DPIA for persontelling: dette spør personvernombudet om

I en DPIA for persontelling går et personvernombud gjennom de vanlige spørsmålene: hva som samles inn, om de besøkende må gjøre noe, hva som beholdes, om noen kan plukkes ut av dataene, om kameraer lagrer bilder, og hvor tallene havner. De skriftlige svarene ligger på GDPR-siden vår, under dataleveranser, i personvernerklæringen og i FAQ-en.

Å telle besøkende betyr å måle mennesker i et fysisk rom, og de fleste måter å gjøre det på berører noe som kan være personlig: signaler fra en telefon eller bilder ved en dør. Et personvernombud (DPO) eller etterlevelsesteam spør derfor hva som samles inn, hva som beholdes, og om noen noen gang kan plukkes ut av dataene. En DPIA (personvernkonsekvensvurdering) dekker de spørsmålene for besøksmåling. Svarene står punkt for punkt under det etterlevelsesteam spør oss om; denne siden handler om vurderingen rundt dem.

Trenger vi en DPIA for persontelling?

Det avgjør deres eget personvernombud eller etterlevelsesfunksjon, og vi tar ikke den vurderingen for dere. Vi leverer materialet som korter ned arbeidet: dokumentasjon på at metoden produserer anonym, aggregert statistikk og ingen personopplysninger, pluss skriftlige svar på spørsmålene som gjenstår.

Om organisasjonen deres gjennomfører en formell konsekvensvurdering, og hva den må dekke, er fortsatt deres beslutning. Ingenting på denne siden erstatter deres egen vurdering.

Produserer metoden personopplysninger?

Nei. Metoden leverer aggregert statistikk, og det finnes ingen lagret oppføring om noen enkeltperson bak den. Besøkstall, oppholdstider, strømmer, capture rate og trender kommer som aggregerte tall, og alle personopplysninger slettes ugjenkallelig som en del av selve metoden.

Endrer UK GDPR svarene?

Nei. For organisasjoner i Storbritannia er det relevante regelverket UK GDPR, EUs GDPR slik den ble videreført i britisk rett gjennom Data Protection Act 2018. De samme spørsmålene gjelder, og svarene holder: metoden produserer anonym, aggregert statistikk, så ingen personopplysninger omfattes av verken EUs GDPR eller UK GDPR. Et personvernombud som dekker virksomhet i Storbritannia, leser UK GDPR der denne siden viser til EUs GDPR.

Dukker KI-forordningen opp i en DPIA for persontelling?

Det kan den, og det avhenger av metoden. KI-forordningen tar stadig mer plass på sjekklistene for etterlevelse. Kamerabaserte persontellingssystemer som bruker maskinsyn til å klassifisere enkeltpersoner, kan falle inn under vedlegg III, forordningens liste over høyrisiko-KI-systemer. Wi-Fi- og mobilnettbaserte metoder faller utenfor det virkeområdet, siden de ikke behandler biometriske data og ikke identifiserer noen enkeltperson. Hvis vurderingen deres må ta stilling til risikokategorisering etter KI-forordningen, er skillet mellom metodene utgangspunktet.

Hvor finner et personvernombud de skriftlige svarene?

Hvordan vi etterlever personvernreglene, er beskrevet på besøksanalyse godkjent av en datatilsynsmyndighet, inkludert hva den regulatoriske godkjenningen betyr for en vurdering. Bumbee Labs driver den eneste metoden for besøksmåling i Europa som er godkjent av en datatilsynsmyndighet, så det sentrale spørsmålet, om metoden produserer personopplysninger, er allerede stilt og besvart av den myndigheten. Reisen fra signal til statistikk (innsamling, anonymisering, filtrering, prosessering og innsikt) er beskrevet steg for steg under dataleveranser. Personvernerklæringen vår sier det rett ut: vi identifiserer ikke enkeltpersoner, og vi bygger ikke profiler av menneskene som telles. Kortere svar på de vanligste spørsmålene ligger i FAQ-en.

Kan personvernombudet vårt snakke direkte med Bumbee Labs?

Ja. Vi svarer direkte og skriftlig på spørsmål om etterlevelse, og vi kan arrangere en gjennomgang av metoden, datareisen og dashbordet med personvernombudet deres i rommet. Dokumentasjonen er skrevet i klartekst. Organisasjoner med høye personvernkrav, som kommuner, biblioteker og knutepunkter, stiller oss de samme spørsmålene før de forplikter seg. Når dere er klare, snakk med teamet vårt og ta med personvernombudets spørsmål.