Zliczanie osób zgodne z RODO i zatwierdzone przez organ ochrony danych

Bumbee Labs stosuje jedyną metodę pomiaru ruchu pieszego w Europie zatwierdzoną przez organ ochrony danych. IMY, szwedzki organ ochrony danych, zbadał metodę Wi-Fi i uznał, że jej wynikiem są statystyki: anonimowe i zagregowane. Dane osobowe są nieodwracalnie usuwane u źródła, więc z liczb nie da się nikogo zidentyfikować.

Liczenie odwiedzających oznacza mierzenie ludzi w fizycznej przestrzeni, a większość sposobów, by to robić, dotyka czegoś osobistego: sygnałów z telefonu albo obrazów przy drzwiach. Zespół ds. zgodności ma rację, gdy pyta, co jest zbierane, co jest zachowywane i czy kogokolwiek dałoby się wyłuskać z danych. Dostawca zliczania osób zgodnego z RODO powinien umieć odpowiedzieć na te pytania na piśmie.

W skrócie

• IMY, szwedzki organ ochrony danych, sprawdził i zatwierdził metodę pomiaru ruchu pieszego Wi-Fi stosowaną przez Bumbee Labs.
• Wszystkie dane osobowe są nieodwracalnie usuwane. Pozostają wyłącznie anonimowe, zagregowane statystyki.
• Czujnik 3D, LiDAR, kamera AI i pomiar komórkowy są projektowane według tej samej zasady privacy by design. Samo zatwierdzenie obejmuje metodę Wi-Fi.
• To samo stanowisko obowiązuje na gruncie UK GDPR, a w przeglądzie pod kątem unijnego AI Act rozróżnienie na poziomie metody jest pytaniem, które warto zadać każdemu dostawcy.
• Statystyki docierają przez dashboardy i udokumentowane API, a dane o odwiedzających należą do Ciebie.

Dlaczego pomiar ruchu pieszego budzi pytania o RODO?

W świetle RODO wszystko, co mogłoby zidentyfikować osobę, jest daną osobową (art. 4 pkt 1 i motyw 26), a identyfikatory i przechowywane nagrania to dokładnie ten materiał, który rozporządzenie obejmuje. Zespół ds. zgodności powinien mieć bezpośrednie, pisemne odpowiedzi, zanim zacznie się liczenie.

Anonimizacja danych: jak licznik osób zgodny z RODO postępuje z danymi osobowymi?

Bumbee Labs stosuje zliczanie osób przez Wi-Fi, optyczne czujniki 3D, dane z sieci komórkowej albo ich hybrydę, a w każdej metodzie obowiązuje to samo podejście do prywatności. Pomiar jest pasywny: nic nie jest instalowane na telefonie i niczego nie wymaga się od odwiedzającego. Wszystkie dane osobowe są nieodwracalnie usuwane i nigdy nie są przechowywane, nawet w postaci zahaszowanej. Pozostają wyłącznie anonimowe, zagregowane statystyki i żadnej osoby nie da się zidentyfikować. Instalacje kamer i czujników przetwarzają wideo wyłącznie na potrzeby analityki i nie zapisują żadnych wizerunków. Na tym opiera się liczenie osób kamerą z poszanowaniem RODO. Analiza sieci komórkowej działa na zanonimizowanych, zagregowanych danych sieciowych, bez śledzenia na poziomie urządzeń.

Otrzymujesz statystyki: liczba odwiedzających, czasy przebywania, przepływy, współczynniki wejść i trendy. W efekcie otrzymujesz zgodny z RODO monitoring przepływu osób: anonimowe zliczanie osób w każdej skali, od pojedynczego wejścia po całą dzielnicę. Drogę od sygnału do statystyki opisuje strona dostarczanych danych.

Kto zatwierdził metodę i co zbadał?

Zatwierdzenie wydał IMY, szwedzki organ ochrony danych (Integritetsskyddsmyndigheten, dawniej Datainspektionen), organ nadzorczy w Szwecji. IMY zbadał samą metodę pomiaru ruchu pieszego Wi-Fi: co jest zbierane, co jest nieodwracalnie usuwane i co pozostaje. Wniosek z tej weryfikacji: wynikiem są anonimowe, zagregowane statystyki, które nie są danymi osobowymi.

Zatwierdzenie obejmuje metodę pomiaru ruchu pieszego Wi-Fi. Wyznaczyło też standard inżynieryjny dla wszystkiego, co zbudowaliśmy od tego czasu: czujnik 3D, LiDAR, kamera AI i pomiar komórkowy są projektowane według tej samej zasady privacy by design i dostarczają ten sam anonimowy wynik. Ponieważ RODO to jedno rozporządzenie w całej UE i EOG, pytanie, na które odpowiedział IMY, jest tym, od którego zaczyna się ocena w dowolnym państwie członkowskim. W Polsce nadzór nad tym samym rozporządzeniem sprawuje UODO. To, co odróżnia metodę zweryfikowaną przez regulatora od własnej plakietki dostawcy „zgodny z RODO”, omawia strona Zgodność z RODO a zatwierdzenie przez organ.

