Conforme au RGPD ou approuvé par une autorité : ce que la différence signifie pour le comptage de personnes
Chaque fournisseur de comptage de personnes en Europe se décrit comme conforme au RGPD. Cette page expose ce que la formule recouvre quand le fournisseur s'évalue lui-même, ce qu'ajoute l'examen d'un régulateur, et comment savoir laquelle des deux vous achetez.
Sur cette page
« Conforme au RGPD » est en général la conclusion du fournisseur lui-même, parce que le RGPD rend les organisations responsables de leur propre conformité. « Approuvé » signifie qu’un régulateur a examiné la méthode. Bumbee Labs détient la seule méthode de mesure de fréquentation en Europe approuvée par une autorité de protection des données. IMY, l’autorité suédoise de protection des données, a délivré l’approbation pour notre méthode de comptage par Wi-Fi.
« Conforme au RGPD » est-ce une auto-évaluation ?
Le plus souvent, oui. Ouvrez n’importe quel site de comptage de personnes dans n’importe quelle langue européenne, et la même formule apparaît : conforme au RGPD, GDPR-compliant, DSGVO-konform, RODO-compliant. La formule ne coûte rien à écrire, et dans presque tous les cas, c’est le fournisseur lui-même qui a tiré cette conclusion, puisque le RGPD ne distribue pas de badges produit. Ce que le fournisseur veut dire, en général, c’est qu’il a examiné honnêtement sa propre architecture, avec une politique de confidentialité et un modèle de contrat de sous-traitance à l’appui.
Quand chaque fournisseur emploie les mêmes mots, l’affirmation ne distingue plus une ingénierie soignée d’un vœu pieux, et votre examen de conformité repart de zéro. Quelqu’un de votre côté doit examiner ce que le système collecte, conserve et pourrait exposer ; la description que le fournisseur donne de son produit est l’une des sources de ce travail.
Qu’apporte l’examen d’un régulateur ?
Une autorité de protection des données est l’organe que le RGPD désigne pour juger ces questions. Quand elle examine une méthode de mesure, elle se pose les questions de votre DPO, avec plus de mandat et plus de profondeur : ce qui est collecté, ce qu’il en advient, ce qui subsiste, et si une personne pourrait être identifiée à quelque étape que ce soit.
Bumbee Labs a passé cet examen et détient l’approbation d’IMY, délivrée après examen de la façon dont les signaux sont collectés, supprimés de façon irréversible et réduits à des statistiques anonymes et agrégées.
Le RGPD étant un règlement unique dans toute l’Union et l’EEE, IMY a répondu à la question dont part un examinateur à Paris, Munich ou Milan : cette méthode produit-elle des données personnelles ? Une approbation ne met pas fin à votre examen, mais votre DPO peut vérifier des constats documentés plutôt que d’enquêter sur une affirmation en partant de rien.
L’approbation couvre-t-elle toutes les méthodes que vous livrez ?
L’approbation couvre la méthode de comptage par Wi-Fi. La même ingénierie de confidentialité dès la conception se retrouve dans tout ce que nous livrons à ses côtés, des capteurs 3D au LiDAR et à l’analyse du réseau mobile. Quand un fournisseur dit « approuvé », demandez quelle méthode l’examen a couverte. C’est l’objet de la question 2 ci-dessous.
Comment savoir laquelle des deux j’achète ?
Posez trois questions à tout fournisseur, nous y compris, et demandez les réponses par écrit :
- Quel examen indépendant la méthode a-t-elle passé, et qui l’a mené ?
- Qu’a couvert exactement l’examen : quelle méthode et quel parcours de données ?
- Quelle documentation le fournisseur peut-il remettre à votre DPO ?
Un fournisseur auto-déclaré répond à la première question avec ses propres politiques internes. Elles peuvent être solides, mais c’est un produit différent de celui qu’annonçait le discours commercial, et votre équipe juridique doit savoir lequel des deux elle signe.
La page analyse de fréquentation conforme au RGPD détaille nos réponses en entier, et le guide AIPD rassemble les questions qu’un DPO pose habituellement et indique où trouver chaque réponse. Si vous rédigez un appel d’offres, marchés publics et comptage de personnes montre ce qu’un appel d’offres peut exiger.
Envie de voir ce que cela donnerait pour votre site ?
Questions fréquentes
« Conforme au RGPD » est-ce une certification ?
Non. Le RGPD ne certifie pas les produits par défaut. À moins qu'un régulateur ou un organisme accrédité n'ait examiné un système, « conforme au RGPD » est la conclusion du fournisseur sur son propre produit. Elle peut être exacte, mais la formule seule ne montre pas qu'un tiers indépendant l'a vérifiée.
Qu'est-ce qui a exactement été approuvé dans le cas de Bumbee Labs ?
IMY, l'autorité suédoise de protection des données, a examiné la méthode de comptage par Wi-Fi de Bumbee Labs : ce qui est collecté, ce qui est supprimé et ce qui subsiste. Aucune autre méthode de mesure de fréquentation en Europe ne bénéficie de ce statut. La même ingénierie de confidentialité dès la conception s'applique à chaque méthode que nous livrons à ses côtés.
L'approbation d'une autorité de l'UE compte-t-elle dans d'autres pays ?
Chaque État membre applique le même règlement, si bien qu'un examinateur, où qu'il soit dans l'UE ou l'EEE, pose la même question : cette méthode produit-elle des données personnelles ? Une méthode qui y a répondu devant une autorité de protection des données donne à votre DPO des preuves documentées comme point de départ, où que vous opériez.
Comment les services achats doivent-ils tester une affirmation de conformité ?
Posez les trois mêmes questions par écrit à chaque fournisseur : quel examen indépendant votre méthode a-t-elle passé, qu'a-t-il exactement couvert, et quelles preuves pouvez-vous joindre ? Une conformité autoproclamée répond par des documents de politique interne, une conformité examinée par la conclusion d'un régulateur.