Besøksanalyse godkjent av en datatilsynsmyndighet

Bumbee Labs driver den eneste metoden for besøksmåling i Europa som er godkjent av en datatilsynsmyndighet. IMY, det svenske datatilsynet, undersøkte Wi-Fi-metoden og konkluderte med at det den leverer, er anonym, aggregert statistikk. Persondata slettes ugjenkallelig ved kilden, så ingen kan identifiseres ut fra tallene.

Å telle besøkende betyr å måle mennesker i et fysisk rom, og de fleste måter å gjøre det på berører noe personlig: signaler fra en telefon eller bilder ved en dør. Et etterlevelsesteam gjør rett i å spørre hva som samles inn, hva som beholdes, og om noen kan plukkes ut av dataene. En leverandør av besøksanalyse i samsvar med GDPR bør kunne svare skriftlig på de spørsmålene.

Kort fortalt

• IMY, det svenske datatilsynet, vurderte og godkjente Bumbee Labs’ Wi-Fi-baserte metode for besøksmåling.
• All persondata slettes ugjenkallelig. Bare anonym, aggregert statistikk står igjen.
• 3D-sensor, LiDAR, AI-kamera og mobilnettmåling er utformet etter det samme prinsippet om innebygd personvern. Selve godkjenningen gjelder Wi-Fi-metoden.
• Den samme posisjonen gjelder under UK GDPR, og i en vurdering etter KI-forordningen er skillet på metodenivå det spørsmålet du bør stille enhver leverandør.
• Statistikken kommer gjennom dashbord og et dokumentert API, og besøksdataene er dine.

Hvorfor reiser besøksmåling GDPR-spørsmål?

Under GDPR er alt som kan identifisere en person, personopplysninger (artikkel 4 nr. 1 og fortalepunkt 26), og identifikatorer og lagrede opptak er nettopp det materialet forordningen dekker. Et etterlevelsesteam bør ha direkte, skriftlige svar før tellingen starter.

Hvordan håndterer en personteller i samsvar med GDPR persondata?

Bumbee Labs teller med Wi-Fi-basert persontelling, optiske 3D-sensorer, mobilnettdata eller en hybrid av dem, og det samme personverndesignet går gjennom hver metode. Målingen er passiv: ingenting installeres på en telefon, og ingenting kreves av den besøkende. All persondata slettes ugjenkallelig og lagres aldri, heller ikke i hashet form. Bare anonym, aggregert statistikk står igjen, og ingen enkeltperson kan identifiseres. Kamera- og sensorinstallasjoner behandler video kun for analyse og lagrer ingen personbilder. Det er tilnærmingen bak GDPR-bevisst kameratelling. Mobilnettanalysen arbeider på anonymiserte, aggregerte nettverksdata, uten sporing på enhetsnivå.

Du får statistikk: besøkstall, oppholdstider, strømmer, capture rate og trender. Resultatet er monitorering av personstrømmer i samsvar med GDPR: anonym persontelling i alle skalaer, fra én enkelt inngang til en hel bydel. Dataleveranser beskriver reisen fra signal til statistikk.

Hvem godkjente metoden, og hva vurderte de?

Godkjenningen ble utstedt av IMY, det svenske datatilsynet (Integritetsskyddsmyndigheten, tidligere Datainspektionen), som fører tilsyn med personvern i Sverige. IMY undersøkte selve den Wi-Fi-baserte metoden for besøksmåling: hva som samles inn, hva som slettes ugjenkallelig, og hva som blir igjen. Vurderingen konkluderte med at resultatet er anonym, aggregert statistikk, som ikke er persondata.

Godkjenningen dekker den Wi-Fi-baserte metoden for besøksmåling, og den satte den tekniske standarden for alt vi har bygget siden: 3D-sensor, LiDAR, AI-kamera og mobilnettmåling er utformet etter det samme prinsippet om innebygd personvern og leverer det samme anonyme resultatet. Fordi GDPR er én og samme forordning i hele EU og EØS, er spørsmålet IMY besvarte, det spørsmålet en gransker i ethvert EU- eller EØS-land tar utgangspunkt i. I Norge fører Datatilsynet tilsyn med den samme loven. Hva som skiller en metode gjennomgått av en myndighet fra en leverandørs eget «GDPR-sikker»-merke, er forklart på GDPR-sikker vs godkjent.