Co zatwierdzenie zmienia w naszej ocenie zgodności?

Zmienia punkt wyjścia. O wyniku oceny rozstrzyga pytanie, czy metoda wytwarza dane osobowe, a IMY już je zadał i na nie odpowiedział. Ponieważ dane osobowe nigdy nie powstają, pracujesz wyłącznie na anonimowych statystykach. Metoda jest też walidowana przez środowisko akademickie, partnerów i klientów, a każde wdrożenie jest weryfikowane ręcznymi pomiarami kontrolnymi zestawianymi z naszymi własnymi danymi. DPIA dla zliczania osób zbiera pytania, które zwykle zadaje IOD, i pokazuje, gdzie znaleźć odpowiedzi.

O co pytają nas zespoły ds. zgodności?

• Co jest zbierane? Zależnie od metody: sygnały Wi-Fi emitowane przez telefony, optyczne zliczenia w punkcie albo zanonimizowane, zagregowane dane sieciowe. Zbieranie jest pasywne na każdym etapie.
• Co jest zachowywane? Wyłącznie statystyki: zliczenia, czas przebywania, przepływy i trendy. Nie jest przechowywane nic, co mogłoby kogokolwiek zidentyfikować.
• Czy kogoś da się wyłuskać z danych? Nie. Metoda jest zaprojektowana tak, aby żadnej osoby nigdy nie dało się zidentyfikować.
• Dokąd trafiają liczby? Do dashboardów i udokumentowanego API typu pull. Dane o Twoich odwiedzających należą do Ciebie.

Prywatność jest wymogiem w naszym postępowaniu zakupowym: o co pytać dostawców?

Centralne pytanie brzmi, czy metoda wytwarza dane osobowe. Poproś każdego dostawcę, by odpowiedział na piśmie, co jest zbierane, co jest zachowywane i czy kogokolwiek dałoby się wyłuskać z danych. IMY zbadał to pytanie dla metody Wi-Fi Bumbee Labs. Podmioty publiczne mogą przełożyć te same zasady na wymagania dzięki przewodnikowi zliczanie osób w zamówieniach publicznych.

Dla kogo to jest?

Sieci handlowe i galerie, węzły transportowe i lotniska, muzea, biblioteki, centra miast i reklama zewnętrzna. Podejście skaluje się od pojedynczego sklepu po całe dzielnice. Statystyki docierają tak samo w każdej skali, więc grupa z wieloma lokalizacjami ocenia metodę raz.

Czy licznik osób podlega unijnemu AI Act?

Unijny AI Act trafił na listę spraw zgodności każdej organizacji, która wdraża systemy AI w UE. Systemy kamerowe do zliczania osób, które wykorzystują wizję komputerową do klasyfikowania ludzi, mogą podlegać Załącznikowi III rozporządzenia (systemy AI wysokiego ryzyka związane z kategoryzacją biometryczną). Metody oparte na Wi-Fi i sieci komórkowej już ze względu na swoją budowę pozostają poza tym zakresem: nie przetwarzają danych biometrycznych, nie identyfikują żadnych osób, a ich wynikiem są anonimowe, zagregowane statystyki. W przeglądzie pod kątem AI Act rozróżnienie na poziomie metody jest pytaniem, które warto zadać każdemu dostawcy.

Czy to obowiązuje także na gruncie UK GDPR?

Organizacje w Wielkiej Brytanii podlegają UK GDPR (unijnemu RODO zachowanemu w prawie brytyjskim na mocy Data Protection Act 2018). Opisane na tej stronie stanowisko w sprawie zgodności obowiązuje w pełni także na gruncie UK GDPR: metoda nie wytwarza danych osobowych, nie jest przechowywane nic, co pozwalałoby kogoś zidentyfikować, a zatwierdzenie przez organ ochrony danych jest udokumentowanym dowodem, na który może się powołać Twój IOD. Brytyjscy nabywcy z handlu, transportu i sektora publicznego mogą korzystać z tych statystyk z taką samą pewnością jak ich odpowiednicy w UE.

Czy mogę przyjść na demo z pytaniami mojego IOD?

Tak. Podczas demo prostym językiem omawiamy metodę, drogę danych i dashboard. Nasza polityka prywatności opisuje, jak obchodzimy się z danymi, a studia przypadków pokazują, jak ze statystyk korzystają organizacje, które najpierw zadały te same pytania.