Conforme al RGPD vs aprobado por una autoridad: qué significa la diferencia para el conteo de personas
Todos los proveedores de conteo de personas en Europa se describen como conformes al RGPD. Esta página explica qué cubre la frase cuando el proveedor se evalúa a sí mismo, qué añade la revisión de un regulador y cómo saber cuál de las dos cosas está comprando.
En esta página
«Conforme al RGPD» es normalmente la conclusión del propio proveedor, porque el RGPD hace a las organizaciones responsables de su propio cumplimiento. «Aprobado» significa que un regulador examinó el método. Bumbee Labs tiene el único método de medición de afluencia en Europa aprobado por una autoridad de protección de datos. IMY, la autoridad sueca de protección de datos, emitió la aprobación para nuestro método de medición de afluencia por Wi-Fi.
¿Es «conforme al RGPD» una autoevaluación?
En general, sí. Lea cualquier página web de conteo de personas en cualquier idioma europeo y aparece la misma frase: conforme al RGPD, GDPR-compliant, DSGVO-konform, RODO-compliant. Escribirla no cuesta nada, y en casi todos los casos el propio proveedor llegó a esa conclusión, porque el RGPD no reparte distintivos de producto. Lo que el proveedor suele querer decir es que ha examinado con honestidad su propia arquitectura, con el respaldo de una política de privacidad y una plantilla de contrato de encargo de tratamiento.
Cuando todos los proveedores usan las mismas palabras, la afirmación ya no distingue la ingeniería cuidadosa del pensamiento ilusorio, así que su revisión de cumplimiento empieza de cero. Alguien de su parte tiene que examinar qué recoge el sistema, qué conserva y qué podría exponer, y la autodescripción del proveedor es una de las fuentes de ese trabajo.
¿Qué añade la revisión de un regulador?
Una autoridad de protección de datos es el organismo que el RGPD designa para juzgar estas cuestiones. Cuando examina un método de medición, hace las preguntas que haría su DPD, con más mandato y más profundidad: qué se recoge, qué ocurre con ello, qué queda y si alguna persona podría ser identificada en cualquier fase.
Bumbee Labs pasó por ese examen y tiene la aprobación de IMY, emitida tras revisar cómo se recogen las señales, se eliminan de forma irreversible y se reducen a estadísticas anónimas y agregadas.
Como el RGPD es un único reglamento en toda la UE y el EEE, IMY respondió a la pregunta de la que parte un revisor en París, Múnich o Milán: ¿esto genera datos personales? Una aprobación no pone fin a su revisión, pero su DPD puede verificar hallazgos documentados en lugar de investigar una afirmación desde cero.
¿Cubre la aprobación todos los métodos que entregan?
La aprobación cubre el método de medición de afluencia por Wi-Fi. La misma ingeniería de privacidad por diseño se aplica a todo lo que entregamos junto a él, desde sensores 3D hasta LiDAR y analítica de red móvil. Cuando un proveedor dice «aprobado», compruebe qué método cubrió la revisión. La pregunta 2 de abajo lo plantea.
¿Cómo sé cuál de las dos cosas estoy comprando?
Plantee tres preguntas a cualquier proveedor, incluidos nosotros, y pida las respuestas por escrito:
- ¿Qué revisión independiente ha superado el método, y por parte de quién?
- ¿Qué cubrió exactamente la revisión: qué método y qué recorrido de datos?
- ¿Qué documentación puede entregar el proveedor a su DPD?
Un proveedor autodeclarado responde a la primera pregunta con sus propias políticas. Eso puede ser sólido, pero es un producto distinto del que aparece en la presentación de ventas, y su equipo legal debería saber cuál de los dos está aprobando.
La página Analítica de afluencia conforme al RGPD repasa nuestras respuestas por completo, y la guía de EIPD recoge las preguntas que suele hacer un DPD con indicaciones de dónde está cada respuesta. Si está redactando un pliego, contratación pública de conteo de personas muestra qué puede exigir un pliego.
¿Quiere ver cómo sería para su espacio?
Preguntas frecuentes
¿Es «conforme al RGPD» una certificación?
No. El RGPD no certifica productos por defecto. A menos que un regulador o un organismo acreditado haya examinado un sistema, «conforme al RGPD» es la propia conclusión del proveedor sobre su propio producto. Puede ser correcta, pero la frase por sí sola no demuestra que alguien independiente lo haya comprobado.
¿Qué se aprobó exactamente en el caso de Bumbee Labs?
IMY, la autoridad sueca de protección de datos, revisó el método de medición de afluencia por Wi-Fi de Bumbee Labs: qué se recoge, qué se elimina y qué queda. Ningún otro método de medición de afluencia en Europa tiene ese estatus. La misma ingeniería de privacidad por diseño sostiene cada método que entregamos junto a él.
¿Importa la aprobación de una autoridad de la UE en otros países?
Todos los estados miembros aplican el mismo reglamento, así que un revisor en cualquier lugar de la UE o del EEE se hace la misma pregunta: ¿esto genera datos personales? Un método que ya la ha respondido ante una autoridad de protección de datos le da a su DPD pruebas documentadas de las que partir, sea cual sea su país de operación.
¿Cómo debería comprobar el departamento de compras una afirmación de cumplimiento?
Haga a cada proveedor las mismas tres preguntas, por escrito: qué revisión independiente ha superado su método, qué cubrió exactamente y qué pruebas puede adjuntar. El cumplimiento autodeclarado responde con documentos de política, y el cumplimiento revisado, con la conclusión de un regulador.