DPIA for persontælling: det vil din DPO spørge om
Besøgsmåling rejser databeskyttelsesspørgsmål. Siden samler dem, en DPO eller et compliance-team typisk stiller, og viser, hvor de skriftlige svar findes. Indholdet er generel orientering, ikke juridisk rådgivning.
På denne side
I en DPIA for persontælling gennemgår en DPO de sædvanlige spørgsmål: hvad der indsamles, om der kræves noget af de besøgende, hvad der gemmes, om nogen kan udpeges i dataene, om kameraer gemmer billeder, og hvor tallene ender. De skriftlige svar ligger på vores GDPR-side, dataleverancer, privatlivspolitikken og FAQ’en.
At tælle besøgende betyder at måle mennesker i et fysisk rum, og de fleste måder at gøre det på rører ved noget, der kunne være personligt: signaler fra en telefon eller billeder ved en dør. En databeskyttelsesrådgiver (DPO) eller et compliance-team spørger derfor, hvad der indsamles, hvad der gemmes, og om nogen nogensinde ville kunne udpeges i dataene. En DPIA (konsekvensanalyse vedrørende databeskyttelse) dækker de spørgsmål for besøgsmåling. Svarene er gennemgået punkt for punkt under det, compliance-teams spørger os om; denne side handler om vurderingen omkring dem.
Skal vi lave en DPIA for persontælling?
Det afgør jeres egen DPO eller compliance-funktion, og vi træffer ikke den vurdering for jer. Vi leverer materialet, der forkorter arbejdet: dokumentation for, at metoden producerer anonym, aggregeret statistik og ingen personoplysninger, plus skriftlige svar på de spørgsmål, der er tilbage.
Om jeres organisation gennemfører en formel konsekvensanalyse, og hvad den skal dække, er fortsat jeres beslutning. Intet på denne side erstatter jeres egen vurdering.
Producerer metoden personoplysninger?
Nej. Metoden leverer aggregeret statistik, og der findes ingen gemt registrering af nogen enkeltperson bag den. Besøgstal, opholdstider, strømme, capture rate og tendenser leveres som aggregerede tal, og alle personoplysninger slettes uigenkaldeligt som en del af selve metoden.
Ændrer UK GDPR svarene?
Nej. For organisationer i Storbritannien er den relevante ramme UK GDPR, EU’s GDPR som den blev videreført i britisk ret med Data Protection Act 2018. De samme spørgsmål gælder, og svarene holder: Metoden producerer anonym, aggregeret statistik, så ingen personoplysninger er omfattet af hverken EU’s GDPR eller UK GDPR. En DPO med ansvar for aktiviteter i Storbritannien læser UK GDPR, hvor denne side henviser til EU’s GDPR.
Dukker AI-forordningen op i en DPIA for persontælling?
Det kan den, og det afhænger af metoden. EU’s AI-forordning fylder mere og mere på compliance-tjeklisterne. Kamerabaserede persontællingssystemer, der bruger computer vision til at klassificere enkeltpersoner, kan falde ind under bilag III, forordningens liste over højrisiko-AI-systemer. Wi-Fi- og mobilnetværksbaserede metoder falder uden for det anvendelsesområde, fordi de ikke behandler biometriske data og ikke identificerer nogen enkeltperson. Hvis jeres vurdering skal tage stilling til risikoklassificering efter AI-forordningen, er skellet mellem metoderne udgangspunktet.
Hvor finder en DPO de skriftlige svar?
Hvordan vi lever op til databeskyttelsesreglerne, er beskrevet på besøgsanalyse godkendt af en databeskyttelsesmyndighed, herunder hvad den regulatoriske godkendelse betyder for en vurdering. Bumbee Labs driver den eneste metode til besøgsmåling i Europa, der er godkendt af en databeskyttelsesmyndighed, så det centrale spørgsmål, om metoden producerer personoplysninger, er allerede stillet og besvaret af den myndighed. Rejsen fra signal til statistik (indsamling, anonymisering, filtrering, behandling og indsigt) er beskrevet trin for trin på dataleverancer. Vores privatlivspolitik siger det ligeud: Vi identificerer ikke enkeltpersoner, og vi opbygger ingen profiler af de mennesker, der tælles. Kortere svar på de mest almindelige spørgsmål ligger i FAQ’en.
Kan vores DPO tale direkte med Bumbee Labs?
Ja. Vi besvarer compliance-spørgsmål direkte og på skrift, og vi kan arrangere en gennemgang af metoden, datarejsen og dashboardet med jeres DPO med ved bordet. Dokumentationen er skrevet i et klart sprog. Organisationer med høje privatlivskrav, som kommuner, biblioteker og trafikknudepunkter, stiller os de samme spørgsmål, før de forpligter sig. Når I er klar, så tal med vores team, og tag jeres DPO’s spørgsmål med.
Nysgerrig på, hvordan det ville se ud for dit sted?
Ofte stillede spørgsmål
Hvem afgør, om der skal laves en DPIA for persontælling?
Den vurdering tilhører jeres egen DPO eller compliance-funktion, og vi træffer den ikke for jer. Vi leverer materialet, der gør vurderingen hurtig: dokumentation for at metoden producerer anonym, aggregeret statistik og ingen personoplysninger, plus direkte svar på det, der måtte være tilbage.
Hvilken dokumentation kan vi give vores DPO?
Start med GDPR-siden, privatlivspolitikken og datarejsen trin for trin på dataleverancer. Øvrige compliance-spørgsmål besvarer vores team direkte og på skrift, og vi kan arrangere en gennemgang med jeres DPO med ved bordet.