Besøkstelling og personvern: Wi-Fi-telling i butikk

Derfor reiser besøksmåling GDPR-spørsmål

Å telle besøkende betyr å måle mennesker i et fysisk rom, og de fleste måter å gjøre det på berører noe personlig: signaler fra en telefon, eller bilder ved en dør. Under GDPR er alt som kan identifisere en person, persondata, og identifikatorer og lagrede opptak er akkurat den typen materiale regelverket finnes for å kontrollere. Et etterlevelsesteam gjør rett i å bremse et besøksmålingsprosjekt og spørre hva som samles inn, hva som beholdes, og om noen noensinne kan plukkes ut av dataene. De spørsmålene fortjener direkte, skriftlige svar før en eneste besøkende telles.

Slik besvarer metoden dem

Bumbee Labs teller med Wi-Fi, optiske 3D-sensorer, mobilnettdata eller en hybrid av dem, og det samme personverndesignet går gjennom hver metode. Målingen er passiv: ingenting installeres på en telefon, og ingenting kreves av den besøkende. All persondata slettes ugjenkallelig og lagres aldri, heller ikke i hashet form. Bare anonym, aggregert statistikk står igjen, og ingen enkeltperson kan identifiseres. Kamera- og sensorinstallasjoner behandler video kun for analyse og lagrer ingen personbilder. Det er tilnærmingen bak GDPR-bevisst kameratelling. Mobilnettanalysen arbeider på anonymiserte, aggregerte nettverksdata, uten sporing på enhetsnivå.

Det som når deg, er statistikk: besøkstall, oppholdstider, strømmer, fangstrater og trender. Resultatet er GDPR-sikker monitorering av personstrømmer: anonym persontelling i alle skalaer, fra én enkelt inngang til en hel bydel. Dataleveranser beskriver hele reisen fra signal til statistikk steg for steg: innsamling, anonymisering, filtrering, prosessering og innsikt.

Wi-Fi- og Bluetooth-sporing: Datatilsynets retningslinjer

Wi-Fi-sporing og Wi-Fi-basert besøkstelling blir ofte blandet sammen, men det er to forskjellige ting. Bumbee Labs sporer ingen. Tilgangspunktene en butikk allerede driver, fanger opp de passive probe requestene, de korte signalene telefoner sender for å spørre etter nettverk, uten app, uten pålogging og uten at den besøkende foretar seg noe. Dataene anonymiseres ved kilden, så bare aggregert statistikk står igjen; ingen blir sporet. Hva et system gjør med signalet, er også kjernen i det myndighetene publiserer.

Det norske Datatilsynet har publisert egne retningslinjer for bruk av WiFi- og Bluetooth-sporing, og kjernebudskapet er det samme som i de felles europeiske orienteringene: det avgjørende er hva et system gjør med signalet: om det identifiserer, lagrer og kobler, eller om det anonymiserer ved kilden og bare etterlater aggregert statistikk. Det samme gjelder kundetelling i butikk: arkitekturen i målingen betyr mer enn teknologien den kjører på.

GDPR definerer når signaler blir persondata (artikkel 4), og hvilke prinsipper enhver behandling må oppfylle (artikkel 5). Spørsmålet enhver vurdering stiller, om dette produserer persondata, er det samme som det svenske Datatilsynet (IMY) besvarte for Bumbee Labs’ Wi-Fi-metode. Forskjellen mellom en selvdeklarert konformitet og en metode som er gjennomgått av en myndighet, er dekket på GDPR-sikker vs godkjent.

Hvem godkjente den: det svenske Datatilsynet

Godkjenningen ble utstedt av det svenske Datatilsynet, Integritetsskyddsmyndigheten (IMY, tidligere Datainspektionen), myndigheten som fører tilsyn med personvern i Sverige. IMY undersøkte selve den Wi-Fi-baserte metoden for besøksmåling: hva som samles inn, hva som slettes ugjenkallelig, og hva som blir igjen. Konklusjonen, som denne siden hviler på, er at resultatet er anonym, aggregert statistikk og ikke persondata.

Godkjenningen dekker den Wi-Fi-baserte metoden for besøksmåling, og den satte den tekniske standarden for alt vi har bygget siden: 3D-sensor, LiDAR, AI-kamera og mobilnettmåling er utformet etter det samme prinsippet om innebygd personvern og leverer det samme anonyme resultatet. Og fordi GDPR er én og samme forordning i hele EU og EØS, er spørsmålet IMY besvarte, det spørsmålet en gransker i ethvert medlemsland tar utgangspunkt i. Deres eget Datatilsyn fører tilsyn med den samme loven. Hva som skiller en metode gjennomgått av en myndighet fra en leverandørs eget «GDPR-sikker»-merke, er forklart på GDPR-sikker vs godkjent.

