Tietosuojaviranomaisen hyväksymä kävijäanalytiikka

Bumbee Labsilla on Euroopan ainoa kävijämittausmenetelmä, joka on tietosuojaviranomaisen hyväksymä. Ruotsin tietosuojaviranomainen IMY tarkasti Wi-Fi-menetelmän ja totesi, että sen tuottama tulos on anonyymia, aggregoitua tilastoa. Henkilötiedot poistetaan peruuttamattomasti jo lähteellä, joten ketään ei voi tunnistaa luvuista.

Kävijöiden laskeminen tarkoittaa ihmisten mittaamista fyysisessä tilassa, ja useimmat tavat tehdä se koskettavat jotakin henkilökohtaista: puhelimen signaaleja tai kuvia ovella. Tietosuojatiimi tekee oikein kysyessään, mitä kerätään, mitä säilytetään ja voiko ketään poimia datasta esiin. GDPR:n mukaisen kävijäanalytiikan toimittajan pitäisi pystyä vastaamaan näihin kysymyksiin kirjallisesti.

Lyhyesti

• IMY, Ruotsin tietosuojaviranomainen, tarkasti ja hyväksyi Bumbee Labsin Wi-Fi-pohjaisen kävijämittausmenetelmän.
• Kaikki henkilötiedot poistetaan peruuttamattomasti. Jäljelle jää vain anonyymia, aggregoitua tilastoa.
• 3D-anturi, LiDAR, tekoälykamera ja matkapuhelinverkkomittaus on suunniteltu saman sisäänrakennetun tietosuojan periaatteen mukaan. Itse hyväksyntä kattaa Wi-Fi-menetelmän.
• Sama asema pätee UK GDPR:n mukaan, ja EU:n tekoälyasetuksen arvioinnissa menetelmätason ero on kysymys, joka kannattaa esittää jokaiselle toimittajalle.
• Tilastot saapuvat raportointinäkymien ja dokumentoidun rajapinnan kautta, ja kävijädata on sinun.

Miksi kävijämittaus herättää GDPR-kysymyksiä?

GDPR:n mukaan kaikki, mikä voi tunnistaa henkilön, on henkilötietoa (4 artiklan 1 kohta ja johdanto-osan 26 kappale), ja tunnisteet ja tallennettu kuvamateriaali ovat juuri sitä aineistoa, jota asetus koskee. Tietosuojatiimillä pitäisi olla suorat, kirjalliset vastaukset ennen kuin laskenta alkaa.

Miten GDPR-yhteensopiva kävijälaskuri käsittelee henkilötietoja?

Bumbee Labs laskee Wi-Fi-pohjaisella kävijälaskennalla, optisilla 3D-antureilla, matkapuhelinverkon datalla tai näiden yhdistelmällä, ja kaikissa menetelmissä noudatetaan samaa tietosuojaperiaatetta. Mittaus on passiivista: puhelimeen ei asenneta mitään, eikä kävijältä vaadita mitään. Kaikki henkilötiedot poistetaan peruuttamattomasti, eikä niitä koskaan tallenneta edes tiivisteinä. Jäljelle jää vain anonyymia, aggregoitua tilastoa, eikä ketään yksilöä voida tunnistaa. Kamera- ja anturiasennukset käsittelevät videota vain analytiikkaa varten eivätkä tallenna henkilökuvia. Tämä on GDPR:n huomioivan kameralaskennan perusta. Matkapuhelinverkon analytiikka perustuu anonymisoituun, aggregoituun verkkodataan ilman laitetason seurantaa.

Saat tilastoja: kävijämäärät, viipymäajat, virrat, sisääntuloasteet ja trendit. Tuloksena on GDPR-yhteensopivaa ihmisvirtojen mittausta: anonyymia kävijälaskentaa kaikissa mittakaavoissa yksittäisestä sisäänkäynnistä kokonaiseen kaupunginosaan. Sivulla datatoimitukset kuvataan kulku signaalista tilastoksi.

Kuka hyväksyi menetelmän, ja mitä tarkastettiin?

Hyväksynnän myönsi IMY, Ruotsin tietosuojaviranomainen (Integritetsskyddsmyndigheten, aiemmin Datainspektionen), joka valvoo tietosuojaa Ruotsissa. IMY tarkasti itse Wi-Fi-pohjaisen kävijämittausmenetelmän: mitä kerätään, mitä poistetaan peruuttamattomasti ja mitä jää jäljelle. Tarkastuksen johtopäätös oli, että tulos on anonyymia, aggregoitua tilastoa eikä henkilötietoja.

Hyväksyntä kattaa Wi-Fi-pohjaisen kävijämittausmenetelmän. Se asetti myös teknisen standardin kaikelle, mitä olemme rakentaneet sen jälkeen: 3D-anturi, LiDAR, tekoälykamera ja matkapuhelinverkkomittaus on suunniteltu saman sisäänrakennetun tietosuojan periaatteen mukaan, ja ne tuottavat saman anonyymin tuloksen. Koska GDPR on sama asetus koko EU:ssa ja ETA:ssa, IMY:n ratkaisema kysymys on sama, josta tarkastaja missä tahansa jäsenvaltiossa lähtee liikkeelle. Suomessa samaa lakia valvoo tietosuojavaltuutettu. Sivulla GDPR-yhteensopiva vai viranomaisen hyväksymä käsitellään, mikä erottaa viranomaisen tarkastaman menetelmän toimittajan omasta “GDPR-yhteensopiva”-leimasta.

