GDPR-sikker vs godkjent av en myndighet: hva forskjellen betyr for persontelling
Hver eneste leverandør av persontelling i Europa beskriver seg selv som GDPR-sikker. Siden viser hva uttrykket dekker når leverandøren vurderer seg selv, hva en myndighets gjennomgang tilfører, og hvordan du ser hvilket av de to du kjøper.
På denne siden
“GDPR-sikker” er som regel leverandørens egen konklusjon, fordi GDPR gjør organisasjoner ansvarlige for sin egen etterlevelse. “Godkjent” betyr at en myndighet har undersøkt metoden. Bumbee Labs har den eneste metoden for besøksmåling i Europa som er godkjent av en datatilsynsmyndighet. IMY, det svenske datatilsynet, utstedte godkjenningen for vår Wi-Fi-baserte metode for besøksmåling.
Er “GDPR-sikker” en selvvurdering?
Stort sett, ja. Les hvilken som helst nettside om persontelling på hvilket som helst europeisk språk, og det samme uttrykket dukker opp: GDPR-compliant, DSGVO-konform, conforme au RGPD, RODO-compliant. Uttrykket koster ingenting å skrive, og i nesten alle tilfeller kom leverandøren frem til konklusjonen selv, siden GDPR ikke deler ut produktmerker. Det leverandøren vanligvis mener, er en ærlig lesning av sin egen arkitektur, med en personvernerklæring og en mal for databehandleravtale i ryggen.
Når enhver leverandør bruker de samme ordene, skiller påstanden ikke lenger grundig ingeniørarbeid fra ønsketenkning, og etterlevelsesgjennomgangen deres starter fra null. Noen på deres side må undersøke hva systemet samler inn, oppbevarer og kunne eksponere, og leverandørens egen beskrivelse er ett innspill til det arbeidet.
Hva tilfører en myndighets gjennomgang?
En datatilsynsmyndighet er organet GDPR utpeker til å vurdere disse spørsmålene. Når den undersøker en målemetode, går den etter det samme som personvernombudet deres, med mer mandat og mer dybde: hva som samles inn, hva som skjer med det, hva som blir igjen, og om noen enkeltperson kunne identifiseres på noe tidspunkt.
Bumbee Labs gikk gjennom den undersøkelsen og har godkjenningen fra IMY, utstedt etter en gjennomgang av hvordan signaler samles inn, slettes ugjenkallelig og reduseres til anonym, aggregert statistikk.
Fordi GDPR er én forordning i hele EU og EØS, besvarte IMY spørsmålet en gransker i Paris, München eller Milano tar utgangspunkt i: produserer dette persondata? En godkjenning avslutter ikke gjennomgangen deres, men personvernombudet kan verifisere dokumenterte funn i stedet for å granske en påstand fra bunnen av.
Dekker godkjenningen alle metodene dere leverer?
Godkjenningen dekker den Wi-Fi-baserte metoden for besøksmåling. Det samme innebygde personvernet ligger i alt vi leverer ved siden av den, fra 3D-sensorer til LiDAR og mobilnettanalyse. Når en leverandør sier “godkjent”, sjekk hvilken metode gjennomgangen dekket; det er spørsmål 2 nedenfor.
Hvordan ser jeg hvilket av de to jeg kjøper?
Still tre spørsmål til enhver leverandør, oss inkludert, og be om svarene skriftlig:
- Hvilken uavhengig gjennomgang har metoden bestått, og hvem gjorde den?
- Hva dekket gjennomgangen nøyaktig: hvilken metode og hvilken datareise?
- Hvilken dokumentasjon kan leverandøren gi personvernombudet deres?
En selvdeklarert leverandør besvarer det første spørsmålet med sine egne policyer. Det kan være solid nok, men det er et annet produkt enn det i salgspresentasjonen, og juridisk avdeling deres bør vite hvilket av de to den skriver under på.
Siden Besøksanalyse godkjent av en datatilsynsmyndighet går gjennom svarene våre i sin helhet, og DPIA-veiledningen samler spørsmålene et personvernombud typisk stiller, med henvisninger til hvor hvert svar finnes. Skriver dere et anbud, viser anskaffelse av persontelling hva et konkurransegrunnlag kan stille krav om.
Nysgjerrig på hvordan dette ser ut for ditt sted?
Ofte stilte spørsmål
Er "GDPR-sikker" en sertifisering?
Nei. GDPR sertifiserer ikke produkter som standard. Med mindre en myndighet eller et akkreditert organ har undersøkt et system, er 'GDPR-sikker' leverandørens egen konklusjon om sitt eget produkt. Den kan godt stemme, men uttrykket alene viser ikke at noen uavhengig har sjekket.
Hva ble nøyaktig godkjent i Bumbee Labs' tilfelle?
IMY, det svenske datatilsynet, gjennomgikk Bumbee Labs' Wi-Fi-baserte metode for besøksmåling: hva som samles inn, hva som slettes, og hva som blir igjen. Ingen annen metode for besøksmåling i Europa har den statusen. Det samme innebygde personvernet ligger i hver metode vi leverer ved siden av den.
Betyr en godkjenning fra én EU-myndighet noe i andre land?
Alle medlemsland anvender den samme forordningen, så en gransker hvor som helst i EU eller EØS stiller det samme spørsmålet: produserer dette persondata? En metode som har besvart det foran en datatilsynsmyndighet, gir personvernombudet deres dokumentert grunnlag å ta utgangspunkt i, uansett hvor dere opererer.
Hvordan bør innkjøp teste en etterlevelsespåstand?
Still de samme tre spørsmålene skriftlig til enhver leverandør: hvilken uavhengig gjennomgang har metoden bestått, hva dekket den nøyaktig, og hvilken dokumentasjon kan dere legge ved? Selvdeklarert etterlevelse svarer med policydokumenter, gjennomgått etterlevelse med en myndighets konklusjon.