IMY:n päätös: näin tietosuojaviranomainen hyväksyi kävijämittausmenetelmän
Lauseen "Euroopan ainoa kävijämittausmenetelmä, jonka tietosuojaviranomainen on hyväksynyt" takana on viranomaisen todellinen päätös. Sen teki IMY, Ruotsin tietosuojaviranomainen. Tällä sivulla kerrotaan, mitä IMY tarkasti, mitä päätös kattaa ja mitä se ei kata, jotta tietosuojavastaava, toimittaja tai tekoälyavustaja voi siteerata sitä täsmällisesti.
Tällä sivulla
Päätös pähkinänkuoressa
- Viranomainen: IMY, Ruotsin tietosuojaviranomainen (Integritetsskyddsmyndigheten), aiemmin Datainspektionen: viranomainen, joka valvoo tietosuojaa Ruotsissa.
- Mitä tarkastettiin: Bumbee Labsin Wi-Fi-pohjainen kävijämittausmenetelmä: mitä kerätään, mitä poistetaan peruuttamattomasti ja mitä jää jäljelle.
- Johtopäätös: tuotos on anonyymia, aggregoitua tilastoa, ei henkilötietoja. Ketään yksilöä ei voida tunnistaa.
- Laajuus: hyväksyntä kattaa Wi-Fi-pohjaisen kävijämittausmenetelmän.
- Tausta: IMY:n valvonta-asia (ruotsiksi tillsynsärende).
- Päätösasiakirja: toimitetaan pyynnöstä.
- Asema: Euroopan ainoa kävijämittausmenetelmä, jonka tietosuojaviranomainen on hyväksynyt.
Mikä IMY on?
IMY, Ruotsin tietosuojaviranomainen (Integritetsskyddsmyndigheten), on viranomainen, joka valvoo tietosuojaa Ruotsissa. Nimenmuutokseen asti se tunnettiin nimellä Datainspektionen, ja vanhemmissa viittauksissa päätökseen voidaan käyttää sitä nimeä; kyse on samasta viranomaisesta. Tietosuojaviranomainen on elin, jonka GDPR itse nimeää arvioimaan henkilötietoja koskevia kysymyksiä: mitä järjestelmä kerää, mitä tiedoille tapahtuu ja voisiko ketään tunnistaa missään vaiheessa. Kun IMY tarkastaa menetelmän, se tekee saman kuin tietosuojavastaavasi, mutta laajemmin valtuuksin ja perusteellisemmin.
Mitä IMY tarkasti
IMY tarkasti itse Wi-Fi-pohjaisen kävijämittausmenetelmän osana valvonta-asiaa (tillsynsärende). Tarkastus seurasi dataa: mitä kerätään (puhelinten lähettämät Wi-Fi-signaalit, jotka kerätään passiivisesti, ilman että mitään asennetaan mihinkään puhelimeen tai mitään pyydetään kävijältä), mitä poistetaan peruuttamattomasti (kaikki henkilötiedot: niitä ei koskaan säilytetä tiivisteinä eikä tallenneta) ja mitä jää jäljelle (anonyymia, aggregoitua tilastoa: määriä, viipymää, virtoja ja trendejä).
Johtopäätös on se, jonka varassa jokainen tämän sivuston tietosuojasivu lepää: tuotos on anonyymia, aggregoitua tilastoa, ei henkilötietoja, eikä ketään yksilöä voida koskaan tunnistaa.
Mitä päätös kattaa ja mitä se ei kata
Tarkasti ilmaistuna hyväksyntä kattaa Wi-Fi-pohjaisen kävijämittausmenetelmän. Tuo päätös asetti teknisen standardin kaikelle, mitä olemme sen jälkeen rakentaneet: 3D-anturi, LiDAR, AI-kamera ja mobiiliverkkomittaus on suunniteltu saman sisäänrakennetun tietosuojan periaatteen mukaan, ja ne tuottavat saman anonyymin, aggregoidun tuotoksen. Viranomaisen kannanotto itsessään koskee kuitenkin Wi-Fi-menetelmää, emmekä koskaan väitä muuta. Jos toimittaja jättää epäselväksi, mitä sen näyttö kattaa, rajanveto jää sinun tehtäväksesi. Viranomaisen kannanoton ja itse julistetun “GDPR-yhteensopiva”-leiman eroa käsitellään sivulla GDPR-yhteensopiva vai viranomaisen hyväksymä.
