Conforme a LGPD vs aprovado por uma autoridade europeia de proteção de dados: o que a diferença significa na contagem de pessoas
Todo fornecedor de contagem de pessoas na Europa se descreve como conforme o GDPR. Esta página mostra o que a expressão cobre quando o próprio fornecedor faz a avaliação, o que a análise de um regulador acrescenta e como saber qual dos dois você está comprando.
Nesta página
“Conforme a LGPD” ou “conforme o GDPR” costuma ser a conclusão do próprio fornecedor, já que o GDPR, o regulamento europeu de proteção de dados, torna as organizações responsáveis pela própria conformidade. “Aprovado” significa que um regulador examinou o método. A Bumbee Labs tem o único método de contagem de pessoas da Europa aprovado por uma autoridade de proteção de dados. A IMY, a autoridade sueca de proteção de dados, concedeu a aprovação ao nosso método de contagem de pessoas por Wi-Fi.
“Conforme o GDPR” é uma autoavaliação?
Na maioria dos casos, sim. Leia qualquer site de contagem de pessoas em qualquer idioma europeu e a mesma expressão aparece: GDPR-compliant, DSGVO-konform, conforme au RGPD, RODO-compliant. Escrever isso não custa nada, e em quase todos os casos o próprio fornecedor chegou à conclusão, já que o GDPR não distribui selos para produtos. O que o fornecedor costuma querer dizer é a leitura honesta que ele faz da própria arquitetura, apoiada em uma política de privacidade e em um modelo de contrato de tratamento de dados.
Quando todos os fornecedores usam as mesmas palavras, a alegação deixa de separar uma engenharia cuidadosa de um pensamento otimista, e a sua análise de conformidade começa do zero. Alguém do seu lado precisa examinar o que o sistema coleta, guarda e poderia expor, e a autodescrição do fornecedor é apenas um dos insumos desse trabalho.
O que a análise de um regulador acrescenta?
Uma autoridade de proteção de dados é o órgão que o GDPR designa para julgar essas questões. Quando examina um método de medição, ela pergunta o que o seu encarregado (DPO) perguntaria, com mais mandato e mais profundidade: o que é coletado, o que acontece com isso, o que permanece e se algum indivíduo poderia ser identificado em alguma etapa.
A Bumbee Labs passou por esse exame e tem a aprovação da IMY, concedida depois de uma análise de como os sinais são coletados, excluídos de forma irreversível e reduzidos a estatísticas anônimas e agregadas.
Como o GDPR é um único regulamento em toda a UE e o EEE, a IMY respondeu à pergunta da qual parte um avaliador em Paris, Munique ou Milão: isto produz dados pessoais? A aprovação não encerra a sua análise, mas o seu encarregado pode verificar conclusões documentadas em vez de investigar uma alegação do zero. Para a LGPD, o ponto de partida é o mesmo: esse método não produz dados pessoais. A aprovação foi dada pela IMY, a autoridade sueca de proteção de dados, com base no GDPR, e não pela ANPD.
A aprovação cobre todos os métodos que vocês entregam?
A aprovação cobre o método de contagem de pessoas por Wi-Fi. A mesma engenharia de privacidade desde a concepção (privacy by design) está em tudo o que entregamos junto com ele, dos sensores 3D ao LiDAR e aos dados de operadoras de telefonia móvel. Quando um fornecedor diz “aprovado”, verifique qual método a análise cobriu. A pergunta 2 abaixo trata disso.
Como sei qual dos dois estou comprando?
Faça três perguntas a qualquer fornecedor, inclusive a nós, e peça as respostas por escrito:
- Por qual análise independente o método passou, e quem a fez?
- O que exatamente a análise cobriu: qual método e qual percurso dos dados?
- Que documentação o fornecedor pode entregar ao seu encarregado (DPO)?
Um fornecedor autodeclarado responde à primeira pergunta com as próprias políticas. Isso pode ser sólido, mas é um produto diferente daquele da apresentação de vendas, e a sua equipe jurídica precisa saber qual dos dois está aprovando.
A página contagem de pessoas e LGPD traz as nossas respostas completas, e o guia de RIPD reúne as perguntas que um encarregado costuma fazer, com indicações de onde está cada resposta. Se você está preparando uma licitação, licitação de contagem de pessoas mostra o que um edital pode exigir.
Quer ver como isso funcionaria no seu espaço?
Perguntas frequentes
"Conforme o GDPR" é uma certificação?
Não. O GDPR não certifica produtos por padrão. A menos que um regulador ou um organismo acreditado tenha examinado o sistema, 'conforme o GDPR' é a conclusão do fornecedor sobre o próprio produto. Ela pode estar certa, mas a expressão sozinha não mostra que alguém independente verificou.
O que exatamente foi aprovado no caso da Bumbee Labs?
A IMY, a autoridade sueca de proteção de dados, analisou o método de contagem de pessoas por Wi-Fi da Bumbee Labs: o que é coletado, o que é excluído e o que permanece. Nenhum outro método de contagem de pessoas na Europa tem essa posição. A mesma engenharia de privacidade desde a concepção (privacy by design) está em todos os métodos que entregamos junto com ele.
A aprovação de uma autoridade da UE vale em outros países?
Todos os Estados-membros aplicam o mesmo regulamento, então um avaliador em qualquer lugar da UE ou do EEE faz a mesma pergunta: isto produz dados pessoais? Um método que já respondeu a essa pergunta diante de uma autoridade de proteção de dados dá ao seu encarregado (DPO) evidência documentada para começar, onde quer que você opere.
Como a área de compras deve testar uma alegação de conformidade?
Faça as mesmas três perguntas por escrito a todos os fornecedores: por qual análise independente o seu método passou, o que exatamente ela cobriu e que evidência você pode anexar? A conformidade autodeclarada responde com documentos de política, e a conformidade analisada responde com a conclusão de um regulador.