Conforme au RGPD, c'est une affirmation. Approuvé par une autorité, c'est une conclusion.
Chaque fournisseur de comptage de personnes en Europe se décrit comme conforme au RGPD. La formule sonne comme un verdict, mais dans presque tous les cas, c'est le fournisseur qui corrige sa propre copie. Voici la différence entre le dire et le faire constater par un régulateur, et comment savoir laquelle des deux vous achetez.
Ouvrez n’importe quel site de comptage de personnes dans n’importe quelle langue européenne, et la même formule apparaît : conforme au RGPD, DSGVO-konform, GDPR-compliant, RODO-compliant. La formule ne coûte rien à écrire, ce qui est précisément le problème : elle ne dit rien à l’acheteur sur qui a tiré cette conclusion. Dans presque tous les cas, la réponse est le fournisseur lui-même.
L’auto-évaluation est la norme, pas l’exception
Pour être juste envers le secteur, l’auto-évaluation est la façon dont le RGPD fonctionne généralement. Le règlement rend les organisations responsables de leur propre conformité et ne distribue pas de badges produit. Un fournisseur qui écrit « conforme au RGPD » décrit habituellement sa lecture honnête de sa propre architecture, appuyée par une politique de confidentialité et un modèle de contrat de sous-traitance.
Mais c’est précisément pourquoi la formule ne peut pas porter le poids que les acheteurs lui prêtent. Quand chaque fournisseur avance la même affirmation dans les mêmes mots, l’affirmation cesse de distinguer une ingénierie soignée d’un vœu pieux. Votre examen de conformité repart toujours de zéro : quelqu’un de votre côté doit examiner ce que le système collecte réellement, conserve et pourrait exposer. La propre description du fournisseur est une donnée d’entrée pour cet examen, pas un substitut à celui-ci.
Ce qu’apporte l’examen d’un régulateur
Une autorité de protection des données est l’organe que le RGPD lui-même désigne pour juger ces questions. Quand une autorité examine une méthode de mesure, elle fait ce que ferait votre DPO avec plus de mandat et plus de profondeur : elle regarde ce qui est collecté, ce qu’il en advient, ce qui subsiste, et si une personne pourrait être identifiée à quelque étape que ce soit.
Bumbee Labs a traversé cet examen. Le résultat est la seule méthode de mesure de fréquentation en Europe approuvée par une autorité de protection des données : l’approbation a été délivrée par IMY, l’autorité suédoise de protection des données, pour notre méthode de comptage par Wi-Fi, après examen de la façon dont les signaux sont collectés, supprimés de façon irréversible et réduits à des statistiques anonymes et agrégées. La même ingénierie de confidentialité dès la conception construit tout ce que nous livrons à ses côtés, des capteurs 3D au LiDAR et à l’analyse du réseau mobile.
Le RGPD étant un règlement unique dans toute l’Union et l’EEE, la question à laquelle IMY a répondu est celle dont part un examinateur à Paris, Munich ou Milan : cette méthode produit-elle des données personnelles ? Une approbation ne met pas fin à votre examen, mais elle change sa nature : vérifier des constats documentés plutôt qu’enquêter sur des affirmations nues.
Trois questions qui séparent les deux
Posez ceci à n’importe quel fournisseur, nous y compris, et demandez les réponses par écrit : quel examen indépendant la méthode a-t-elle passé, et par qui ; ce que l’examen a exactement couvert, quelle méthode et quel parcours de données ; et quelle documentation le fournisseur peut remettre à votre DPO. Un fournisseur auto-déclaré répond à la première question avec ses propres politiques internes. Ce n’est pas un scandale, mais c’est un produit différent de celui qu’annonçait le discours commercial, et votre équipe juridique doit savoir lequel des deux elle signe.
La page analyse de fréquentation conforme au RGPD détaille nos réponses en entier, et le guide AIPD rassemble les questions qu’un DPO pose habituellement, avec des indications sur l’endroit où vit chaque réponse. Si un appel d’offres est en cours de rédaction, marchés publics et comptage de personnes traduit la même distinction en langage de cahier des charges.
We have extensively evaluated Bumbee Labs' solution and the quality insights they produce, in combination with the efficiency of the remote installation process, make this a valuable collaboration. This alliance presents a great opportunity for our distribution ecosystem to provide a variety of service offerings to their customers, opening up new revenue streams.
Questions fréquentes
« Conforme au RGPD » est-ce une certification ?
Non. Le RGPD ne certifie pas les produits par défaut ; à moins qu'un régulateur ou un organisme accrédité n'ait réellement examiné un système, « conforme au RGPD » est la conclusion du fournisseur sur son propre produit. Elle peut très bien être exacte, mais rien dans la formule ne vous dit qu'un tiers indépendant l'a vérifiée.
Qu'est-ce qui a exactement été approuvé dans le cas de Bumbee Labs ?
IMY, l'autorité suédoise de protection des données, a examiné la méthode de comptage par Wi-Fi de Bumbee Labs : ce qui est collecté, ce qui est supprimé et ce qui subsiste. Aucune autre méthode de mesure de fréquentation en Europe ne bénéficie de ce statut. La même ingénierie de confidentialité dès la conception porte chaque méthode que nous livrons à ses côtés.
L'approbation d'une autorité de l'UE compte-t-elle dans d'autres pays ?
Le RGPD est un règlement unique dans toute l'Union et l'EEE, si bien que la question posée par un examinateur dans n'importe quel État membre est la même : cette méthode produit-elle des données personnelles ? Une méthode ayant répondu à cette question devant une autorité de protection des données donne à votre DPO des preuves documentées comme point de départ, où que vous opériez.
Comment les services achats doivent-ils tester une affirmation de conformité ?
Posez les trois mêmes questions par écrit à chaque fournisseur : quel examen indépendant votre méthode a-t-elle passé, qu'a-t-il exactement couvert, et quelles preuves pouvez-vous joindre ? Une conformité autoproclamée répond par des documents de politique interne. Une conformité examinée répond par la conclusion d'un régulateur. La différence se voit vite.