Persontelling uten kameraer

Ja. Wi-Fi-aksesspunktene en bygning allerede har, kan telle de besøkende uten et kamera. De fanger opp signalene telefoner sender ut, gjør dem om til tellinger og strømmer og beholder bare aggregert statistikk. Det tas ikke noe bilde, og ingen blir identifisert. Innganger som trenger en eksakt telling, kan bruke LiDAR, som heller ikke trenger kamera.

Kort fortalt

• Eksisterende Wi-Fi-aksesspunkter kan telle besøkende i hele bygningen uten kamera, og dekningen går så langt som nettverket går.
• Telefonsignalene blir til tellinger, oppholdstid og ruter mellom soner; bare aggregert statistikk blir igjen.
• LiDAR gir en eksakt telling ved en inngang uten kamera og uten bilde.
• Tellingene kalibreres mot manuelle tellinger, så de holder på aggregert nivå.
• Om det trengs en DPIA, avgjør ditt eget personvernombud eller din egen etterlevelsesfunksjon.

Kan vi telle besøkende over hele arealet og ved dørene uten kameraer?

Ja, og to metoder deler jobben. Wi-Fi-telling dekker arealet gjennom aksesspunktene som allerede sitter i bygget, og gir tellinger, oppholdstid og ruter mellom soner. LiDAR tar seg av en inngang der en eksakt telling betyr noe, og fordi den måler med laserpulser, blir det aldri laget noe bilde.

Optiske tellere ved hver inngang, sonegrense, rulletrapp og heislobby krever prosjektplanlegging, kabling og løpende vedlikehold av maskinvare. Wi-Fi-telling bruker aksesspunktene som drifts- eller IT-avdelingen allerede forvalter for tilkobling, så dekningen går så langt som nettverket går, og i de fleste bygninger trengs det ingen ny maskinvare i taket.

Et kjøpesenter med flere dusin aksesspunkter over fem etasjer får analyse på sonenivå i alle fem, langt mer enn en hodetelling ved hovedinngangen ville vist. For museer og kultursteder eller offentlige transportknutepunkter er det detaljnivået som regel innen rekkevidde uten et kablingsprosjekt, og dataleveransene blir rikere fordi tellingen dekker hele bygget. Ingen ekstra kamera må begrunnes overfor en planmyndighet eller rettes mot en kø.

Hva fanger Wi-Fi-aksesspunkter opp fra en telefon?

En telefon med Wi-Fi slått på sender probe-forespørsler, korte signaler som spør om et kjent nettverk er i nærheten. Aksesspunkter innen rekkevidde fanger dem opp. Hver probe hadde tidligere en unik maskinvareidentifikator, MAC-adressen, som i prinsippet gjorde det mulig å følge én bestemt enhet i tid og rom.

Apple innførte randomisering av MAC-adresser i iOS 8 i 2014, og Android fulgte etter fra versjon 8.

Enhetene sender nå probe-forespørsler med tilfeldige MAC-adresser, som endres over tid og er ulike fra nettverk til nettverk, i stedet for en fast maskinvare-ID, så adressen følger ikke lenger enheten over tid. Personvernet i et tellesystem avhenger likevel av hva systemet gjør med signalene etterpå.

Hva blir igjen når signalene er behandlet?

Metoden bak Wi-Fi-basert persontelling anonymiserer signalene allerede ved innsamlingen. Probe-forespørslene gjøres om til tellinger og strømningsstatistikk, og de underliggende signaldataene lagres ikke. Det som blir liggende, er aggregert: hvor mange enheter som ble registrert i en sone i løpet av en bestemt time, hvor lang den gjennomsnittlige oppholdstiden var, og hvilken rute gjennom et rom som var vanligst. Ingen rad i noen database tilsvarer en person.

Et system for GDPR-samsvarende besøksanalyse bygget på Wi-Fi-telling trenger ikke samtykke fra besøkende for å fungere. Samtykke gjelder der persondata behandles, og denne metoden behandler ingen. Det er også grunnen til at dette er den eneste metoden for besøksmåling i Europa som er godkjent av en datatilsynsmyndighet.

Hvordan vet vi at tallene stemmer?

Systemet ser aldri enkeltpersoner, så det bruker kalibrering for å kontrollere tallene. Tall fra Wi-Fi-signaler valideres mot manuelle tellinger: et kjent antall mennesker går gjennom en sone, og systemets estimat justeres til det stemmer. Kalibreringen korrigerer også for andelen besøkende som har med seg en enhet med Wi-Fi, og den varierer med sted og tid. Andre metoder sammenlignes i hvordan telle besøkende.

