GDPR-megfelelés vagy hatósági jóváhagyás: mit jelent a különbség a látogatószámlálásban
Európában minden látogatószámlálással foglalkozó beszállító GDPR-nak megfelelőnek nevezi magát. Ez az oldal bemutatja, mit fed le ez a kifejezés, ha a beszállító saját magát értékeli, mit tesz hozzá egy hatósági vizsgálat, és hogyan derítheti ki, melyiket vásárolja.
Ezen az oldalon
A látogatószámlálásban a GDPR-megfelelés és a hatósági jóváhagyás két különböző dolog. A „GDPR-nak megfelelő” általában a beszállító saját következtetése, mert a GDPR a szervezeteket teszi felelőssé a saját megfelelésükért. A „jóváhagyott” azt jelenti, hogy egy felügyeleti hatóság megvizsgálta a módszert. A Bumbee Labs módszere Európa egyetlen olyan látogatószámlálási módszere, amelyet egy adatvédelmi felügyeleti hatóság jóváhagyott. A jóváhagyást az IMY, a svéd adatvédelmi felügyeleti hatóság adta ki Wi-Fi-alapú látogatószámlálási módszerünkre.
Önértékelés-e a „GDPR-nak megfelelő”?
Többnyire igen. Bármely európai nyelven olvas látogatószámlálással foglalkozó weboldalt, ugyanaz a kifejezés jelenik meg: GDPR-compliant, DSGVO-konform, conforme au RGPD, RODO-compliant. Leírni semmibe sem kerül, és szinte minden esetben maga a beszállító jutott erre a következtetésre, hiszen a GDPR nem osztogat termékcímkéket. A beszállító általában a saját architektúrájának jóhiszemű értelmezésére gondol, amelyet egy adatvédelmi tájékoztató és egy adatfeldolgozási szerződésminta támaszt alá.
Ha minden beszállító ugyanazokat a szavakat használja, az állításból már nem derül ki, hol van gondos mérnöki munka és hol csak jó szándék, így az Ön megfelelőségi vizsgálata a nulláról indul. Valakinek az Ön oldalán meg kell vizsgálnia, mit gyűjt, mit őriz meg és mit fedhet fel a rendszer, a beszállító önleírása pedig csak egy a munka bemenetei közül.
Mit tesz hozzá egy hatósági vizsgálat?
A GDPR az adatvédelmi felügyeleti hatóságot jelöli ki arra, hogy ezekben a kérdésekben döntsön. Amikor egy mérési módszert vizsgál, ugyanazt kérdezi, amit az Ön adatvédelmi tisztviselője, csak nagyobb felhatalmazással és alaposabban: mit gyűjtenek, mi történik vele, mi marad meg, és azonosítható-e bármely személy bármely szakaszban.
A Bumbee Labs átesett ezen a vizsgálaton, és rendelkezik az IMY jóváhagyásával, amelyet a hatóság azután adott ki, hogy megvizsgálta, hogyan gyűjtjük a jeleket, hogyan töröljük őket visszafordíthatatlanul, és hogyan lesz belőlük anonim, összesített statisztika.
Mivel a GDPR egyetlen rendelet az EU-ban és az EGT-ben, az IMY arra a kérdésre válaszolt, amelyből egy párizsi, müncheni vagy milánói vizsgáló is kiindul: keletkezik-e ezzel személyes adat? A jóváhagyás nem zárja le az Ön vizsgálatát, de az adatvédelmi tisztviselője dokumentált megállapításokat ellenőrizhet, ahelyett hogy egy állítást a nulláról kellene kivizsgálnia.
Minden szállított módszerre kiterjed a jóváhagyás?
A jóváhagyás a Wi-Fi-alapú látogatószámlálási módszerre vonatkozik. Ugyanaz a beépített adatvédelmi mérnöki munka kerül mindenbe, amit mellette szállítunk, a 3D-s érzékelőktől a LiDAR-ig és a mobilhálózati elemzésig. Ha egy beszállító azt mondja, „jóváhagyott”, nézze meg, melyik módszerre terjedt ki a vizsgálat. Erre kérdez rá az alábbi 2. kérdés.
Honnan tudhatom, melyiket vásárolom?
Tegyen fel három kérdést bármely beszállítónak, nekünk is, és kérje a válaszokat írásban:
- Milyen független vizsgálaton ment át a módszer, és ki végezte?
- Pontosan mire terjedt ki a vizsgálat: melyik módszerre és melyik adatútra?
- Milyen dokumentációt tud a beszállító átadni az adatvédelmi tisztviselőnek?
Az önbevallásos beszállító az első kérdésre a saját szabályzataival válaszol. Ez lehet megalapozott, de más termék, mint amit az értékesítési prezentáció ígér, és a jogi csapatának tudnia kell, a kettő közül melyiket hagyja jóvá.
A GDPR és látogatószámlálás oldalon részletesen olvashatja válaszainkat, a DPIA-útmutató pedig összegyűjti, mit kérdez jellemzően egy adatvédelmi tisztviselő, és hol található az egyes kérdésekre a válasz. Ha pályázati kiírást készít, a látogatószámlálás közbeszerzéséről szóló oldal megmutatja, mit írhat elő egy kiírás.
Kíváncsi, hogyan nézne ki ez az Ön helyszínén?
Gyakori kérdések
Tanúsítvány-e a „GDPR-nak megfelelő” megjelölés?
Nem. A GDPR alapesetben nem tanúsít termékeket. Ha egy rendszert sem felügyeleti hatóság, sem akkreditált szervezet nem vizsgált meg, a „GDPR-nak megfelelő” a beszállító saját következtetése a saját termékéről. Lehet, hogy helytálló, de maga a kifejezés nem mutatja, hogy bárki független ellenőrizte volna.
Pontosan mit hagytak jóvá a Bumbee Labs esetében?
Az IMY, a svéd adatvédelmi felügyeleti hatóság a Bumbee Labs Wi-Fi-alapú látogatószámlálási módszerét vizsgálta: mit gyűjt, mit töröl és mi marad meg. Európában egyetlen más látogatószámlálási módszer sem rendelkezik ilyen jóváhagyással. Ugyanez a beépített adatvédelmi mérnöki munka kerül minden olyan módszerbe, amelyet mellette szállítunk.
Számít-e más országokban egy uniós hatóság jóváhagyása?
Minden tagállam ugyanazt a rendeletet alkalmazza, így az EU-ban vagy az EGT-ben bárhol ugyanazt kérdezi a vizsgáló: keletkezik-e ezzel személyes adat? Ha egy módszer erre egy adatvédelmi felügyeleti hatóság előtt már választ adott, az adatvédelmi tisztviselője (DPO) dokumentált bizonyítékból indulhat ki, bárhol működik is az Ön szervezete.
Hogyan ellenőrizze a beszerzés a megfelelőségi állítást?
Tegye fel írásban minden beszállítónak ugyanazt a három kérdést: milyen független vizsgálaton ment át a módszere, pontosan mire terjedt ki, és milyen bizonyítékot tud csatolni? Az önbevallásos megfelelés szabályzatokkal válaszol, a megvizsgált megfelelés egy felügyeleti hatóság megállapításával.