GDPR ja külastajate loendamine

Bumbee Labs kasutab Euroopa ainsat külastajate loendamise meetodit, mille on heaks kiitnud andmekaitseasutus. Rootsi IMY uuris Wi-Fi-meetodit ja jõudis järeldusele, et see annab anonüümset koondstatistikat. Isikuandmed kustutatakse pöördumatult juba allikas, nii et numbritest ei saa kedagi tuvastada.

Külastajate loendamine tähendab inimeste mõõtmist füüsilises ruumis ja enamik meetodeid puudutab midagi isiklikku: telefoni signaale või pilte ukse juures. Vastavusmeeskond küsib õigusega, mida kogutakse, mida säilitatakse ja kas andmetest on võimalik kedagi eristada. GDPR-ile vastava külastatavuse analüüsi pakkuja peaks oskama neile küsimustele kirjalikult vastata.

Lühidalt

• IMY, Rootsi andmekaitseasutus, vaatas Bumbee Labsi Wi-Fi-põhise loendamismeetodi läbi ja kiitis selle heaks.
• Kõik isikuandmed kustutatakse pöördumatult. Alles jääb ainult anonüümne koondstatistika.
• 3D-anduri, LiDAR-i, AI-kaamera ja mobiilivõrgu andmete meetodid on kavandatud sama lõimitud andmekaitse põhimõtte järgi. Heakskiit ise hõlmab Wi-Fi-meetodit.
• Sama seisukoht kehtib UK GDPR-i alusel ning tehisintellekti määruse (AI Act) hindamisel tasub igalt tarnijalt küsida just meetodi tasandi erinevuse kohta.
• Statistika jõuab Teieni armatuurlaudade ja dokumenteeritud API kaudu ning külastajaandmed kuuluvad Teile.

Miks tekitab külastatavuse mõõtmine GDPR-i küsimusi?

GDPR-i järgi on kõik, mille abil saab isikut tuvastada, isikuandmed (artikli 4 punkt 1 ja põhjendus 26), ning identifikaatorid ja salvestatud videopilt on täpselt see materjal, mida määrus reguleerib. Vastavusmeeskonnal peaksid enne loendamise algust olema otsesed ja kirjalikud vastused.

Kuidas käsitleb GDPR-ile vastav külastajate loendur isikuandmeid?

Bumbee Labs loendab Wi-Fi-põhise külastajate loendamise, optiliste 3D-andurite, mobiilivõrgu andmete või nende kombinatsiooni abil ning iga meetodi puhul kehtib sama andmekaitse ülesehitus. Mõõtmine on passiivne: telefoni ei installita midagi ja külastajalt ei nõuta midagi. Kõik isikuandmed kustutatakse pöördumatult ja neid ei salvestata kunagi, isegi mitte räsitud kujul. Alles jääb ainult anonüümne koondstatistika ja ühtegi isikut ei saa tuvastada. Kaamera- ja anduripaigaldised töötlevad videot ainult analüüsi jaoks ega salvesta inimesi kujutavaid pilte. Samal põhimõttel töötab ka andmekaitset arvestav kaamerapõhine loendamine. Mobiilivõrgu analüüs kasutab anonüümitud ja koondatud võrguandmeid ega jälgi üksikuid seadmeid.

Teieni jõuab statistika: külastajate arv, viibimisajad, liikumisvood, capture rate (sisenemismäär) ja trendid. Tulemuseks on GDPR-ile vastav külastajavoogude seire ehk anonüümne külastajate loendamine igas mastaabis, ühest uksest terve linnaosani. Külastatavuse andmete lehel on kirjeldatud teekond signaalist statistikani.

Kes meetodi heaks kiitis ja mida hinnati?

Heakskiidu andis IMY, Rootsi andmekaitseasutus (Integritetsskyddsmyndigheten, varem Datainspektionen), mis teostab Rootsis järelevalvet isikuandmete kaitse üle. IMY uuris Wi-Fi-põhist loendamismeetodit ennast: mida kogutakse, mida pöördumatult kustutatakse ja mis alles jääb. Hindamise järeldus oli, et tulemuseks on anonüümne koondstatistika, mis ei ole isikuandmed.

Heakskiit hõlmab Wi-Fi-põhist loendamismeetodit. Samas pani see paika tehnilise standardi kõigele, mida oleme hiljem ehitanud: 3D-anduri, LiDAR-i, AI-kaamera ja mobiilivõrgu andmete mõõtmine on kavandatud sama lõimitud andmekaitse põhimõtte järgi ja annab sama anonüümse tulemuse. Kuna GDPR on kogu ELis ja EMPs üks ja sama määrus, vastas IMY küsimusele, millest alustab hindaja igas liikmesriigis. Eestis teostab sama määruse täitmise üle järelevalvet Andmekaitse Inspektsioon (AKI). Mille poolest erineb andmekaitseasutuse hinnatud meetod tarnija enda „GDPR-ile vastav“ märgist, selgitab leht GDPR-i järgimine või ametlik heakskiit.