Hva endrer godkjenningen i etterlevelsesvurderingen vår?

Den endrer utgangspunktet. Spørsmålet som avgjør en vurdering, er om metoden produserer persondata, og det har IMY allerede stilt og besvart. Fordi det aldri produseres persondata, jobber du bare med anonym statistikk. Metoden er dessuten validert av akademia, partnere og kunder, og hver installasjon verifiseres med manuelle kontrollmålinger som matches mot våre egne data. DPIA for persontelling samler spørsmålene et personvernombud typisk stiller, og viser hvor svarene finnes.

Hva spør etterlevelsesteamene oss om?

• Hva samles inn? Wi-Fi-signaler som telefoner sender ut, optiske tellinger i ett punkt, eller anonymiserte, aggregerte nettverksdata, avhengig av metoden. Innsamlingen er passiv hele veien.
• Hva beholdes? Bare statistikk: antall, oppholdstid, strømmer og trender. Ingenting som kan identifisere noen, lagres.
• Kan noen plukkes ut av dataene? Nei. Metoden er utformet slik at ingen enkeltperson noensinne kan identifiseres.
• Hvor havner tallene? I dashbord og et dokumentert, pull-basert API. Besøksdataene dine er dine.

Personvern er et krav i anskaffelsen vår: hva bør vi spørre leverandørene om?

Det sentrale spørsmålet er om metoden produserer persondata. Be hver leverandør svare skriftlig på hva som samles inn, hva som beholdes, og om noen kan plukkes ut av dataene. IMY har undersøkt det spørsmålet for Bumbee Labs’ Wi-Fi-metode. Offentlige virksomheter kan gjøre de samme prinsippene om til krav med anskaffelse av persontelling.

Hvem er dette for?

Butikker og kjøpesentre, knutepunkter og flyplasser, museer, biblioteker, bysentre og utendørsreklame. Tilnærmingen skalerer fra en enkelt butikk til hele bydeler. Statistikken kommer på samme måte i alle skalaer, så et konsern med mange steder vurderer metoden én gang.

Er en personteller omfattet av KI-forordningen?

KI-forordningen står på etterlevelsesagendaen for alle som tar i bruk KI-systemer i EU. Kamerabaserte persontellingssystemer som bruker datasyn til å klassifisere enkeltpersoner, kan falle inn under forordningens vedlegg III (høyrisiko-KI-systemer knyttet til biometrisk kategorisering). Wi-Fi-baserte og mobilnettbaserte metoder ligger utenfor det området i kraft av hvordan de er bygget: de behandler ingen biometriske data, de identifiserer ingen enkeltpersoner, og resultatet er anonym, aggregert statistikk. I en vurdering etter KI-forordningen er skillet på metodenivå det spørsmålet du bør stille enhver leverandør.

Gjelder dette også under UK GDPR?

Virksomheter i Storbritannia er underlagt UK GDPR (EUs GDPR slik den er videreført i britisk rett under Data Protection Act 2018). Etterlevelsesposisjonen som beskrives på denne siden, gjelder fullt ut under UK GDPR: metoden produserer ingen persondata, ingenting identifiserbart lagres, og godkjenningen fra en datatilsynsmyndighet er dokumentasjon personvernombudet ditt kan vise til. Britiske kjøpere innen handel, transport og offentlig sektor kan bruke denne besøksstatistikken med samme trygghet som tilsvarende kjøpere i EU.

Kan jeg ta med personvernombudets spørsmål til en demo?

Ja. En demo går gjennom metoden, datareisen og dashbordet i klartekst. Personvernerklæringen vår dekker hvordan vi håndterer data, og kundecaser viser hvordan organisasjoner som stilte de samme spørsmålene først, bruker statistikken.