Personentelling zonder camera's

Ja. Met de Wi-Fi-access points die een gebouw al gebruikt, is personentelling zonder camera’s mogelijk. Ze vangen de signalen op die telefoons uitzenden, zetten die om in tellingen en bezoekersstromen en bewaren alleen geaggregeerde statistieken. Er wordt geen beeld gemaakt en niemand wordt geïdentificeerd. Ingangen die een exacte telling nodig hebben, kunnen LiDAR gebruiken, dat evenmin een camera nodig heeft.

In het kort

• Bestaande Wi-Fi-access points kunnen bezoekers in het hele gebouw tellen zonder camera, en de dekking reikt zo ver als het netwerk.
• Uit telefoonsignalen ontstaan tellingen, verblijftijden en looproutes tussen zones; alleen geaggregeerde statistieken blijven over.
• LiDAR geeft bij een ingang een exacte telling, zonder camera en zonder beeld.
• De tellingen worden gekalibreerd met handmatige telsessies, zodat ze op geaggregeerd niveau kloppen.
• Of een DPIA nodig is, beslist je eigen functionaris gegevensbescherming of compliance-afdeling.

Kunnen we bezoekers op de hele vloer en bij de deuren tellen zonder camera’s?

Ja, en twee methoden verdelen het werk. Wi-Fi-tellen dekt de vloer af via de access points die al in het gebouw hangen en levert tellingen, verblijftijden en looproutes tussen zones. LiDAR neemt een ingang voor zijn rekening waar het op een exacte telling aankomt. Het meet met laserpulsen, dus er ontstaat geen beeld.

Optische tellers bij elke ingang, zonegrens, roltrap en lifthal vragen om projectplanning, bekabeling en doorlopend hardware-onderhoud. Wi-Fi-tellen werkt met de access points die de facilitaire dienst of IT al voor de connectiviteit beheert, waardoor de dekking zo ver reikt als het netwerk en er in de meeste gebouwen geen nieuwe hardware aan het plafond hoeft te komen.

Een winkelcentrum met tientallen access points over vijf verdiepingen krijgt analyse per zone op alle vijf, en dus veel meer dan een telling bij de voordeur zou laten zien. Voor musea en culturele locaties of ov-knooppunten is dat detailniveau meestal haalbaar zonder bekabelingsproject, en de datalevering is rijker omdat de telling het hele gebouw beslaat. Niemand hoeft een extra camera te verantwoorden tegenover een planningsautoriteit of op een wachtrij te richten.

Wat vangen Wi-Fi-access points op van een telefoon?

Een telefoon met Wi-Fi aan zendt probe-requests uit: korte signalen die vragen of er een bekend netwerk in de buurt is. Access points binnen bereik vangen ze op. Vroeger droeg elke probe een unieke hardware-identificator, het MAC-adres, waarmee in principe één specifiek apparaat door tijd en ruimte te volgen was.

Apple introduceerde MAC-adres-randomisering in iOS 8 in 2014; Android volgde vanaf versie 8.

Apparaten sturen probe-requests nu met gerandomiseerde MAC-adressen, die in de loop van de tijd veranderen en per netwerk verschillen, in plaats van een vast hardware-ID, zodat een vast hardware-adres niet meer lange tijd aan een apparaat gekoppeld blijft. De privacy van een telsysteem hangt nog steeds af van wat het systeem daarna met de signalen doet.

Wat blijft er over nadat de signalen zijn verwerkt?

De bezoekerstelling via Wi-Fi anonimiseert de signalen al bij het verzamelen. Probe-requests worden verwerkt tot tellingen en stroomstatistieken, en de onderliggende signaaldata wordt niet opgeslagen. Wat overblijft is geaggregeerd: hoeveel apparaten er in een bepaald uur in een zone zijn gedetecteerd, hoe lang het gemiddelde verblijf duurde en welke route door een ruimte het vaakst voorkwam. Geen enkele rij in een database komt overeen met een persoon.

Een AVG-proof bezoekersanalysesysteem op basis van Wi-Fi-tellen heeft geen toestemming van bezoekers nodig om te werken. De vraag naar toestemming speelt waar persoonsgegevens worden verwerkt, en deze methode verwerkt die niet. Daarom is dit ook de enige methode voor bezoekersmeting in Europa die is goedgekeurd door een gegevensbeschermingsautoriteit.

Hoe weten we dat de tellingen kloppen?

Het systeem ziet nooit individuen, dus het controleert zijn tellingen via kalibratie. Tellingen die uit Wi-Fi-signalen zijn afgeleid, worden gevalideerd aan de hand van handmatige telsessies: een bekend aantal mensen loopt door een zone, en de schatting van het systeem wordt daarop bijgesteld. Kalibratie corrigeert ook voor het aandeel bezoekers dat een apparaat met Wi-Fi bij zich heeft, en dat aandeel verschilt per locatie en tijdstip. Een vergelijking met andere methoden vind je bij bezoekers tellen.

