V souladu s GDPR vs. schváleno dozorovým úřadem: co ten rozdíl znamená pro počítání osob
Každý dodavatel počítání osob v Evropě o sobě píše, že je „v souladu s GDPR“. Tato stránka vysvětluje, co to slovní spojení znamená, když se dodavatel hodnotí sám, co přidává přezkum dozorového úřadu a jak poznat, co vlastně kupujete.
Na této stránce
„V souladu s GDPR“ je obvykle závěr samotného dodavatele, protože GDPR ukládá organizacím odpovědnost za jejich vlastní soulad. „Schváleno“ znamená, že metodu přezkoumal dozorový úřad. Bumbee Labs má jedinou metodu počítání osob v Evropě schválenou dozorovým úřadem pro ochranu osobních údajů. Schválení pro naši metodu počítání osob přes Wi-Fi vydal IMY, švédský dozorový úřad pro ochranu osobních údajů.
Je „v souladu s GDPR“ jen sebehodnocení?
Většinou ano. Otevřete web kteréhokoli dodavatele počítání osob v kterémkoli evropském jazyce a najdete stejné spojení: v souladu s GDPR, DSGVO-konform, conforme au RGPD, RODO-compliant. Napsat ho nic nestojí a téměř vždy k tomu závěru došel dodavatel sám, protože GDPR produktům žádné štítky neuděluje. Dodavatel tím obvykle myslí své poctivé hodnocení vlastní architektury, podložené zásadami ochrany osobních údajů a vzorem smlouvy o zpracování.
Když všichni dodavatelé používají stejná slova, tvrzení už neodliší pečlivou techniku od zbožného přání a vaše posouzení souladu začíná od nuly. Někdo na vaší straně musí prověřit, co systém sbírá, uchovává a co by mohl odhalit, a dodavatelův popis sebe sama je jen jedním z podkladů.
Co přidává přezkum dozorového úřadu?
Dozorový úřad pro ochranu osobních údajů je orgán, kterému GDPR svěřuje posuzování těchto otázek. Když přezkoumává metodu měření, ptá se na totéž co váš DPO, jen s větším mandátem a do větší hloubky: co se sbírá, co se s tím děje, co zůstává a zda by v kterékoli fázi mohla být identifikována konkrétní osoba.
Bumbee Labs tímto přezkumem prošla a má schválení od IMY, vydané po posouzení toho, jak se signály sbírají, nevratně mažou a převádějí na anonymní, agregovanou statistiku.
Protože GDPR je jedno nařízení v celé EU a EHP, IMY odpověděl na otázku, od níž začíná posuzovatel v Paříži, Mnichově nebo Miláně: vznikají tím osobní údaje? Schválení vaše posouzení neukončí, ale váš DPO může ověřovat zdokumentovaná zjištění, místo aby tvrzení zkoumal od začátku.
Vztahuje se schválení na všechny metody, které dodáváte?
Schválení se vztahuje na metodu počítání osob přes Wi-Fi. Stejný technický přístup k ochraně soukromí již od návrhu uplatňujeme u všeho, co dodáváme vedle ní, od 3D senzorů přes LiDAR až po analýzu dat mobilních operátorů. Když dodavatel řekne „schváleno“, ověřte si, kterou metodu přezkum pokrýval. Na to se ptá otázka 2 níže.
Jak poznám, co kupuji?
Položte kterémukoli dodavateli, včetně nás, tři otázky a chtějte odpovědi písemně:
- Jakým nezávislým přezkumem metoda prošla a kdo ho provedl?
- Co přesně přezkum pokrýval: kterou metodu a kterou cestu dat?
- Jakou dokumentaci může dodavatel předat vašemu DPO?
Dodavatel, který soulad deklaruje sám, odpoví na první otázku vlastními zásadami. To může být v pořádku, ale jde o jiný produkt než ten z prodejní prezentace a váš právní tým by měl vědět, který z nich schvaluje.
Stránka Počítání osob a GDPR podrobně prochází naše odpovědi a průvodce DPIA shrnuje otázky, které pověřenec pro ochranu osobních údajů obvykle klade, s odkazy na místa, kde najdete odpovědi. Pokud připravujete zadávací dokumentaci, stránka veřejná zakázka na počítání osob ukazuje, co může zadávací řízení požadovat.
Chcete vidět, jak by to vypadalo u vás?
Časté dotazy
Je „v souladu s GDPR“ certifikace?
Ne. GDPR produkty samo o sobě necertifikuje. Pokud systém nepřezkoumal dozorový úřad nebo akreditovaný subjekt, je „v souladu s GDPR“ závěr dodavatele o jeho vlastním produktu. Může být správný, ale samotné slovní spojení neukazuje, že by to ověřil někdo nezávislý.
Co přesně bylo v případě Bumbee Labs schváleno?
IMY, švédský dozorový úřad pro ochranu osobních údajů, přezkoumal metodu počítání osob přes Wi-Fi od Bumbee Labs: co se sbírá, co se maže a co zůstává. Žádná jiná metoda počítání osob v Evropě takové postavení nemá. Stejný technický přístup k ochraně soukromí již od návrhu uplatňujeme u všech metod, které dodáváme vedle ní.
Má schválení od úřadu jednoho státu EU váhu i v jiných zemích?
Všechny členské státy uplatňují stejné nařízení, takže posuzovatel kdekoli v EU nebo EHP se ptá na totéž: vznikají tím osobní údaje? Metoda, která na to odpověděla před dozorovým úřadem pro ochranu osobních údajů, dává vašemu pověřenci pro ochranu osobních údajů (DPO) zdokumentovaný podklad, ať působíte kdekoli.
Jak má nákup prověřit tvrzení o souladu?
Položte každému dodavateli písemně tytéž tři otázky: jakým nezávislým přezkumem vaše metoda prošla, co přesně pokrýval a jaké doklady můžete přiložit? Kdo soulad deklaruje sám, odpoví interními zásadami; kdo prošel přezkumem, odpoví závěrem dozorového úřadu.