Mida muudab heakskiit meie vastavushindamises?

Heakskiit muudab lähtepunkti. Hindamises on otsustav küsimus, kas meetod tekitab isikuandmeid, ja IMY on selle küsimuse juba esitanud ning sellele vastanud. Kuna isikuandmeid ei teki kunagi, töötate ainult anonüümse statistikaga. Meetodi on valideerinud ka teadlased, partnerid ja kliendid ning iga paigaldust kontrollitakse käsitsi tehtud kontrollmõõtmistega, mida võrreldakse meie enda andmetega. Lehel andmekaitsealane mõjuhinnang (DPIA) külastajate loendamiseks on koondatud küsimused, mida andmekaitsespetsialist (DPO) tavaliselt esitab, koos viidetega vastustele.

Mida vastavusmeeskonnad meilt küsivad?

• Mida kogutakse? Olenevalt meetodist telefonide saadetavaid Wi-Fi-signaale, optilisi loendusi ühes punktis või anonüümitud ja koondatud võrguandmeid. Kogumine on alati passiivne.
• Mida säilitatakse? Ainult statistikat: loendusi, viibimisaega, liikumisvooge ja trende. Midagi, mis võimaldaks kedagi tuvastada, ei salvestata.
• Kas andmetest saab kedagi eristada? Ei. Meetod on kavandatud nii, et ühtegi isikut ei saa kunagi tuvastada.
• Kuhu numbrid jõuavad? Armatuurlaudadele ja dokumenteeritud päringupõhisesse (pull) API-sse. Teie külastajaandmed kuuluvad Teile.

Andmekaitse on meie hankes nõue: mida peaksime tarnijatelt küsima?

Keskne küsimus on, kas meetod tekitab isikuandmeid. Paluge igal tarnijal kirjalikult vastata, mida kogutakse, mida säilitatakse ja kas andmetest saaks kedagi eristada. IMY on selle küsimuse Bumbee Labsi Wi-Fi-meetodi puhul läbi uurinud. Avaliku sektori asutused saavad samad põhimõtted hankenõueteks muuta, vt külastajate loendamise riigihange.

Kellele see sobib?

Jaemüüjatele ja kaubanduskeskustele, transpordisõlmedele ja lennujaamadele, muuseumidele, raamatukogudele, kesklinnadele ja välireklaamile. Lahendus sobib nii üksikule kauplusele kui ka tervetele linnaosadele. Statistika jõuab Teieni igas mastaabis ühtemoodi, nii et paljude asukohtadega kontsern hindab meetodit ainult ühe korra.

Kas külastajate loendur kuulub tehisintellekti määruse (AI Act) alla?

Tehisintellekti määrus on vastavuse päevakorras kõigil, kes kasutavad ELis tehisintellektisüsteeme. Kaamerapõhised külastajate loendamise süsteemid, mis klassifitseerivad isikuid masinnägemise abil, võivad kuuluda määruse III lisa alla (biomeetrilise liigitamisega seotud suure riskiga tehisintellektisüsteemid). Wi-Fi- ja mobiilivõrgupõhised meetodid jäävad oma ülesehituse tõttu sellest kohaldamisalast välja: need ei töötle biomeetrilisi andmeid, ei tuvasta isikuid ja annavad tulemuseks anonüümse koondstatistika. Tehisintellekti määruse hindamisel tasub igalt tarnijalt küsida just meetodi tasandi erinevuse kohta.

Kas see kehtib ka UK GDPR-i alusel?

Ühendkuningriigi organisatsioonid tegutsevad UK GDPR-i alusel (EL-i GDPR, mis jäeti kehtima seadusega Data Protection Act 2018). Sellel lehel kirjeldatud seisukoht kehtib UK GDPR-i alusel täielikult: meetod ei tekita isikuandmeid, midagi tuvastatavat ei salvestata ning andmekaitseasutuse heakskiit on dokumenteeritud tõend, millele Teie andmekaitsespetsialist (DPO) saab viidata. Ühendkuningriigi ostjad jaekaubanduses, transpordis ja avalikus sektoris saavad neid külastajaandmeid kasutada sama kindlalt kui nende kolleegid ELis.

Kas võin oma DPO küsimused demole kaasa võtta?

Jah. Demos vaatame lihtsas keeles läbi meetodi, andmete teekonna ja armatuurlaua. Meie privaatsuspoliitika kirjeldab, kuidas me andmeid käsitleme, ja kliendilood näitavad, kuidas samad küsimused esitanud organisatsioonid statistikat kasutavad.