Persontælling uden kameraer

Ja. De Wi-Fi-accesspunkter, en bygning allerede har, kan tælle de besøgende uden et kamera. De opfanger de signaler, telefoner udsender, gør dem til tællinger og strømme og gemmer kun aggregeret statistik. Der tages intet billede, og ingen identificeres. Indgange, der kræver en nøjagtig tælling, kan bruge LiDAR, som heller ikke kræver et kamera.

Kort fortalt

• Eksisterende Wi-Fi-accesspunkter kan tælle besøgende i hele bygningen uden et kamera, og dækningen rækker, så langt netværket gør.
• Telefonernes signaler bliver til tællinger, opholdstid og ruter mellem zoner; kun aggregeret statistik er tilbage.
• LiDAR giver en nøjagtig tælling ved en indgang uden kamera og uden billede.
• Tællingerne kalibreres mod manuelle tællinger, så de holder på aggregeret niveau.
• Om der er brug for en DPIA, afgør din egen databeskyttelsesrådgiver eller compliancefunktion.

Kan vi tælle besøgende på hele arealet og ved dørene uden kameraer?

Ja, og to metoder deler opgaven. Wi-Fi-tælling dækker arealet via de accesspunkter, der allerede sidder i bygningen, og giver tællinger, opholdstid og ruter mellem zoner. LiDAR tager sig af en indgang, hvor en nøjagtig tælling betyder noget, og fordi den måler med laserimpulser, opstår der intet billede.

Optiske tællere ved hver indgang, zonegrænse, rulletrappe og elevatorlobby kræver projektplanlægning, kabler og løbende vedligeholdelse af hardware. Wi-Fi-tælling bruger de accesspunkter, som facility-afdelingen eller IT allerede styrer for at give forbindelse, så dækningen rækker, så langt netværket gør, og i de fleste bygninger skal der ingen ny hardware op i loftet.

Et indkøbscenter med dusinvis af accesspunkter på fem etager får analyse på zoneniveau på alle fem, langt mere end en tælling ved hoveddøren ville vise. For museer og kultursteder eller knudepunkter for offentlig transport er det detaljeniveau som regel inden for rækkevidde uden et kabelprojekt, og dataleverancerne bliver rigere, fordi tællingen dækker hele bygningen. Intet ekstra kamera skal begrundes over for en planmyndighed eller rettes mod en kø.

Hvad opfanger Wi-Fi-accesspunkter fra en telefon?

En telefon med Wi-Fi slået til sender probe-anmodninger, korte signaler, der spørger, om et kendt netværk er i nærheden. Accesspunkter inden for rækkevidde opfanger dem. Hver probe bar tidligere en unik hardwareidentifikator, MAC-adressen, som i princippet gjorde det muligt at følge en bestemt enhed over tid og sted.

Apple introducerede MAC-adresse-randomisering i iOS 8 i 2014; Android fulgte fra version 8 og frem.

Enheder sender nu probe-anmodninger med randomiserede MAC-adresser, som skifter over tid og er forskellige fra netværk til netværk, i stedet for et fast hardware-id, så adressen ikke længere følger enheden over tid. Privatlivet i et tællesystem afhænger stadig af, hvad systemet bagefter gør med signalerne.

Hvad er der tilbage, når signalerne er behandlet?

Wi-Fi-baseret persontælling anonymiserer signalerne allerede ved indsamlingen. Probe-anmodningerne behandles til tællinger og strømningsstatistik, og de underliggende signaldata gemmes ikke. Det, der bliver tilbage, er aggregeret: hvor mange enheder der blev registreret i en zone i en given time, hvor lang den gennemsnitlige opholdstid var, og hvilken rute gennem et rum der var mest almindelig. Ingen række i nogen database svarer til en person.

Et system til besøgsanalyse godkendt af en databeskyttelsesmyndighed bygget på Wi-Fi-tælling kræver ikke de besøgendes samtykke for at fungere. Samtykke gælder, hvor der behandles persondata, og denne metode behandler ingen. Det er også grunden til, at dette er den eneste metode til besøgsmåling i Europa, der er godkendt af en databeskyttelsesmyndighed.

Hvordan ved vi, at tallene er rigtige?

Systemet ser aldrig enkeltpersoner, så det bruger kalibrering til at kontrollere sine tal. Tællinger fra Wi-Fi-signaler valideres mod manuelle tællinger: et kendt antal mennesker går gennem en zone, og systemets estimat justeres, så det passer. Kalibreringen korrigerer også for andelen af besøgende med en Wi-Fi-aktiveret enhed, som varierer med sted og tidspunkt. Andre metoder sammenlignes i sådan tæller du besøgende.

