Conforme al GDPR o approvato da un’autorità: cosa significa la differenza per il conteggio persone
Ogni fornitore di conteggio persone in Europa si descrive come conforme al GDPR. Questa pagina spiega cosa copre la frase quando è il fornitore a valutarsi, cosa aggiunge la verifica di un regolatore e come capire quale dei due stai acquistando.
In questa pagina
“Conforme al GDPR” è di norma la conclusione del fornitore, perché il GDPR rende le organizzazioni responsabili della propria conformità. “Approvato” significa che un regolatore ha esaminato il metodo. Bumbee Labs ha l’unico metodo di misurazione dei flussi di visitatori in Europa approvato da un’autorità per la protezione dei dati. IMY, l’autorità svedese per la protezione dei dati, ha rilasciato l’approvazione per il nostro metodo di conteggio tramite Wi-Fi.
“Conforme al GDPR” è un’autovalutazione?
Nella maggior parte dei casi sì. Apri qualsiasi sito di conteggio persone in qualsiasi lingua europea e compare la stessa frase: conforme al GDPR, DSGVO-konform, conforme au RGPD, RODO-compliant. Scriverla non costa nulla, e in quasi tutti i casi è stato il fornitore stesso a trarre quella conclusione, perché il GDPR non distribuisce badge di prodotto. Di solito il fornitore intende che ha letto in buona fede la propria architettura, con a supporto un’informativa privacy e un modello di contratto di trattamento dati.
Quando ogni fornitore usa le stesse parole, l’affermazione non distingue più un’ingegneria accurata da un pio desiderio, e la tua verifica di conformità parte da zero. Qualcuno dalla tua parte deve esaminare cosa il sistema raccoglie, conserva e potrebbe esporre, e l’autodescrizione del fornitore è uno degli elementi di quel lavoro.
Cosa aggiunge la verifica di un regolatore?
Un’autorità per la protezione dei dati è l’organo che il GDPR designa per giudicare queste domande. Quando esamina un metodo di misurazione, pone le domande che porrebbe il tuo DPO, con un mandato più forte e maggiore profondità: cosa viene raccolto, cosa ne viene fatto, cosa resta e se una persona potrebbe essere identificata in qualsiasi fase.
Bumbee Labs ha superato questo esame e detiene l’approvazione di IMY, rilasciata dopo una verifica di come i segnali vengono raccolti, eliminati in modo irreversibile e ridotti a statistiche anonime e aggregate.
Poiché il GDPR è un unico regolamento in tutta l’UE e nel SEE, IMY ha risposto alla domanda da cui parte un esaminatore a Parigi, Monaco o Milano: questo metodo produce dati personali? Un’approvazione non chiude la tua verifica, ma il tuo DPO può controllare riscontri documentati invece di indagare un’affermazione da zero.
L’approvazione copre tutti i metodi che fornite?
L’approvazione copre il metodo di conteggio tramite Wi-Fi. La stessa ingegneria di privacy by design è alla base di tutto ciò che forniamo accanto a esso, dai sensori 3D al LiDAR fino all’analisi della rete mobile. Quando un fornitore dice “approvato”, controlla quale metodo ha coperto la verifica. La domanda 2 qui sotto serve a questo.
Come capisco quale dei due sto acquistando?
Poni tre domande a qualsiasi fornitore, noi compresi, e chiedi le risposte per iscritto:
- Quale verifica indipendente ha superato il metodo, e da parte di chi?
- Cosa ha coperto esattamente la verifica: quale metodo e quale percorso dei dati?
- Quale documentazione può consegnare il fornitore al tuo DPO?
Un fornitore autodichiarato risponde alla prima domanda con le proprie policy. Possono essere solide, ma è un prodotto diverso da quello della presentazione commerciale, e il tuo ufficio legale dovrebbe sapere quale dei due sta approvando.
La pagina Conteggio persone conforme al GDPR illustra per intero le nostre risposte, e la guida DPIA raccoglie le domande che un DPO pone di solito, indicando dove si trova ciascuna risposta. Se stai scrivendo un bando di gara, appalti pubblici e conteggio persone mostra cosa può richiedere un bando.
Vuoi vedere come sarebbe per la tua sede?
Domande frequenti
"Conforme al GDPR" è una certificazione?
No. Il GDPR non certifica prodotti per default. A meno che un regolatore o un ente accreditato non abbia esaminato un sistema, "conforme al GDPR" è la conclusione del fornitore sul proprio prodotto. Può essere corretta, ma la frase da sola non dimostra che qualcuno di indipendente l’abbia verificata.
Cosa è stato esattamente approvato nel caso di Bumbee Labs?
IMY, l’autorità svedese per la protezione dei dati, ha esaminato il metodo di conteggio tramite Wi-Fi di Bumbee Labs: cosa viene raccolto, cosa viene eliminato e cosa resta. Nessun altro metodo di misurazione dei flussi di visitatori in Europa ha questo status. La stessa ingegneria di privacy by design è alla base di ogni metodo che offriamo accanto a esso.
L’approvazione di un’autorità UE conta anche in altri paesi?
Ogni stato membro applica lo stesso regolamento, quindi un esaminatore in qualsiasi punto dell’UE o del SEE si pone la stessa domanda: questo metodo produce dati personali? Un metodo che ha già risposto davanti a un’autorità per la protezione dei dati offre al tuo DPO prove documentate da cui partire, ovunque tu operi.
Come dovrebbe il procurement verificare un’affermazione di conformità?
Poni le stesse tre domande per iscritto a ogni fornitore: quale verifica indipendente ha superato il tuo metodo, cosa ha esattamente coperto, e quali prove puoi allegare? La conformità autodichiarata risponde con documenti di policy, quella verificata con la conclusione di un regolatore.