De nauwkeurigheid is hoog op geaggregeerd niveau, en dat is het niveau dat operationele en strategische beslissingen vragen. Een retailer moet weten of er op een zaterdag 2.000 of 4.000 mensen zijn binnengekomen, en om dat te beantwoorden is geen telling van individuen nodig. Kalibratie maakt de telling ook vergelijkbaar tussen locaties en seizoenen, en die vergelijkbaarheid is wat een bezoekersbenchmark waard is. Het bezoekersaantal is bovendien de noemer die de kassa niet kan leveren: zet je het naast de omzet, dan krijg je de conversieratio die verklaart waarom bezoekersstroom en omzet een ander verhaal vertellen.

MAC-randomisering, inmiddels standaard op moderne apparaten, wordt op algoritmisch niveau afgehandeld zonder terug te vallen op persistente identificatoren, zodat de statistische uitvoer betrouwbaar blijft.

Wat omvat een privacybeoordeling van Wi-Fi-tellen?

Voor organisaties die onder de AVG vallen, is een DPIA voor personentelling de formele stap om een technologie te beoordelen voordat die wordt ingezet. Of er een nodig is, en wat die moet omvatten, beslist je eigen functionaris gegevensbescherming of compliance-afdeling. De methode levert geen bijzondere categorieën gegevens op, vraagt geen toestemmingsmechanisme, en er zijn geen rechten van betrokkenen te beheren. De vragen die een functionaris gegevensbescherming doorgaans stelt, staan op die pagina.

Wat zeggen het personeel en de ondernemingsraad?

De meting is anoniem. Tellen via Wi-Fi levert geen persoonsgegevens op, dus niemand, medewerker of bezoeker, is in de resultaten aan te wijzen, en geen enkel individu wordt in de tijd gevolgd. Wat het personeel en zijn vertegenwoordigers zien, is geaggregeerde statistiek over de ruimte: hoeveel mensen er waren, waar en wanneer, nooit wie.

Wat verandert er voor bezoekers als er geen camera is?

Camera-gebaseerde systemen kunnen dingen die Wi-Fi-tellen niet kan: ze kunnen volwassenen van kinderen onderscheiden, mensen op beelden met hoge precisie tellen en in sommige configuraties terugkerende bezoekers herkennen. Diezelfde mogelijkheden zijn ook de bron van ongemak bij het publiek. Gezichtsherkenning gekoppeld aan retailanalyse heeft in heel Europa de aandacht van regelgevers getrokken, en ook waar camera’s geen herkenning uitvoeren, merken bezoekers in openbare ruimtes ze steeds vaker op en stellen ze vragen. Een zichtbare camera kan op bewaking lijken, ook als hij alleen telt. Die frictie kost iets: aan bezoekerservaring, aan tijd van personeel en af en toe aan persaandacht.

Wi-Fi-tellen richt geen camera op bezoekers en legt geen beeld van hen vast. Dat weegt het zwaarst waar vertrouwen bij het bezoek hoort: culturele instellingen, openbaar vervoer en zorginstellingen. Ook in retail wordt het steeds belangrijker, nu beslissingen over bezoekersteller of bezoekersanalyse kritischer worden bekeken.

Waar een ingang een exacte telling nodig heeft en een lens niet welkom is, geeft LiDAR-personentelling een precieze telling zonder enige camera. LiDAR meet beweging met oogveilige laserpulsen en toont mensen als clusters van punten in een 3D-ruimte. Er wordt nooit een beeld gemaakt, dus er valt niets op te slaan, te blurren of te maskeren.

Bronnen

• Apple (2014). iOS Security (white paper, October 2014). https://www.apple.com/mx/privacy/docs/iOS_Security_Guide_Oct_2014.pdf
• Android Open Source Project. Implement MAC randomization. https://source.android.com/docs/core/connect/wifi-mac-randomization
• Martin, J., Mayberry, T., Donahue, C., Foppe, L., Brown, L., Riggins, C., Rye, E. C., & Brown, D. (2017). A study of MAC address randomization in mobile devices and when it fails. Proceedings on Privacy Enhancing Technologies, 2017(4), 365–383. https://doi.org/10.1515/popets-2017-0054
• European Data Protection Board (2020). Guidelines 3/2019 on processing of personal data through video devices, version 2.0. https://www.edpb.europa.eu/documents/guideline/guidelines-32019-on-processing-of-personal-data-through-video-devices_en
• European Parliament and Council of the European Union (2016). Regulation (EU) 2016/679 (General Data Protection Regulation), Recital 26 and Article 35. https://eur-lex.europa.eu/eli/reg/2016/679/oj