Zgodność z RODO a zatwierdzenie przez organ: co ta różnica oznacza dla zliczania osób
Każdy dostawca zliczania osób w Europie opisuje siebie jako zgodnego z RODO. Ta strona wyjaśnia, co to sformułowanie obejmuje, gdy dostawca ocenia się sam, co dodaje weryfikacja regulatora i jak rozpoznać, którą z tych dwóch rzeczy kupujesz.
Na tej stronie
„Zgodny z RODO” to zwykle własny wniosek dostawcy, bo RODO czyni organizacje odpowiedzialnymi za własną zgodność. „Zatwierdzony” oznacza, że metodę zbadał regulator. Bumbee Labs dysponuje jedyną metodą pomiaru ruchu pieszego w Europie zatwierdzoną przez organ ochrony danych. Zatwierdzenie dla naszej metody pomiaru ruchu pieszego przez Wi-Fi wydał IMY, szwedzki organ ochrony danych.
Czy „zgodność z RODO” to samoocena?
W większości przypadków tak. Otwórz dowolną stronę o zliczaniu osób w dowolnym europejskim języku, a pojawi się to samo sformułowanie: zgodny z RODO, GDPR-compliant, DSGVO-konform, conforme au RGPD. Napisanie go nic nie kosztuje, a w niemal każdym przypadku do tego wniosku doszedł sam dostawca, bo RODO nie rozdaje plakietek produktowych. Dostawca ma zwykle na myśli swoją uczciwą ocenę własnej architektury, popartą polityką prywatności i wzorem umowy powierzenia przetwarzania danych.
Gdy każdy dostawca używa tych samych słów, deklaracja przestaje odróżniać staranną inżynierię od pobożnych życzeń, więc Twoja weryfikacja zgodności zaczyna się od zera. Ktoś po Twojej stronie musi zbadać, co system zbiera, przechowuje i mógłby ujawnić, a opis przygotowany przez dostawcę jest jednym z materiałów wejściowych do tej pracy.
Co dodaje weryfikacja regulatora?
Organ ochrony danych to instytucja, którą RODO wyznacza do oceny tych pytań. Gdy bada metodę pomiarową, pyta o to samo, o co zapytałby Twój IOD, tylko z większym mandatem i głębiej: co jest zbierane, co się z tym dzieje, co pozostaje i czy jakąkolwiek osobę dałoby się zidentyfikować na którymkolwiek etapie.
Bumbee Labs przeszło przez tę weryfikację i ma zatwierdzenie IMY, wydane po zbadaniu, jak sygnały są zbierane, nieodwracalnie usuwane i redukowane do anonimowych, zagregowanych statystyk.
Ponieważ RODO to jedno rozporządzenie w całej UE i EOG, IMY odpowiedział na pytanie, od którego zaczyna kontroler w Paryżu, Monachium czy Mediolanie: czy to wytwarza dane osobowe? Zatwierdzenie nie kończy Twojej weryfikacji, ale Twój IOD może sprawdzić udokumentowane ustalenia, zamiast badać deklarację od podstaw.
Czy zatwierdzenie obejmuje każdą metodę, którą dostarczacie?
Zatwierdzenie obejmuje metodę pomiaru ruchu pieszego przez Wi-Fi. To samo podejście privacy by design stosujemy we wszystkim, co dostarczamy obok niej, od czujników 3D po LiDAR i analitykę sieci komórkowej. Gdy dostawca mówi „zatwierdzona”, sprawdź, którą metodę obejmowała weryfikacja; to pytanie 2 poniżej.
Jak rozpoznać, co faktycznie kupuję?
Zadaj trzy pytania każdemu dostawcy, także nam, i poproś o odpowiedzi na piśmie:
- Jaką niezależną weryfikację przeszła metoda i kto ją przeprowadził?
- Co dokładnie obejmowała weryfikacja: którą metodę i którą drogę danych?
- Jaką dokumentację dostawca może przekazać Twojemu IOD?
Dostawca, który sam deklaruje zgodność, odpowiada na pierwsze pytanie własnymi politykami. To może być solidne, ale to inny produkt niż ten z prezentacji sprzedażowej, a Twój dział prawny powinien wiedzieć, który z nich podpisuje.
Strona Analityka odwiedzających zgodna z RODO szczegółowo omawia nasze odpowiedzi, a przewodnik po DPIA zbiera pytania, które zwykle zadaje IOD, ze wskazówkami, gdzie znajduje się każda odpowiedź. Jeśli przygotowujesz przetarg, strona o zamówieniach publicznych na zliczanie osób pokazuje, czego można wymagać w przetargu.
Ciekawi Cię, jak to wygląda dla Twojego obiektu?
Często zadawane pytania
Czy „zgodność z RODO” to certyfikat?
Nie. RODO domyślnie nie certyfikuje produktów. Dopóki regulator lub akredytowana jednostka nie zbada systemu, „zgodność z RODO” jest własnym wnioskiem dostawcy o jego własnym produkcie. Może być poprawny, ale samo sformułowanie nie pokazuje, że ktoś niezależny to sprawdził.
Co dokładnie zostało zatwierdzone w przypadku Bumbee Labs?
IMY, szwedzki organ ochrony danych, zbadał metodę pomiaru ruchu pieszego Wi-Fi firmy Bumbee Labs: co jest zbierane, co jest usuwane i co pozostaje. Żadna inna metoda pomiaru ruchu pieszego w Europie nie ma takiego statusu. To samo podejście privacy by design stosujemy w każdej metodzie, którą dostarczamy obok niej.
Czy zatwierdzenie jednego organu UE ma znaczenie w innych krajach?
Każde państwo członkowskie stosuje to samo rozporządzenie, więc kontroler w dowolnym miejscu UE lub EOG zadaje to samo pytanie: czy to wytwarza dane osobowe? Metoda, która odpowiedziała na nie przed organem ochrony danych, daje Twojemu IOD udokumentowany punkt wyjścia, niezależnie od tego, gdzie działasz.
Jak dział zakupów powinien sprawdzać deklarację zgodności?
Zadaj każdemu dostawcy te same trzy pytania, na piśmie: jaką niezależną weryfikację przeszła Twoja metoda, co dokładnie ona obejmowała i jaką dokumentację możesz załączyć? Przy zgodności deklarowanej samodzielnie odpowiedzią są dokumenty polityk, a przy zgodności zweryfikowanej ustalenie regulatora.