Persontælling i Frankrig: at måle inden for CNIL-rammen

CNIL, den franske databeskyttelsesmyndighed, forventer, at besøgsmåling i offentligt tilgængelige rum hviler på anonymiserede data eller stærke garantier, informerede besøgende og et retsgrundlag. Metoder uden personoplysninger i outputtet passer bedst. Bumbee Labs har den eneste metode til besøgsmåling i Europa, der er godkendt af en databeskyttelsesmyndighed. Godkendelsen er udstedt af IMY og gælder Wi-Fi-metoden.

Hvad forventer CNIL-rammen af persontælling?

Andre steder udleder man ofte reglerne for besøgsmåling af GDPR’s generelle principper. I Frankrig udgiver CNIL eksplicitte regler for dispositifs de mesure d’audience et de fréquentation i offentligt tilgængelige rum: måleanordninger i indkøbscentre, stationer, gågader og reklamemiljøer. For en detailhandler, en ejendomsejer eller en by er det en hjælp: spørgsmålet bliver, om metoden opfylder de udgivne forventninger, og det kan efterprøves.

Rammen stiller tre krav. Dataene er anonymiserede, eller behandlet under stærke garantier, hvis noget identificerbart berøres undervejs. Besøgende informeres om, at måling finder sted. Behandlingen hviler på et solidt retsgrundlag. Dette er orientering, ikke juridisk rådgivning. Alligevel bliver hver af de samtaler kortere, jo længere en metodes output ligger fra personoplysninger.

Bumbee Labs byggede sin metode på det princip fra starten. Målingen er passiv, og den besøgende skal ikke gøre noget. Alle personoplysninger slettes uigenkaldeligt og gemmes aldrig, heller ikke i hashet form, så kun anonym, aggregeret statistik bliver tilbage: tællinger, opholdstid, strømme og tendenser pr. zone og periode. Der findes ingen profiler og ingen rejser for identificerede enkeltpersoner, og intet, der kunne føre en person tilbage ind i tallene.

Hvorfor betyder en gennemgået metode noget i Frankrig?

Hvem som helst kan påstå compliance. I Frankrig, markedet med de klareste udgivne regler, bør evidensen være stærk. IMY, det svenske datatilsyn, gennemgik selv vores Wi-Fi-metode: hvad der indsamles, hvad der slettes, og hvad der bliver tilbage i outputtet. Bumbee Labs har den godkendelse. Forordningen er den samme i Stockholm og i Paris. Det spørgsmål, IMY stillede (producerer det her personoplysninger?), er det samme, som CNIL’s ramme stiller til enhver anordning i drift i Frankrig, og det samme, som jeres DPO vil stille til enhver leverandør. Et selverklæret “conforme au RGPD” og en metode gennemgået af en myndighed er to forskellige ting. Siden GDPR-sikker eller godkendt gennemgår forskellen, og den vejer tungest i Frankrig.

Hvilke metoder kan kombineres i Frankrig?

I projekter, der kombinerer metoder, gælder den samme privacy by design-tilgang for måling med 3D-sensorer, LiDAR og mobilnetværk, samlet i én platform med det anonyme, aggregerede output, som rammen foretrækker.

Hvad måler franske operatører?

Spørgsmålene er de samme som på ethvert andet marked, med myndighedens tjekliste oveni. Detailhandlere og centres commerciaux måler butiksperformance: besøgstal, konvertering, opholdstid og strømme mellem zoner. Byer og collectivités måler fodgængerstrømme for at styre investeringer og rapportere om dem. Transportoperatører måler stationer og knudepunkter. I alle tilfælde er leverancen anonym statistik, som en fransk compliance-gennemgang kan godkende uden besvær, gennem dashboards eller en API ind i jeres egne værktøjer.

Hvordan kommer vi i gang med vores DPO ved bordet?

I en demo gennemgår vi metoden, datarejsen og dashboards i et klart sprog, og vi besvarer compliance-spørgsmål skriftligt. Tag CNIL-rammen med, så gennemgår vi den punkt for punkt. Besøgsanalyse godkendt af en databeskyttelsesmyndighed samler hele vores compliance-position, og DPIA for persontælling lister de spørgsmål, I kan stille til os og til enhver anden leverandør.