AVG-proof of goedgekeurd door een toezichthouder: wat het verschil betekent voor personentelling
Elke leverancier van personentelling in Europa noemt zichzelf AVG-proof. Deze pagina zet uiteen wat die uitspraak dekt als de leverancier zichzelf beoordeelt, wat de toetsing van een toezichthouder toevoegt, en hoe je herkent welke van de twee je koopt.
Op deze pagina
“AVG-proof” is meestal de eigen conclusie van de leverancier, omdat de AVG organisaties zelf verantwoordelijk maakt voor hun compliance. “Goedgekeurd” betekent dat een toezichthouder de methode heeft onderzocht. Bumbee Labs heeft de enige methode voor bezoekersmeting in Europa die is goedgekeurd door een gegevensbeschermingsautoriteit. IMY, de Zweedse Autoriteit voor Privacybescherming, gaf de goedkeuring af voor onze Wi-Fi-telmethode.
Is “AVG-proof” een zelfevaluatie?
Meestal wel. Open om het even welke website over personentelling in om het even welke Europese taal, en dezelfde uitspraak duikt op: AVG-proof, DSGVO-konform, conforme au RGPD, RODO-compliant. De uitspraak kost niets om te schrijven, en in bijna elk geval is de leverancier zelf tot die conclusie gekomen, omdat de AVG geen productbadges uitdeelt. Wat de leverancier meestal bedoelt, is een eerlijke lezing van de eigen architectuur, onderbouwd met een privacybeleid en een model voor een verwerkersovereenkomst.
Als elke leverancier dezelfde woorden gebruikt, onderscheidt de claim zorgvuldige engineering niet meer van wishful thinking, en begint jouw compliancetoetsing bij nul. Iemand aan jouw kant moet onderzoeken wat het systeem verzamelt, bewaart en zou kunnen blootleggen, en de zelfomschrijving van de leverancier is een van de inputs voor dat werk.
Wat voegt de toetsing van een toezichthouder toe?
Een gegevensbeschermingsautoriteit is het orgaan dat de AVG aanwijst om deze vragen te beoordelen. Wanneer zij een meetmethode onderzoekt, stelt zij de vragen die jouw FG zou stellen, met meer mandaat en meer diepgang: wat wordt verzameld, wat ermee gebeurt, wat overblijft, en of iemand in enige fase geïdentificeerd zou kunnen worden.
Bumbee Labs is door dat onderzoek gegaan en heeft de goedkeuring van IMY, afgegeven na een beoordeling van hoe signalen worden verzameld, onomkeerbaar verwijderd en teruggebracht tot anonieme, geaggregeerde statistieken.
Omdat de AVG één verordening is in de hele EU en EER, heeft IMY de vraag beantwoord waarmee een toetser in Parijs, München of Milaan begint: levert dit persoonsgegevens op? Een goedkeuring maakt je eigen toetsing niet overbodig, maar je FG kan gedocumenteerde bevindingen verifiëren in plaats van een claim vanaf nul te onderzoeken.
Dekt de goedkeuring elke methode die jullie leveren?
De goedkeuring dekt de Wi-Fi-telmethode. Dezelfde privacy-by-design-engineering zit in alles wat we ernaast leveren, van 3D-sensoren tot LiDAR en mobiele netwerkanalyse. Zegt een leverancier “goedgekeurd”, vraag dan welke methode de toetsing dekte. Vraag 2 hieronder stelt precies dat.
Hoe herken ik welke van de twee ik koop?
Stel drie vragen aan elke leverancier, ons inbegrepen, en vraag de antwoorden op schrift:
- Welke onafhankelijke toetsing heeft de methode doorstaan, en door wie?
- Wat dekte de toetsing precies: welke methode en welk datatraject?
- Welke documentatie kan de leverancier je FG geven?
Een zelfverklaarde leverancier beantwoordt de eerste vraag met zijn eigen beleid. Dat kan degelijk zijn, maar het is een ander product dan dat uit de salespresentatie, en je juridische team moet weten welke van de twee het aftekent.
De pagina AVG-proof bezoekersanalyse behandelt onze antwoorden volledig, en de DPIA-gids bundelt de vragen die een FG doorgaans stelt met verwijzingen naar waar elk antwoord staat. Schrijf je een aanbesteding, dan laat aanbesteding personentelling zien wat een aanbesteding kan eisen.
Benieuwd hoe dit eruitziet voor jouw locatie?
Veelgestelde vragen
Is "AVG-proof" een certificering?
Nee. De AVG certificeert producten niet standaard. Tenzij een toezichthouder of een geaccrediteerde instantie een systeem heeft onderzocht, is "AVG-proof" de eigen conclusie van de leverancier over zijn eigen product. Die conclusie kan kloppen, maar de uitspraak alleen laat niet zien dat iemand onafhankelijk heeft gecontroleerd.
Wat is er precies goedgekeurd in het geval van Bumbee Labs?
IMY, de Zweedse Autoriteit voor Privacybescherming, heeft de Wi-Fi-telmethode van Bumbee Labs beoordeeld: wat wordt verzameld, wat wordt verwijderd en wat blijft over. Geen andere telmethode in Europa heeft die status. Dezelfde privacy-by-design-engineering zit in elke methode die we ernaast leveren.
Telt een goedkeuring van één EU-autoriteit ook in andere landen?
Elke lidstaat past dezelfde verordening toe, dus een toetser waar ook in de EU of EER stelt dezelfde vraag: levert dit persoonsgegevens op? Een methode die deze vraag al voor een gegevensbeschermingsautoriteit heeft beantwoord, geeft je FG gedocumenteerd bewijs als startpunt, waar je ook actief bent.
Hoe moet inkoop een complianceclaim testen?
Stel elke leverancier dezelfde drie vragen op schrift: welke onafhankelijke toetsing heeft je methode doorstaan, wat dekte die precies, en welk bewijs kun je meesturen? Zelfverklaarde compliance antwoordt met beleidsdocumenten, getoetste compliance met de conclusie van een toezichthouder.