítání osob v Evropě schválenou dozorovým úřadem pro ochranu osobních údajů.

Jak víme, že počty jsou správné?

Systém nikdy nevidí jednotlivce, a proto své počty ověřuje kalibrací. Počty odvozené ze signálů Wi-Fi se ověřují ručním počítáním: zónou projde známý počet lidí a odhad systému se podle toho upraví. Kalibrace zohlední i podíl návštěvníků, kteří nesou zařízení se zapnutou Wi-Fi, a ten se liší podle místa a času. Ostatní metody srovnává stránka jak počítat návštěvníky.

Na souhrnné úrovni je přesnost vysoká a právě tu potřebují provozní i strategická rozhodnutí. Obchodník potřebuje vědět, zda v sobotu přišlo 2 000, nebo 4 000 lidí, a k odpovědi nepotřebuje sčítat jednotlivce. Díky kalibraci jsou počty srovnatelné i mezi lokalitami a sezonami, a právě v této srovnatelnosti je hodnota benchmarku návštěvnosti. Počet je také jmenovatel, který pokladna dodat nemůže: v porovnání s tržbami dává konverzní poměr, který vysvětluje, proč návštěvnost a tržby vyprávějí různé příběhy.

Randomizace MAC adres, dnes na moderních zařízeních standardní, se řeší na úrovni algoritmů bez návratu k trvalým identifikátorům, takže statistický výstup zůstává spolehlivý.

Co zahrnuje posouzení ochrany osobních údajů u počítání přes Wi-Fi?

Pro organizace, na které se vztahuje GDPR, je DPIA pro počítání osob formálním krokem, jak technologii posoudit před nasazením. Zda je posouzení potřeba a co musí zahrnovat, rozhoduje váš pověřenec pro ochranu osobních údajů nebo oddělení compliance. Metoda nevytváří žádné zvláštní kategorie osobních údajů, nepotřebuje mechanismus souhlasu a nevznikají u ní žádná práva subjektů údajů, která by bylo nutné vyřizovat. Otázky, které DPO obvykle klade, najdete na uvedené stránce.

Co na to řeknou zaměstnanci a odbory?

Měření je anonymní. Při počítání přes Wi-Fi nevznikají žádné osobní údaje, takže ve výsledcích nelze rozpoznat nikoho, zaměstnance ani návštěvníka, a nikdo není sledován v čase. Zaměstnanci a jejich zástupci vidí souhrnné statistiky o prostoru: kolik lidí tam bylo, kde a kdy, nikdy kdo.

Co se pro návštěvníky změní, když tam není kamera?

Kamerové systémy umějí věci, které počítání přes Wi-Fi neumí: rozliší dospělé od dětí, s vysokou přesností spočítají lidi na snímcích a v některých konfiguracích poznají opakované návštěvníky. Právě z těchto schopností ale pramení nepohodlí veřejnosti. Rozpoznávání obličejů spojené s analýzou maloobchodu přitáhlo pozornost regulátorů po celé Evropě, a i tam, kde kamery rozpoznávání nepoužívají, si jich návštěvníci veřejných prostor stále víc všímají a ptají se. Viditelná kamera může působit jako dohled, i když jen počítá, a toto tření něco stojí: na zážitku návštěvníků, na čase personálu a občas i v médiích.

Počítání přes Wi-Fi na návštěvníky nemíří žádnou kamerou a nepořizuje žádný jejich obraz. Nejvíc na tom záleží tam, kde je důvěra součástí návštěvy: v kulturních institucích, veřejné dopravě a zdravotnických zařízeních. Stále víc na tom záleží i v maloobchodě, protože rozhodování mezi počítadlem zákazníků a analytickou platformou se posuzuje pečlivěji.

Kde vchod potřebuje přesný počet a objektiv tam není vítaný, dává počítání osob pomocí LiDARu přesný počet úplně bez kamery. Pohyb měří pulzy laserového světla bezpečného pro oči a lidi zobrazuje jako shluky bodů ve 3D prostoru. Nikdy nevzniká žádný snímek, takže není co ukládat, rozmazávat ani maskovat.

Zdroje

• Apple (2014). iOS Security (white paper, October 2014). https://www.apple.com/mx/privacy/docs/iOS_Security_Guide_Oct_2014.pdf
• Android Open Source Project. Implement MAC randomization. https://source.android.com/docs/core/connect/wifi-mac-randomization
• Martin, J., Mayberry, T., Donahue, C., Foppe, L., Brown, L., Riggins, C., Rye, E. C., & Brown, D. (2017). A study of MAC address randomization in mobile devices and when it fails. Proceedings on Privacy Enhancing Technologies, 2017(4), 365–383. https://doi.org/10.1515/popets-2017-0054
• European Data Protection Board (2020). Guidelines 3/2019 on processing of personal data through video devices, version 2.0. https://www.edpb.europa.eu/documents/guideline/guidelines-32019-on-processing-of-personal-data-through-video-devices_en
• European Parliament and Council of the European Union (2016). Regulation (EU) 2016/679 (General Data Protection Regulation), Recital 26 and Article 35. https://eur-lex.europa.eu/eli/reg/2016/679/oj