Ocena skutków dla ochrony danych (DPIA): o co Twój IOD zapyta przy zliczaniu osób
Pomiar odwiedzających rodzi pytania o ochronę danych. Poniżej są te, które inspektor ochrony danych lub zespół ds. zgodności zwykle zadaje, i miejsca, gdzie znajdziesz pisemne odpowiedzi. Ta strona ma charakter orientacyjny i nie jest poradą prawną.
Na tej stronie
W ocenie skutków dla ochrony danych (DPIA) przy zliczaniu osób IOD zadaje typowe pytania: co jest zbierane, czy od odwiedzających czegoś się wymaga, co jest zachowywane, czy kogokolwiek da się wyłuskać z danych, czy kamery zapisują obrazy i dokąd trafiają liczby. Pisemne odpowiedzi są na naszej stronie o RODO, stronie dostarczanych danych, w polityce prywatności i FAQ.
Liczenie odwiedzających oznacza mierzenie ludzi w fizycznej przestrzeni, a większość sposobów robienia tego dotyka czegoś, co mogłoby być osobiste: sygnałów z telefonu albo obrazów przy drzwiach. Inspektor ochrony danych (IOD) lub zespół ds. zgodności pyta więc, co jest zbierane, co jest zachowywane i czy kogokolwiek dałoby się kiedykolwiek wyłuskać z danych. DPIA, czyli ocena skutków dla ochrony danych, obejmuje te pytania w odniesieniu do pomiaru odwiedzających. Odpowiedzi punkt po punkcie są rozpisane w sekcji o co pytają nas zespoły ds. zgodności; ta strona dotyczy oceny, w której te pytania się pojawiają.
Czy potrzebujemy oceny skutków dla ochrony danych (DPIA) przy zliczaniu osób?
Tę decyzję podejmuje Twój własny IOD lub funkcja zgodności, a my nie robimy tego za Ciebie. Dostarczamy materiał, który skraca pracę: dokumentację pokazującą, że metoda wytwarza anonimowe, zagregowane statystyki i żadnych danych osobowych, oraz pisemne odpowiedzi na pytania, które jeszcze pozostają.
To, czy Twoja organizacja przeprowadza formalną ocenę skutków i co musi ona objąć, pozostaje Twoją decyzją. Nic na tej stronie nie zastępuje Twojej własnej oceny.
Czy metoda wytwarza dane osobowe?
Nie. Metoda dostarcza zagregowane statystyki i nie stoi za nimi żaden przechowywany zapis o jakiejkolwiek osobie. Liczba odwiedzających, czasy przebywania, przepływy, współczynniki wejść i trendy przychodzą jako zagregowane wartości, a wszystkie dane osobowe są nieodwracalnie usuwane w ramach samej metody.
Czy UK GDPR zmienia odpowiedzi?
Nie. Dla organizacji z siedzibą w Wielkiej Brytanii właściwą podstawą jest UK GDPR, czyli unijne RODO zachowane w prawie brytyjskim na mocy Data Protection Act 2018. Pytania są te same i te same odpowiedzi pozostają aktualne: metoda wytwarza anonimowe, zagregowane statystyki, więc żadne dane osobowe nie wchodzą w zakres ani unijnego RODO, ani UK GDPR. IOD odpowiedzialny za działalność w Wielkiej Brytanii czyta UK GDPR wszędzie tam, gdzie ta strona odwołuje się do unijnego RODO.
Czy unijny AI Act pojawia się w DPIA dla zliczania osób?
Może, a zależy to od metody. Unijny AI Act coraz częściej trafia na listy kontrolne zgodności. Systemy kamerowe do zliczania osób, które wykorzystują wizję komputerową do klasyfikowania ludzi, mogą podlegać Załącznikowi III, czyli zawartej w tym rozporządzeniu liście systemów AI wysokiego ryzyka. Metody oparte na Wi-Fi i sieci komórkowej pozostają poza tym zakresem, bo nie przetwarzają danych biometrycznych i nie identyfikują żadnych osób. Jeśli Twoja ocena musi odnieść się do klasyfikacji ryzyka według AI Act, punktem wyjścia jest rozróżnienie na poziomie metody.
Gdzie IOD znajdzie pisemne odpowiedzi?
Stanowisko w kwestii zgodności opisuje strona analityka odwiedzających zgodna z RODO, wraz z tym, co regulacyjne zatwierdzenie oznacza dla oceny. Bumbee Labs stosuje jedyną metodę pomiaru ruchu pieszego w Europie zatwierdzoną przez organ ochrony danych, więc zasadnicze pytanie, czy metoda wytwarza dane osobowe, zostało już zadane i rozstrzygnięte przez ten organ. Droga od sygnału do statystyki, krok po kroku (zbieranie, anonimizacja, filtrowanie, przetwarzanie i wnioski), jest opisana na stronie dostarczanych danych. Nasza polityka prywatności stawia sprawę wprost: nie identyfikujemy osób i nie budujemy profili ludzi, których zliczamy. Krótsze odpowiedzi na najczęstsze pytania znajdziesz w FAQ.
Czy nasz IOD może rozmawiać bezpośrednio z Bumbee Labs?
Tak. Na pytania o zgodność odpowiadamy bezpośrednio i na piśmie, a prezentację metody, drogi danych i dashboardu możemy zorganizować z udziałem Twojego IOD. Dokumentacja jest napisana prostym językiem. Organizacje z wysoko zawieszoną poprzeczką prywatności, takie jak gminy, biblioteki i węzły transportowe, zadają nam te same pytania, zanim się zdecydują. Gdy będziesz gotowy, porozmawiaj z naszym zespołem i przyjdź z pytaniami swojego IOD.
Ciekawi Cię, jak to wygląda dla Twojego obiektu?
Często zadawane pytania
Kto decyduje, czy DPIA dla zliczania osób jest potrzebna?
Ta ocena należy do Twojego własnego IOD lub funkcji zgodności i nie podejmiemy jej za Ciebie. Zapewniamy materiał, który przyspiesza ocenę: dokumentację pokazującą, że metoda wytwarza anonimowe, zagregowane statystyki i żadnych danych osobowych, oraz bezpośrednie odpowiedzi na wszystkie pozostałe pytania.
Jaką dokumentację możemy przekazać naszemu IOD?
Zacznij od strony o RODO, polityki prywatności i opisanej krok po kroku drogi danych na stronie dostarczanych danych. Na dalsze pytania o zgodność nasz zespół odpowiada bezpośrednio i na piśmie, a prezentację możemy zorganizować z udziałem Twojego IOD.