Hva godkjenningen betyr for vurderingen din

For en etterlevelsesvurdering endrer godkjenningen utgangspunktet. Det sentrale spørsmålet er om metoden produserer persondata, og det svenske Datatilsynet har allerede stilt og besvart det. Fordi det aldri produseres persondata, kan du bruke statistikken uten å påta deg personvernrisiko. I tillegg til godkjenningen har metoden uavhengig støtte: den er validert av akademia, partnere og kunder, og hver installasjon verifiseres med manuelle kontrollmålinger som matches mot våre egne data. Står en formell vurdering på agendaen, samler DPIA for persontelling spørsmålene et personvernombud typisk stiller, og viser hvor svarene finnes.

Hva etterlevelsesteamene spør oss om

• Hva samles inn? Wi-Fi-signaler som telefoner sender ut, optiske tellinger i ett punkt, eller anonymiserte, aggregerte nettverksdata, avhengig av metoden. Innsamlingen er passiv hele veien.
• Hva beholdes? Bare statistikk: antall, oppholdstid, strømmer og trender. Ingenting som kan identifisere noen, lagres.
• Kan noen plukkes ut av dataene? Nei. Metoden er utformet slik at ingen enkeltperson noensinne kan identifiseres.
• Hvor havner tallene? I dashbord og et dokumentert, pull-basert API. Besøksdataene dine er dine, klare for systemene du allerede bruker.

Hvem dette er for

Butikker og kjøpesentre, knutepunkter og flyplasser, museer, biblioteker, bysentre og utendørsreklame: steder der besøkstall styrer beslutninger og personvernkravene med rette er høye. Tilnærmingen skalerer fra en enkelt butikk til hele bydeler. Statistikken kommer på samme måte i alle skalaer, så et konsern med mange steder vurderer metoden én gang. Offentlige virksomheter som kjøper gjennom anbud, kan gjøre de samme prinsippene om til krav med anskaffelse av persontelling.

EU AI-loven: hva den betyr for persontelling

EU AI-loven står nå på etterlevelsesagendaen for alle som tar i bruk AI-systemer i EU. Under EU AI-loven klassifiseres kamerabaserte persontellingsystemer som bruker datasyn til å kategorisere enkeltpersoner, i visse sammenhenger som høyrisiko-AI (Annex III, høyrisikosystemer knyttet til biometrisk kategorisering). Wi-Fi-basert og mobilnettbasert besøksmåling faller arkitektonisk utenfor denne risikoklassen: metodene behandler ingen biometriske data, identifiserer ingen enkeltpersoner, og resultatet er anonym, aggregert statistikk. Det svenske Datatilsynets godkjenning av Bumbee Labs’ metode er det konkrete dokumentasjonssvaret kjøpere og personvernombud trenger i en anskaffelsesprosess, uansett om regelverket er GDPR alene eller GDPR kombinert med AI-loven. Hvis innkjøps- eller juristteamet ditt gjør en vurdering etter AI-loven, er skillet på metodenivå det avgjørende spørsmålet å stille enhver leverandør.

UK GDPR og persontelling

Virksomheter i Storbritannia er underlagt UK GDPR (EUs GDPR slik den er videreført i britisk rett under Data Protection Act 2018). Etterlevelsesposisjonen som beskrives på denne siden, gjelder fullt ut under UK GDPR: metoden produserer ingen persondata, ingenting identifiserbart lagres, og godkjenningen fra en datatilsynsmyndighet er dokumentasjon personvernombudet ditt kan vise til. Britiske kjøpere innen handel, transport og offentlig sektor kan bruke denne besøksstatistikken med samme trygghet som tilsvarende kjøpere i EU.

Sjekkliste for anskaffelse

Den som kjøper persontelling, kan få personvernspørsmålet inn i spesifikasjonen med noen få punkter:

• Hvilken myndighet har gjennomgått metoden? «GDPR-sikker» skriver enhver leverandør selv. Spør etter en navngitt myndighet og et vedtak, ikke etter en merkelapp.
• Hva forlater sensoren? Antall og aggregert statistikk, eller identifikatorer og opptak?
• Passiv eller aktiv? Krever målingen en app, en innlogging eller en handling fra den besøkende?
• Hva lagres, og hvor lenge? Slettes persondata ugjenkallelig, eller bare «beskyttes» de?
• Hvordan dokumenteres nøyaktigheten? Kalibrerer leverandøren mot manuelle kontrollmålinger?
• Hvordan når statistikken deg? Dashbord og et dokumentert API; dataene er dine.

Seksjonen «Hva etterlevelsesteamene spør oss om» besvarer nettopp disse spørsmålene, skriftlig, før en eneste besøkende telles.

Klare svar før du forplikter deg

Ta med spørsmålene personvernombudet ditt uansett kommer til å stille. En demo går gjennom metoden, datareisen og dashbordet i klartekst. Personvernerklæringen vår dekker hvordan vi håndterer data mer generelt, og kundecaser viser hvordan organisasjoner som stilte de samme spørsmålene først, bruker statistikken.