GDPR-sikker eller godkendt af en myndighed: hvad forskellen betyder for persontælling

“GDPR-sikker” er som regel leverandørens egen konklusion, fordi GDPR gør organisationer ansvarlige for deres egen compliance. “Godkendt” betyder, at en myndighed har undersøgt metoden. Bumbee Labs har den eneste metode til besøgsmåling i Europa, der er godkendt af en databeskyttelsesmyndighed. IMY, den svenske databeskyttelsesmyndighed, udstedte godkendelsen for vores Wi-Fi-baserede metode til persontælling.

Er “GDPR-sikker” en selvvurdering?

For det meste, ja. Læs en hvilken som helst hjemmeside om persontælling på et hvilket som helst europæisk sprog, og det samme udtryk dukker op: GDPR-compliant, DSGVO-konform, conforme au RGPD, RODO-compliant. Udtrykket koster ingenting at skrive, og i næsten alle tilfælde er leverandøren selv nået frem til konklusionen, fordi GDPR ikke uddeler produktmærker. Det, leverandøren som regel mener, er sin ærlige læsning af sin egen arkitektur, understøttet af en privatlivspolitik og en skabelon til databehandleraftale.

Når enhver leverandør bruger de samme ord, skelner udsagnet ikke længere omhyggelig teknik fra ønsketænkning, så jeres compliance-gennemgang starter fra nul. Nogen på jeres side skal undersøge, hvad systemet indsamler, opbevarer og kunne eksponere, og leverandørens egen beskrivelse er ét input til det arbejde.

Hvad tilføjer en myndigheds gennemgang?

En databeskyttelsesmyndighed er det organ, GDPR udpeger til at bedømme disse spørgsmål. Når den undersøger en målemetode, går den efter det samme som jeres DPO, med mere mandat og mere dybde: hvad der indsamles, hvad der sker med det, hvad der bliver tilbage, og om nogen enkeltperson kunne identificeres på noget tidspunkt.

Bumbee Labs gennemgik den undersøgelse og har godkendelsen fra IMY. Den blev udstedt efter en gennemgang af, hvordan signaler indsamles, slettes uigenkaldeligt og reduceres til anonym, aggregeret statistik.

Fordi GDPR er én forordning i hele EU og EØS, besvarede IMY det spørgsmål, en gennemgang i Paris, München eller Milano tager udgangspunkt i: producerer det her personoplysninger? En godkendelse afslutter ikke jeres gennemgang, men jeres DPO kan verificere dokumenterede resultater i stedet for at undersøge et udsagn fra bunden.

Dækker godkendelsen alle de metoder, I leverer?

Godkendelsen dækker den Wi-Fi-baserede metode til persontælling. Det samme privacy-by-design-fundament ligger under alt, hvad vi leverer ved siden af den, fra 3D-sensorer til LiDAR og mobilnetværksanalyse. Når en leverandør siger “godkendt”, så tjek, hvilken metode gennemgangen dækkede; det er spørgsmål 2 nedenfor.

Hvordan ser jeg, hvilket af de to jeg køber?

Stil tre spørgsmål til enhver leverandør, os inklusive, og bed om svarene skriftligt:

1. Hvilken uafhængig gennemgang har metoden bestået, og af hvem?
2. Hvad dækkede gennemgangen præcis: hvilken metode og hvilken datarejse?
3. Hvilken dokumentation kan leverandøren give jeres DPO?

En selverklæret leverandør besvarer det første spørgsmål med sine egne politikker. Det kan være solidt nok, men det er et andet produkt end det i salgspræsentationen, og jeres juridiske afdeling bør vide, hvilket af de to den skriver under på.

Siden Besøgsanalyse godkendt af en databeskyttelsesmyndighed gennemgår vores svar i sin helhed, og DPIA-guiden samler de spørgsmål, en DPO typisk stiller, med henvisninger til, hvor hvert svar findes. Hvis I skriver et udbud, viser udbud af persontælling, hvad udbudsmaterialet kan stille krav om.