Conforme al GDPR è un’affermazione. Approvato da un’autorità è un accertamento.
Ogni fornitore di conteggio persone in Europa si descrive come conforme al GDPR. La frase suona come un verdetto, ma in quasi tutti i casi è il fornitore che corregge il proprio compito. Ecco la differenza tra dirlo e farlo accertare da un regolatore, e come capire quale dei due stai acquistando.
Apri qualsiasi sito di conteggio persone in qualsiasi lingua europea e compare sempre la stessa frase: conforme al GDPR, DSGVO-konform, conforme au RGPD, RODO-compliant. La frase non costa nulla da scrivere, ed è proprio questo il problema: non dice nulla all’acquirente su chi ha tratto quella conclusione. In quasi tutti i casi, la risposta è il fornitore stesso.
L’autovalutazione è la norma, non l’eccezione
Per essere onesti verso il settore, l’autovalutazione è il modo in cui il GDPR funziona in generale. Il regolamento rende le organizzazioni responsabili della propria conformità e non distribuisce badge di prodotto. Un fornitore che scrive “conforme al GDPR” descrive di solito la propria lettura onesta della propria architettura, con un’informativa privacy e un modello di contratto di trattamento dati a supporto.
Ma è proprio per questo che la frase non può reggere il peso che gli acquirenti le attribuiscono. Quando ogni fornitore fa la stessa affermazione con le stesse parole, l’affermazione smette di distinguere un’ingegneria accurata da un desiderio. La tua verifica di conformità riparte sempre da zero: qualcuno dalla tua parte deve esaminare cosa il sistema raccoglie davvero, conserva e potrebbe esporre. L’autodescrizione del fornitore è un elemento di quella verifica, non un suo sostituto.
Cosa aggiunge la verifica di un regolatore
Un’autorità per la protezione dei dati è l’organo che il GDPR stesso designa per giudicare queste domande. Quando un’autorità esamina un metodo di misurazione, fa ciò che farebbe il tuo DPO con più mandato e più profondità: guarda cosa viene raccolto, cosa gli succede, cosa resta, e se una persona potrebbe essere identificata in qualsiasi fase.
Bumbee Labs ha superato questo esame. Il risultato è l’unico metodo di analisi dei flussi in Europa approvato da un’autorità per la protezione dei dati: l’approvazione è stata rilasciata da IMY, l’autorità svedese per la protezione dei dati, per il nostro metodo di conteggio tramite Wi-Fi, dopo aver esaminato come i segnali vengono raccolti, eliminati in modo irreversibile e ridotti a statistiche anonime e aggregate. La stessa ingegneria di privacy by design costruisce tutto ciò che offriamo al suo fianco, dai sensori 3D al LiDAR fino all’analisi della rete mobile.
Poiché il GDPR è un unico regolamento in tutta l’Unione e nello SEE, la domanda a cui IMY ha risposto è quella da cui parte un esaminatore a Parigi, Monaco o Milano: questo metodo produce dati personali? Un’approvazione non chiude la tua verifica, ma ne cambia la natura: verificare riscontri documentati invece di indagare su affermazioni nude e crude.
Tre domande che separano i due
Poni queste domande a qualsiasi fornitore, noi compresi, e chiedi le risposte per iscritto: quale verifica indipendente ha superato il metodo, e da chi; cosa ha esattamente coperto la verifica, quale metodo e quale percorso dei dati; e quale documentazione il fornitore può consegnare al tuo DPO. Un fornitore autodichiarato risponde alla prima domanda con le proprie policy. Non è uno scandalo, ma è un prodotto diverso da quello che sembrava nella presentazione commerciale, e il tuo ufficio legale dovrebbe sapere quale dei due sta approvando.
La pagina analisi dei flussi conforme al GDPR illustra per intero le nostre risposte, e la guida DPIA raccoglie le domande che un DPO pone di solito, indicando dove vive ciascuna risposta. Se è in corso la stesura di una gara, appalti pubblici e conteggio persone traduce la stessa distinzione in linguaggio di capitolato.
We have extensively evaluated Bumbee Labs' solution and the quality insights they produce, in combination with the efficiency of the remote installation process, make this a valuable collaboration. This alliance presents a great opportunity for our distribution ecosystem to provide a variety of service offerings to their customers, opening up new revenue streams.
Domande frequenti
"Conforme al GDPR" è una certificazione?
No. Il GDPR non certifica prodotti per default; a meno che un regolatore o un ente accreditato non abbia realmente esaminato un sistema, "conforme al GDPR" è la conclusione del fornitore sul proprio prodotto. Può benissimo essere corretta, ma nulla nella frase ti dice che qualcuno di indipendente l’abbia verificata.
Cosa è stato esattamente approvato nel caso di Bumbee Labs?
IMY, l’autorità svedese per la protezione dei dati, ha esaminato il metodo di conteggio tramite Wi-Fi di Bumbee Labs: cosa viene raccolto, cosa viene eliminato e cosa resta. Nessun altro metodo di analisi dei flussi in Europa ha questo status. La stessa ingegneria di privacy by design accompagna ogni metodo che offriamo al suo fianco.
L’approvazione di un’autorità UE conta anche in altri paesi?
Il GDPR è un unico regolamento in tutta l’Unione e nello SEE, quindi la domanda che si pone un esaminatore in qualsiasi stato membro è la stessa: questo metodo produce dati personali? Un metodo che ha già risposto a questa domanda davanti a un’autorità per la protezione dei dati offre al tuo DPO prove documentate da cui partire, ovunque tu operi.
Come dovrebbe il procurement verificare un’affermazione di conformità?
Poni le stesse tre domande per iscritto a ogni fornitore: quale verifica indipendente ha superato il tuo metodo, cosa ha esattamente coperto, e quali prove puoi allegare? La conformità autodichiarata risponde con documenti di policy. La conformità verificata risponde con la conclusione di un regolatore. La differenza emerge in fretta.