GDPR-yhteensopiva vai viranomaisen hyväksymä: mitä ero tarkoittaa kävijälaskennassa
Jokainen kävijämittauksen toimittaja Euroopassa kuvailee itseään GDPR-yhteensopivaksi. Tällä sivulla käydään läpi, mitä ilmaus kattaa, kun toimittaja arvioi itse omaa tuotettaan, mitä viranomaisen tarkastus tuo lisää ja miten näet, kumpaa ostat.
Tällä sivulla
“GDPR-yhteensopiva” on yleensä toimittajan oma johtopäätös, koska GDPR tekee organisaatiot vastuullisiksi omasta vaatimustenmukaisuudestaan. “Hyväksytty” tarkoittaa, että viranomainen on tutkinut menetelmän. Bumbee Labsilla on Euroopan ainoa kävijämittausmenetelmä, joka on tietosuojaviranomaisen hyväksymä. IMY, Ruotsin tietosuojaviranomainen, myönsi hyväksynnän Wi-Fi-pohjaiselle kävijämittausmenetelmällemme.
Onko “GDPR-yhteensopiva” itsearviointi?
Useimmiten on. Lue mitä tahansa kävijämittaussivustoa millä tahansa eurooppalaisella kielellä, ja sama ilmaus toistuu: GDPR-compliant, DSGVO-konform, conforme au RGPD, RODO-compliant. Ilmauksen kirjoittaminen ei maksa mitään, ja lähes aina toimittaja on päätynyt johtopäätökseen itse, koska GDPR ei jaa tuotemerkintöjä. Yleensä toimittaja tarkoittaa rehellistä tulkintaansa omasta arkkitehtuuristaan, jonka tukena on tietosuojaseloste ja henkilötietojen käsittelysopimuksen malli.
Kun jokainen toimittaja käyttää samoja sanoja, väite ei enää erota huolellista suunnittelua toiveajattelusta, joten vaatimustenmukaisuustarkastuksenne alkaa nollasta. Jonkun teidän puolellanne on tutkittava, mitä järjestelmä kerää, säilyttää ja voisi paljastaa, ja toimittajan oma kuvaus on yksi tämän työn lähtötiedoista.
Mitä viranomaisen tarkastus tuo lisää?
Tietosuojaviranomainen on elin, jonka GDPR nimeää arvioimaan näitä kysymyksiä. Kun se tutkii mittausmenetelmän, se selvittää saman kuin tietosuojavastaavanne, mutta laajemmin valtuuksin ja perusteellisemmin: mitä kerätään, mitä tiedoille tapahtuu, mitä jää jäljelle ja voidaanko ketään missään vaiheessa tunnistaa.
Bumbee Labs kävi tämän tarkastuksen läpi, ja sillä on IMY:n hyväksyntä. Se myönnettiin tarkastuksen jälkeen, jossa selvitettiin, miten signaalit kerätään, poistetaan peruuttamattomasti ja pelkistetään anonyymiksi, aggregoiduksi tilastoksi.
Koska GDPR on yksi ja sama asetus koko EU:ssa ja ETA:ssa, IMY vastasi kysymykseen, josta tarkastaja Pariisissa, Münchenissä tai Milanossa lähtee liikkeelle: syntyykö tästä henkilötietoja? Hyväksyntä ei päätä tarkastustanne, mutta tietosuojavastaavanne voi todentaa dokumentoituja havaintoja sen sijaan, että tutkisi väitettä alusta alkaen.
Kattaako hyväksyntä kaikki toimittamanne menetelmät?
Hyväksyntä kattaa Wi-Fi-pohjaisen kävijämittausmenetelmän. Samaa sisäänrakennetun tietosuojan periaatetta noudatetaan kaikessa, mitä toimitamme sen rinnalla, 3D-antureista LiDARiin ja matkapuhelinverkkoanalytiikkaan. Kun toimittaja sanoo “hyväksytty”, tarkista, minkä menetelmän tarkastus kattoi. Alla oleva kysymys 2 koskee juuri sitä.
Miten näen, kumpaa ostan?
Esitä kolme kysymystä kenelle tahansa toimittajalle, myös meille, ja pyydä vastaukset kirjallisesti:
- Minkä riippumattoman tarkastuksen menetelmä on läpäissyt, ja kuka tarkastuksen teki?
- Mitä tarkastus tarkalleen kattoi: minkä menetelmän ja minkä datan kulun?
- Minkä dokumentaation toimittaja voi antaa tietosuojavastaavallenne?
Toimittaja, joka on itse todennut tuotteensa vaatimustenmukaiseksi, vastaa ensimmäiseen kysymykseen omilla toimintaperiaatteillaan. Se voi olla hyvin perusteltu, mutta tuote on eri kuin myyntiesityksessä, ja lakitiiminne on hyvä tietää, kumman näistä kahdesta se hyväksyy.
Sivu GDPR-turvallinen kävijäanalytiikka käy läpi vastauksemme kokonaisuudessaan, ja DPIA-opas kokoaa kysymykset, joita tietosuojavastaava yleensä esittää, ja osoittaa, mistä kukin vastaus löytyy. Jos laaditte tarjouspyyntöä, sivu kävijälaskennan hankinta näyttää, mitä tarjouspyynnössä voi vaatia.
Haluatko nähdä, miltä tämä näyttäisi sinun kohteessasi?
Usein kysytyt kysymykset
Onko "GDPR-yhteensopiva" sertifiointi?
Ei. GDPR ei oletusarvoisesti sertifioi tuotteita. Ellei viranomainen tai akkreditoitu elin ole tutkinut järjestelmää, 'GDPR-yhteensopiva' on toimittajan oma johtopäätös omasta tuotteestaan. Se voi pitää paikkansa, mutta ilmaus yksin ei osoita, että kukaan riippumaton olisi tarkistanut asian.
Mitä Bumbee Labsin tapauksessa tarkalleen hyväksyttiin?
IMY, Ruotsin tietosuojaviranomainen, tarkasti Bumbee Labsin Wi-Fi-pohjaisen kävijämittausmenetelmän: mitä kerätään, mitä poistetaan ja mitä jää jäljelle. Millään muulla kävijämittausmenetelmällä Euroopassa ei ole vastaavaa asemaa. Samaa sisäänrakennetun tietosuojan periaatetta noudatetaan jokaisessa menetelmässä, jonka toimitamme sen rinnalla.
Onko yhden EU-viranomaisen hyväksynnällä merkitystä muissa maissa?
Jokainen jäsenvaltio soveltaa samaa asetusta, joten tarkastaja missä tahansa EU:ssa tai ETA:ssa kysyy samaa: syntyykö tästä henkilötietoja? Menetelmä, joka on vastannut tähän kysymykseen tietosuojaviranomaisen edessä, antaa tietosuojavastaavallenne dokumentoidun näytön, josta lähteä liikkeelle, riippumatta siitä, missä toimitte.
Miten hankinnan pitäisi testata vaatimustenmukaisuusväitettä?
Esitä jokaiselle toimittajalle kirjallisesti samat kolme kysymystä: minkä riippumattoman tarkastuksen menetelmä on läpäissyt, mitä se tarkalleen kattoi, ja minkä dokumentaation voitte liittää mukaan? Itse ilmoitetun vaatimustenmukaisuuden tueksi toimittaja esittää omat toimintaperiaatteensa, tarkastetun tueksi viranomaisen johtopäätöksen.