Nøyaktigheten er høy på aggregert nivå, og det er det nivået operative og strategiske beslutninger krever. En butikk må vite om det kom 2 000 eller 4 000 mennesker en lørdag, og det kan besvares uten noen folketelling av enkeltpersoner. Kalibrerte tall kan dessuten sammenlignes på tvers av steder og sesonger, og nettopp det avgjør hva en besøksbenchmark er verdt. Besøkstallet er i tillegg nevneren kassen ikke kan gi: satt opp mot salget gir det konverteringsgraden bak hvorfor besøkstall og salg forteller ulike historier.

MAC-randomisering, som nå er standard på moderne enheter, håndteres i algoritmene uten å gå tilbake til faste identifikatorer, så de statistiske resultatene er fortsatt pålitelige.

Hva dekker en personverngjennomgang av Wi-Fi-telling?

For virksomheter som er underlagt GDPR, er en DPIA for persontelling det formelle steget for å vurdere en teknologi før den tas i bruk. Om det trengs en, og hva den må dekke, avgjør ditt eget personvernombud eller din egen etterlevelsesfunksjon. Metoden produserer ingen særlige kategorier av persondata, krever ingen samtykkeløsning og etterlater ingen rettigheter for registrerte å håndtere. Spørsmålene et personvernombud typisk stiller, står samlet på den siden.

Hva sier de ansatte og fagforeningen?

Målingen er anonym. Wi-Fi-telling produserer ingen persondata, så ingen, verken ansatte eller besøkende, kan pekes ut i resultatene, og ingen enkeltperson følges over tid. Det de ansatte og de tillitsvalgte ser, er aggregert statistikk om lokalet: hvor mange som var der, hvor og når, aldri hvem.

Hva endrer seg for besøkende når det ikke er noe kamera?

Kamerabaserte systemer kan gjøre ting Wi-Fi-telling ikke kan: de kan skille voksne fra barn, telle mennesker i bilder med høy presisjon og i noen oppsett kjenne igjen besøkende som kommer tilbake. De samme egenskapene er også kilden til ubehag hos publikum. Ansiktsgjenkjenning koblet til handelsanalyse har fått oppmerksomhet fra myndigheter over hele Europa, og selv der kameraene ikke kjører gjenkjenning, legger besøkende i offentlige rom stadig oftere merke til dem og stiller spørsmål. Et synlig kamera kan se ut som overvåking selv når det bare teller, og den friksjonen koster noe i besøksopplevelsen, i tiden personalet bruker, og av og til i presseomtale.

Wi-Fi-telling retter ikke noe kamera mot besøkende og fanger ikke opp noe bilde av dem. Det betyr mest der tillit er en del av besøket: kulturinstitusjoner, kollektivtransport og helsetjenester. Også i handelen betyr det stadig mer, etter hvert som valget mellom personteller og analyse blir vurdert grundigere.

Der en inngang krever en eksakt telling og en linse er uønsket, gir LiDAR-persontelling en presis telling helt uten kamera. Den måler bevegelse med øyesikre laserpulser og viser personer som klynger av punkter i 3D-rommet. Det lages aldri noe bilde, så det er ingenting å lagre, sladde eller maskere.

Kilder

• Apple (2014). iOS Security (white paper, October 2014). https://www.apple.com/mx/privacy/docs/iOS_Security_Guide_Oct_2014.pdf
• Android Open Source Project. Implement MAC randomization. https://source.android.com/docs/core/connect/wifi-mac-randomization
• Martin, J., Mayberry, T., Donahue, C., Foppe, L., Brown, L., Riggins, C., Rye, E. C., & Brown, D. (2017). A study of MAC address randomization in mobile devices and when it fails. Proceedings on Privacy Enhancing Technologies, 2017(4), 365–383. https://doi.org/10.1515/popets-2017-0054
• European Data Protection Board (2020). Guidelines 3/2019 on processing of personal data through video devices, version 2.0. https://www.edpb.europa.eu/documents/guideline/guidelines-32019-on-processing-of-personal-data-through-video-devices_en
• European Parliament and Council of the European Union (2016). Regulation (EU) 2016/679 (General Data Protection Regulation), Recital 26 and Article 35. https://eur-lex.europa.eu/eli/reg/2016/679/oj