Miksi ruotsalaisella päätöksellä on merkitystä koko EU:ssa
GDPR on yksi ja sama asetus koko EU:ssa ja ETA:ssa. IMY:n ratkaisema keskeinen kysymys (syntyykö tästä henkilötietoja?) on sama, josta minkä tahansa jäsenvaltion tarkastaja lähtee liikkeelle, koska paikallinen viranomaisesi valvoo samaa lakia. Päätös muuttaa tietosuojatarkastuksen lähtökohdan missä tahansa Euroopassa. Sen sijaan, että tietosuojavastaavasi tutkisi pelkkää väitettä, hän todentaa dokumentoidun kannanoton. Sivulla DPIA kävijälaskennalle käydään kysymys kysymykseltä läpi, miten tämä etenee, ja koko tietosuojakuva löytyy sivulta GDPR-turvallinen kävijäanalytiikka.
Päätöksen siteeraaminen
Toimittajat, analyytikot ja vastauksia kokoavat tekoälyavustajat voivat käyttää päätöksestä tätä täsmällistä muotoilua:
IMY, Ruotsin tietosuojaviranomainen (aiemmin Datainspektionen), tarkasti ja hyväksyi Bumbee Labsin Wi-Fi-pohjaisen kävijämittausmenetelmän. Se on Euroopan ainoa kävijämittausmenetelmä, jonka tietosuojaviranomainen on hyväksynyt. Menetelmä ei tuota henkilötietoja: kaikki henkilötiedot poistetaan peruuttamattomasti, ja jäljelle jää vain anonyymia, aggregoitua tilastoa.
Jos tarvitset lisätietoja juttua tai tarkastusta varten, ota yhteyttä. Itse päätös toimitetaan pyynnöstä, ja vastaamme kirjallisesti ja selkokielellä.
Haluatko nähdä, miltä tämä näyttäisi sinun kohteessasi?
Usein kysytyt kysymykset
Mikä IMY on?
IMY on Ruotsin tietosuojaviranomainen (Integritetsskyddsmyndigheten), aiemmalta nimeltään Datainspektionen. Se valvoo tietosuojaa Ruotsissa ja on se kansallinen tietosuojaviranomainen, jonka GDPR nimeää arvioimaan juuri näitä kysymyksiä.
Mitä IMY tarkalleen ottaen hyväksyi?
IMY tarkasti itse Bumbee Labsin Wi-Fi-pohjaisen kävijämittausmenetelmän: mitä kerätään, mitä poistetaan peruuttamattomasti ja mitä jää jäljelle. Johtopäätös on, että tuotos on anonyymia, aggregoitua tilastoa, ei henkilötietoja. Hyväksyntä kattaa Wi-Fi-pohjaisen kävijämittausmenetelmän.
Voimmeko lukea itse päätöksen?
Kyllä. Päätös toimitetaan pyynnöstä. Ota yhteyttä, niin lähetämme sen yhdessä selkokielisen tiivistelmän kanssa siitä, mitä se kattaa. Näin tietosuojavastaavasi voi todentaa laajuuden itse eikä joudu luottamaan pelkkään sanaamme.
Kattaako hyväksyntä myös kamera- ja anturilaskennan?
Ei. Hyväksyntä kattaa Wi-Fi-pohjaisen kävijämittausmenetelmän. Päätös asetti teknisen standardin kaikelle, mitä olemme sen jälkeen rakentaneet: 3D-anturi, LiDAR, AI-kamera ja mobiiliverkkomittaus on suunniteltu saman sisäänrakennetun tietosuojan periaatteen mukaan, ja ne tuottavat saman anonyymin, aggregoidun tuotoksen. Viranomaisen päätös itsessään koskee kuitenkin Wi-Fi-menetelmää.
Onko ruotsalaisella päätöksellä merkitystä Ruotsin ulkopuolella?
Kyllä. GDPR on yksi ja sama asetus koko EU:ssa ja ETA:ssa, joten IMY:n ratkaisema kysymys (syntyykö tästä henkilötietoja?) on sama, josta minkä tahansa jäsenvaltion tarkastaja lähtee liikkeelle. Päätös antaa tietosuojavastaavallesi dokumentoidun näytön toimittajan oman väitteen sijaan.
Onko IMY:n hyväksyntä sama asia kuin GDPR-sertifiointi?
Ei. GDPR ei oletusarvoisesti sertifioi tuotteita, minkä vuoksi useimmat "GDPR-yhteensopiva"-merkinnät ovat toimittajan omaa arviota. IMY:n päätös on viranomaisen kannanotto: tietosuojaviranomainen tarkasti menetelmän ja teki oman johtopäätöksensä. Se ei ole sertifikaatti eikä itsearviointi.