Atitiktis BDAR ar priežiūros institucijos patvirtinimas: ką šis skirtumas reiškia lankytojų srautų skaičiavimui
Kiekvienas lankytojų srautų skaičiavimo tiekėjas Europoje teigia, kad atitinka BDAR. Šiame puslapyje paaiškiname, ką ši frazė apima, kai tiekėjas vertina save pats, ką prideda priežiūros institucijos atliktas vertinimas ir kaip atskirti, kurį iš jų perkate.
Šiame puslapyje
„Atitinka BDAR“ paprastai yra paties tiekėjo išvada, nes Bendrasis duomenų apsaugos reglamentas (BDAR, angl. GDPR) atsakomybę už atitiktį priskiria pačioms organizacijoms. „Patvirtinta“ reiškia, kad metodą išnagrinėjo priežiūros institucija. Bumbee Labs turi vienintelį Europoje lankytojų srautų skaičiavimo metodą, kurį patvirtino viena iš duomenų apsaugos priežiūros institucijų. IMY, Švedijos privatumo apsaugos institucija, patvirtino mūsų lankytojų srautų skaičiavimo Wi-Fi metodą.
Ar „atitinka BDAR“ yra savęs vertinimas?
Dažniausiai taip. Atsiverskite bet kurią lankytojų srautų skaičiavimo svetainę bet kuria Europos kalba ir rasite tą pačią frazę: atitinka BDAR, DSGVO-konform, conforme au RGPD, RODO-compliant. Ją parašyti nieko nekainuoja, ir beveik visada tiekėjas tokią išvadą padarė pats, nes BDAR produktams ženklelių nedalija. Tiekėjas paprastai turi omenyje sąžiningą savo architektūros vertinimą, paremtą privatumo politika ir duomenų tvarkymo sutarties šablonu.
Kai visi tiekėjai vartoja tuos pačius žodžius, teiginys nebeleidžia atskirti kruopščios inžinerijos nuo pobožių norų, todėl Jūsų atitikties vertinimas prasideda nuo nulio. Kas nors Jūsų pusėje turi išnagrinėti, ką sistema renka, saugo ir ką galėtų atskleisti, o tiekėjo paties pateiktas aprašymas yra tik vienas iš šio darbo šaltinių.
Ką prideda priežiūros institucijos vertinimas?
Duomenų apsaugos priežiūros institucija yra įstaiga, kurią BDAR paskiria spręsti šiuos klausimus. Kai ji nagrinėja matavimo metodą, klausia to paties, ko klaustų Jūsų duomenų apsaugos pareigūnas, tik turėdama daugiau įgaliojimų ir giliau: kas renkama, kas su tuo vyksta, kas lieka ir ar kuriame nors etape galima identifikuoti asmenį.
Bumbee Labs šį nagrinėjimą praėjo ir turi IMY patvirtinimą, išduotą įvertinus, kaip signalai renkami, negrįžtamai ištrinami ir paverčiami anonimine, apibendrinta statistika.
Kadangi BDAR yra vienas reglamentas visoje ES ir EEE, IMY atsakė į klausimą, nuo kurio pradeda vertintojas Paryžiuje, Miunchene ar Milane: ar tai sukuria asmens duomenis? Patvirtinimas Jūsų vertinimo neužbaigia, tačiau Jūsų duomenų apsaugos pareigūnas gali patikrinti dokumentuotas išvadas, užuot nagrinėjęs teiginį nuo nulio.
Ar patvirtinimas taikomas visiems Jūsų teikiamiems metodams?
Patvirtinimas taikomas lankytojų srautų skaičiavimo Wi-Fi metodui. Tie patys pritaikytosios duomenų apsaugos inžineriniai sprendimai taikomi viskam, ką teikiame kartu su juo, nuo 3D jutiklių iki LiDAR ir mobiliojo ryšio tinklo duomenų analizės. Kai tiekėjas sako „patvirtinta“, pasitikrinkite, kuriam metodui buvo atliktas vertinimas. Tai klausiama toliau pateiktame 2 klausime.
Kaip atskirti, kurį iš jų perkate?
Užduokite bet kuriam tiekėjui, įskaitant mus, tris klausimus ir paprašykite atsakymų raštu:
- Kokį nepriklausomą vertinimą metodas yra praėjęs ir kas jį atliko?
- Ką tiksliai vertinimas apėmė: kurį metodą ir kurį duomenų kelią?
- Kokius dokumentus tiekėjas gali perduoti Jūsų duomenų apsaugos pareigūnui?
Pats atitiktį deklaruojantis tiekėjas į pirmą klausimą atsako savo politikos dokumentais. Jie gali būti patikimi, tačiau tai kitas produktas nei tas, kuris aprašytas pardavimų pristatyme, ir Jūsų teisininkai turėtų žinoti, kurį iš jų tvirtina.
Puslapyje BDAR ir lankytojų srautų skaičiavimas išsamiai pateikiame savo atsakymus, o PDAV vadove surinkti klausimai, kuriuos paprastai užduoda duomenų apsaugos pareigūnas, su nuorodomis, kur rasti kiekvieną atsakymą. Jei rengiate konkurso sąlygas, puslapyje lankytojų srautų skaičiavimo viešieji pirkimai parodyta, ko konkurse galima reikalauti.
Įdomu, kaip tai atrodytų Jūsų vietoje?
Dažni klausimai
Ar „atitinka BDAR“ yra sertifikatas?
Ne. BDAR savaime produktų nesertifikuoja. Jei sistemos nenagrinėjo priežiūros institucija ar akredituota įstaiga, „atitinka BDAR“ yra paties tiekėjo išvada apie savo produktą. Ji gali būti teisinga, tačiau pati frazė neparodo, kad ją būtų patikrinęs kas nors nepriklausomas.
Kas konkrečiai buvo patvirtinta Bumbee Labs atveju?
IMY, Švedijos privatumo apsaugos institucija, išnagrinėjo Bumbee Labs lankytojų srautų skaičiavimo Wi-Fi metodą: kas renkama, kas ištrinama ir kas lieka. Joks kitas lankytojų srautų skaičiavimo metodas Europoje tokio statuso neturi. Tie patys pritaikytosios duomenų apsaugos inžineriniai sprendimai taikomi kiekvienam metodui, kurį teikiame kartu su juo.
Ar vienos ES institucijos patvirtinimas turi reikšmės kitose šalyse?
Visos valstybės narės taiko tą patį reglamentą, todėl vertintojas bet kurioje ES ar EEE šalyje klausia to paties: ar tai sukuria asmens duomenis? Metodas, į šį klausimą atsakęs duomenų apsaugos priežiūros institucijai, suteikia Jūsų duomenų apsaugos pareigūnui dokumentuotą įrodymą, nuo kurio galima pradėti, kad ir kur veiktumėte.
Kaip pirkimų komanda turėtų patikrinti atitikties teiginį?
Raštu užduokite kiekvienam tiekėjui tuos pačius tris klausimus: kokį nepriklausomą vertinimą Jūsų metodas yra praėjęs, ką tiksliai jis apėmė ir kokius įrodymus galite pridėti? Pačių deklaruojama atitiktis atsako politikos dokumentais, o išnagrinėta atitiktis priežiūros institucijos išvada.