DPIA kävijälaskennassa: mitä tietosuojavastaavasi kysyy

Kävijälaskennan DPIA:ssa (tietosuojan vaikutustenarvioinnissa) tietosuojavastaava käy läpi tavalliset kysymykset: mitä kerätään, pyydetäänkö kävijöiltä jotakin, mitä säilytetään, voiko kenetkään poimia datasta esiin, tallentavatko kamerat kuvia ja minne luvut menevät. Kirjalliset vastaukset ovat GDPR-sivullamme, datatoimitukset-sivulla, tietosuojakäytännössä ja UKK:ssa.

Kävijöiden laskeminen tarkoittaa ihmisten mittaamista fyysisessä tilassa, ja useimmat tavat tehdä se koskettavat jotakin, mikä voisi olla henkilökohtaista: puhelimen signaaleja tai kuvia ovella. Tietosuojavastaava (DPO) tai tietosuojatiimi kysyy siksi, mitä kerätään, mitä säilytetään ja voisiko kenetkään koskaan poimia datasta esiin. DPIA eli tietosuojan vaikutustenarviointi kattaa nämä kysymykset kävijämittauksen osalta. Vastaukset on esitetty kohta kohdalta kohdassa mitä vaatimustenmukaisuustiimit meiltä kysyvät; tämä sivu käsittelee arviointia niiden ympärillä.

Tarvitsemmeko DPIA:n kävijälaskentaa varten?

Sen ratkaisee oma tietosuojavastaavasi tai tietosuojatoimintosi, emmekä tee arviota puolestasi. Me toimitamme aineiston, joka lyhentää työtä: dokumentaation siitä, että menetelmä tuottaa anonyymeja, aggregoituja tilastoja eikä henkilötietoja, sekä kirjalliset vastaukset jäljelle jääviin kysymyksiin.

Se, tekeekö organisaatiosi muodollisen vaikutustenarvioinnin ja mitä sen on katettava, on edelleen oma päätöksesi. Mikään tällä sivulla ei korvaa omaa arviointiasi.

Tuottaako menetelmä henkilötietoja?

Ei. Menetelmä toimittaa aggregoituja tilastoja, eikä niiden takana ole tallennettua merkintää yhdestäkään yksilöstä. Kävijämäärät, viipymäajat, virrat, sisääntuloasteet ja trendit saapuvat aggregoituina lukuina, ja kaikki henkilötiedot poistetaan peruuttamattomasti osana itse menetelmää.

Muuttaako UK GDPR vastauksia?

Ei. Yhdistyneessä kuningaskunnassa toimiville organisaatioille sovellettava säädöskehys on UK GDPR, eli EU:n GDPR sellaisena kuin se jäi voimaan Britannian lainsäädännössä Data Protection Act 2018 -lain nojalla. Samat kysymykset pätevät, ja vastaukset pitävät: menetelmä tuottaa anonyymeja, aggregoituja tilastoja, joten henkilötietoja ei kuulu EU:n GDPR:n eikä UK GDPR:n soveltamisalaan. Yhdistyneen kuningaskunnan toimintoja hoitava tietosuojavastaava lukee UK GDPR:n siellä, missä tämä sivu viittaa EU:n GDPR:ään.

Nouseeko EU:n tekoälyasetus esiin kävijälaskennan DPIA:ssa?

Voi nousta, ja se riippuu menetelmästä. EU:n tekoälyasetus on yhä useammin kohta tietosuojan tarkistuslistoilla. Kamerapohjaiset kävijälaskentajärjestelmät, jotka luokittelevat yksilöitä konenäön avulla, voivat kuulua liitteen III piiriin, asetuksen luetteloon korkean riskin tekoälyjärjestelmistä. Wi-Fi- ja mobiiliverkkopohjaiset menetelmät jäävät tämän soveltamisalan ulkopuolelle, koska ne eivät käsittele biometrisiä tietoja eivätkä tunnista yksilöitä. Jos arvioinnissasi on otettava kantaa tekoälyasetuksen riskiluokitukseen, lähtökohtana on menetelmien välinen ero.

Mistä tietosuojavastaava löytää kirjalliset vastaukset?

Se, miten täytämme tietosuojavaatimukset, on kuvattu sivulla GDPR-turvallinen kävijäanalytiikka, ja siellä kerrotaan myös, mitä viranomaishyväksyntä merkitsee tarkastukselle. Bumbee Labsilla on Euroopan ainoa kävijämittausmenetelmä, joka on tietosuojaviranomaisen hyväksymä, joten keskeinen kysymys, syntyykö menetelmästä henkilötietoja, on jo esitetty, ja tuo viranomainen on vastannut siihen. Vaiheittainen kulku signaalista tilastoksi (kerääminen, anonymisointi, suodatus, käsittely ja oivallus) on kuvattu sivulla datatoimitukset. Tietosuojakäytäntömme toteaa asian suoraan: emme tunnista yksilöitä emmekä rakenna profiileja laskettavista ihmisistä. Lyhyemmät vastaukset yleisimpiin kysymyksiin löytyvät UKK:sta.

Voiko tietosuojavastaavamme keskustella suoraan Bumbee Labsin kanssa?

Kyllä. Vastaamme tietosuojakysymyksiin suoraan ja kirjallisesti, ja voimme järjestää menetelmän, datan kulun ja raportointinäkymän läpikäynnin niin, että tietosuojavastaavasi on mukana. Dokumentaatio on kirjoitettu selkokielellä. Organisaatiot, joilla on korkea tietosuojarima, kuten kunnat, kirjastot ja liikenteen solmukohdat, esittävät meille samat kysymykset ennen sitoutumistaan. Kun olet valmis, keskustele tiimimme kanssa ja tuo mukanasi tietosuojavastaavasi kysymykset.