Nøjagtigheden er høj på aggregeret niveau, og det er det niveau, driftsmæssige og strategiske beslutninger kræver. En detailhandler har brug for at vide, om det var 2.000 eller 4.000 mennesker, der kom en lørdag, og det kan besvares uden en opgørelse over enkeltpersoner. Kalibreringen gør også tællingen sammenlignelig på tværs af steder og sæsoner, og den sammenlignelighed er hvad et besøgstrafikbenchmark er værd. Besøgstallet er desuden den nævner, som kassen ikke kan levere: sat op mod salget giver det konverteringsraten bag hvorfor besøgstrafik og salg fortæller forskellige historier.

MAC-randomisering, som nu er standard på moderne enheder, håndteres på algoritmisk niveau uden at vende tilbage til vedvarende identifikatorer, så de statistiske resultater forbliver pålidelige.

Hvad dækker en databeskyttelsesgennemgang af Wi-Fi-tælling?

For organisationer, der er omfattet af GDPR, er en DPIA for persontælling det formelle trin til at vurdere en teknologi, før den tages i brug. Om der er brug for en, og hvad den skal dække, afgør din egen databeskyttelsesrådgiver eller compliancefunktion. Metoden frembringer ingen data i særlige kategorier, kræver ingen samtykkemekanisme og efterlader ingen registreredes rettigheder at administrere. De spørgsmål, en databeskyttelsesrådgiver typisk stiller, er samlet på den side.

Hvad siger personalet og fagforeningen?

Målingen er anonym. Wi-Fi-tælling producerer ingen personoplysninger, så ingen, hverken medarbejdere eller besøgende, kan udpeges i resultaterne, og ingen enkeltperson følges over tid. Det, personalet og deres tillidsrepræsentanter ser, er aggregeret statistik om lokalet: hvor mange der var der, hvor og hvornår, aldrig hvem.

Hvad ændrer sig for de besøgende, når der ikke er et kamera?

Kamerabaserede systemer kan ting, som Wi-Fi-tælling ikke kan: de kan skelne voksne fra børn, tælle personer på billeder med stor præcision og i nogle opsætninger genkende tilbagevendende besøgende. Netop de muligheder er også kilden til ubehag hos offentligheden. Ansigtsgenkendelse koblet til detailanalyse har tiltrukket sig myndighedernes opmærksomhed i hele Europa, og selv hvor kameraerne ikke kører genkendelse, lægger besøgende i offentlige rum i stigende grad mærke til dem og stiller spørgsmål. Et synligt kamera kan ligne overvågning, også når det kun tæller, og den friktion koster noget i besøgsoplevelsen, i personalets tid og en gang imellem i presseomtale.

Wi-Fi-tælling retter intet kamera mod de besøgende og opfanger intet billede af dem. Det betyder mest der, hvor tillid er en del af besøget: kulturinstitutioner, offentlig transport og sundhedsfaciliteter. I detailhandlen betyder det også mere og mere, efterhånden som beslutninger om persontæller eller besøgsanalyse bliver vurderet mere kritisk.

Hvor en indgang kræver en nøjagtig tælling, og et objektiv er uønsket, giver LiDAR-persontælling en præcis tælling helt uden kamera. Den måler bevægelse med øjensikre laserimpulser og viser personer som klynger af punkter i 3D-rummet. Der dannes aldrig et billede, så der er intet at gemme, sløre eller maskere.

Kilder

• Apple (2014). iOS Security (white paper, October 2014). https://www.apple.com/mx/privacy/docs/iOS_Security_Guide_Oct_2014.pdf
• Android Open Source Project. Implement MAC randomization. https://source.android.com/docs/core/connect/wifi-mac-randomization
• Martin, J., Mayberry, T., Donahue, C., Foppe, L., Brown, L., Riggins, C., Rye, E. C., & Brown, D. (2017). A study of MAC address randomization in mobile devices and when it fails. Proceedings on Privacy Enhancing Technologies, 2017(4), 365–383. https://doi.org/10.1515/popets-2017-0054
• European Data Protection Board (2020). Guidelines 3/2019 on processing of personal data through video devices, version 2.0. https://www.edpb.europa.eu/documents/guideline/guidelines-32019-on-processing-of-personal-data-through-video-devices_en
• European Parliament and Council of the European Union (2016). Regulation (EU) 2016/679 (General Data Protection Regulation), Recital 26 and Article 35. https://eur-lex.europa.eu/eli/reg/2016/679/oj