Mitä hyväksyntä muuttaa tietosuojatarkastuksessamme?

Hyväksyntä muuttaa lähtöasetelmaa: tarkastuksen ratkaiseva kysymys on, syntyykö menetelmästä henkilötietoja, ja IMY on jo esittänyt sen ja vastannut siihen. Koska henkilötietoja ei synny koskaan, käsittelet vain anonyymia tilastotietoa. Menetelmän ovat validoineet myös tutkijat, kumppanit ja asiakkaat, ja jokainen käyttöönotto varmennetaan manuaalisilla kontrollimittauksilla, joita verrataan omaan dataamme. Sivu DPIA kävijälaskennalle kokoaa kysymykset, jotka tietosuojavastaava yleensä esittää, ja osoittaa, mistä vastaukset löytyvät.

Mitä tietosuojatiimit kysyvät meiltä?

• Mitä kerätään? Menetelmästä riippuen Wi-Fi-signaaleja, joita puhelimet lähettävät, optisia laskentoja yhdessä pisteessä tai anonymisoitua, aggregoitua verkkodataa. Kerääminen on passiivista alusta loppuun.
• Mitä säilytetään? Vain tilastoja: kävijämääriä, viipymää, virtoja ja trendejä. Mitään yksittäisen ihmisen tunnistavaa ei tallenneta.
• Voiko jonkun poimia datasta esiin? Ei. Menetelmä on suunniteltu niin, ettei yhtäkään yksilöä voida koskaan tunnistaa.
• Minne luvut menevät? Raportointinäkymiin ja dokumentoituun, pull-pohjaiseen rajapintaan. Kävijädatasi on sinun.

Tietosuoja on hankintamme vaatimus: mitä toimittajilta pitäisi kysyä?

Keskeinen kysymys on, syntyykö menetelmästä henkilötietoja. Pyydä jokaista toimittajaa vastaamaan kirjallisesti, mitä kerätään, mitä säilytetään ja voiko ketään poimia datasta esiin. IMY on tarkastanut tämän kysymyksen Bumbee Labsin Wi-Fi-menetelmän osalta. Julkiset toimijat voivat muotoilla samat periaatteet vaatimuksiksi oppaan kävijälaskennan hankinta avulla.

Kenelle tämä sopii?

Kaupan toimijat ja kauppakeskukset, liikenteen solmukohdat ja lentoasemat, museot, kirjastot, kaupunkikeskustat ja ulkomainonta. Lähestymistapa skaalautuu yhdestä myymälästä kokonaisiin kaupunginosiin. Tilastot saapuvat samalla tavalla joka mittakaavassa, joten monen toimipaikan konserni tarkastaa menetelmän vain kerran.

Koskeeko EU:n tekoälyasetus kävijälaskuria?

EU:n tekoälyasetus on vaatimustenmukaisuuden asialistalla kaikilla, jotka ottavat tekoälyjärjestelmiä käyttöön EU:ssa. Kamerapohjaiset kävijälaskentajärjestelmät, jotka luokittelevat yksilöitä konenäön avulla, voivat kuulua asetuksen liitteen III piiriin (biometriseen luokitteluun liittyvät korkean riskin tekoälyjärjestelmät). Wi-Fi-pohjaiset ja matkapuhelinverkkoon perustuvat menetelmät jäävät rakenteensa vuoksi tämän soveltamisalan ulkopuolelle: ne eivät käsittele biometrisiä tietoja, eivät tunnista yksilöitä, ja tuloksena on anonyymia, aggregoitua tilastoa. Tekoälyasetuksen arvioinnissa menetelmätason ero on kysymys, joka kannattaa esittää jokaiselle toimittajalle.

Päteekö tämä UK GDPR:n mukaan?

Yhdistyneessä kuningaskunnassa toimivia organisaatioita koskee UK GDPR (EU:n tietosuoja-asetus sellaisena kuin se säilytettiin Britannian oikeudessa Data Protection Act 2018 -lain nojalla). Tällä sivulla kuvattu tietosuoja-asema pätee sellaisenaan myös UK GDPR:n mukaan: menetelmästä ei synny henkilötietoja, mitään tunnistettavaa ei tallenneta, ja tietosuojaviranomaisen hyväksyntä on dokumentoitua näyttöä, johon tietosuojavastaavasi voi viitata. Brittiläiset ostajat kaupan alalla, liikenteessä ja julkisella sektorilla voivat käyttää näitä kävijätilastoja yhtä luottavaisesti kuin vastaavat toimijat EU:ssa.

Voinko tuoda tietosuojavastaavani kysymykset esittelyyn?

Kyllä. Esittelyssä käymme menetelmän, datan kulun ja raportointinäkymän läpi selkokielellä. Tietosuojakäytäntömme kertoo, miten käsittelemme dataa, ja tapaustutkimuksista näet, miten samat kysymykset ensin esittäneet organisaatiot käyttävät tilastoja.