Det skal du kræve, når du udbyder persontælling

Ved udbud af persontælling køber en offentlig organisation besøgstal som anonym, aggregeret statistik, målt med Wi-Fi, 3D-sensorer eller mobilnetværksdata. Guiden er skrevet til kommuner, der måler besøgstrafikken i bycentre og smarte byer eller besøgende i offentlige bygninger. Bumbee Labs er virksomheden bag den eneste metode til besøgsmåling i Europa, der er godkendt af en databeskyttelsesmyndighed.

Siden er orientering fra leverandørsiden, ikke udbuds- eller juridisk rådgivning, og jeres egne indkøbs- og databeskyttelsesfunktioner fastlægger den endelige formulering.

Hvilke krav hører hjemme i et udbud af persontælling?

Hvilke privatlivskrav skal ind i kravspecifikationen?

En kommune kan skrive indbygget anonymitet ind i kravspecifikationen: aggregeret statistik, intet gemt, der kan identificere nogen, og intet krævet af de besøgende, som hverken skal have en app eller logge ind. Er kameraer eller sensorer involveret, så kræv, at video udelukkende behandles til analyse, og at ingen personbilleder gemmes. Besøgsanalyse godkendt af en databeskyttelsesmyndighed beskriver positionen bag kravet.

Hvordan tester vi påstandene om nøjagtighed i tilbuddene?

Behandl et nøjagtighedstal i et tilbud som en påstand, og spørg tilbudsgiveren, hvad der står bag besøgstallet: en dokumenteret gennemgang af metoden, uafhængig validering og nøjagtighed verificeret mod virkeligheden. Hos Bumbee Labs verificeres hver installation med manuelle kontrolmålinger.

Skal udbuddet låse teknologien fast eller beskrive stederne?

Beskriv stederne og det spørgsmål, hvert sted skal besvare, og lad tilbudsgiverne foreslå den metode, der passer. Kamerafri Wi-Fi passer til indendørs offentlige bygninger, Wi-Fi sammen med mobilnetværk dækker gader, pladser og bydele, og en 3D-sensor giver det præcise tal ved én dør. Hybride løsninger kombinerer dem; sådan tæller du besøgende sammenligner dem.

Vores DPO vil have en DPIA, før vi skriver under: hvad beder vi leverandøren om?

Om der er brug for en DPIA, og hvad den skal dække, afgør kommunens databeskyttelsesrådgiver. Udbuddet kan bede hver tilbudsgiver om det, der forkorter det arbejde: dokumentation for, at metoden giver anonym, aggregeret statistik og ingen personoplysninger, og skriftlige svar på de resterende spørgsmål. DPIA for persontælling samler de spørgsmål, en DPO typisk stiller.

Skal vi købe besøgstælling som en ydelse eller selv købe sensorerne?

Start med at afgøre, hvad kommunen vil eje. Ved købte sensorer ligger vedligeholdelse og kontrol hos køberen; ved en måleydelse bærer leverandøren det arbejde. Wi-Fi-tælling kører som regel på bygningens eksisterende adgangspunkter, mens 3D-sensorer kun sættes op ved de døre, der har brug for dem. Udbud af trafiktælling dækker samme valg for gader.

Hvem ejer dataene, når kontrakten udløber?

Skriv det ind i udbuddet: besøgsdataene tilhører den ordregivende organisation. Specificér også leveringen, for statistik, der aldrig forlader en portal, er til lidt nytte. Bed om dashboards til hver interessentgruppe, et åbent og dokumenteret API til persontælling og planlagte eksporter og rapporter til bestyrelser og bevillingsgivere. Dataleverancer nævner de metrikker, I kan bede om.

Hvad spørger offentlige organisationer ellers om, når de køber persontælling?

• Falder kamerabaseret tælling ind under AI-forordningen? Kamerabaserede persontællingssystemer, der bruger computer vision, kan falde ind under bilag III (højrisiko-AI), så bed tilbudsgiverne oplyse, om deres system gør det, og dokumentere svaret uanset hvad. Wi-Fi-baserede og mobilnetværksbaserede metoder ligger på grund af deres arkitektur uden for bilag III’s anvendelsesområde. Datoerne står på AI-forordningen og persontælling.
• Hvordan vejer vi kvalitet mod pris i evalueringen? Vægtningen er op til jeres indkøbsfunktion. Tilbudsgiverne kan testes på disse kriterier: dokumenteret gennemgang, uafhængig validering, verificeret nøjagtighed, levering, dataejerskab og egnethed til hvert sted.
• Kan et bibliotek, en svømmehal og bymidten komme med i samme udbud? Forskellige rum kræver forskellige metoder, så bed om den metode, der passer til hvert sted, og én samlet levering: i en hybrid opsætning leverer alle metoder til én analyseplatform og ét API. Se biblioteker og svømmehaller og badeanlæg.
• Hvilke referencer kan vi bede om? Bed om referencer, hvor nøjagtigheden blev kontrolleret og GDPR-efterlevelsen dokumenteret. Det var netop de to grunde til, at et stort trafikknudepunkt i Stockholm valgte sit målesystem.
• Er en manuel fodgængertælling nok? Tælling i hånden dækker kun de timer, hvor nogen talte, overser sideindgange, ubemandede timer og folk, der går ud og ind igen, og resultatet varierer med den, der tæller. Automatisk tælling giver en kontinuerlig serie, der kan efterprøves; se besøgstal til bevillingsgivere.
• Vi er en britisk organisation: ændrer UK GDPR kravet? Britiske organisationer, der køber besøgsmåling, bør kræve overholdelse af UK GDPR (EU’s GDPR, som den er videreført i britisk ret under Data Protection Act 2018) i deres udbudskrav. Privatlivsforpligtelserne er tilsvarende, og det samme krav om indbygget anonymitet gælder.