Contagem de pessoas e LGPD: análise de fluxo de pessoas sem dados pessoais

A Bumbee Labs opera o único método de contagem de pessoas da Europa aprovado por uma autoridade de proteção de dados. A IMY, a autoridade sueca de proteção de dados, examinou o método por Wi-Fi e concluiu que o que ele entrega são estatísticas, anônimas e agregadas. Os dados pessoais são excluídos de forma irreversível na origem, e ninguém pode ser identificado a partir dos números. Para a LGPD, o ponto de partida é o mesmo: o método não produz dados pessoais. A aprovação foi dada pela IMY, com base no GDPR, e não pela ANPD.

Contar visitantes significa medir pessoas num espaço físico, e a maioria das formas de fazer isso toca em algo pessoal: sinais de um celular ou imagens numa porta. A equipe de conformidade tem razão em perguntar o que é coletado, o que é guardado e se alguém poderia ser identificado nos dados. Um fornecedor de análise de fluxo de pessoas em conformidade com o GDPR deve conseguir responder a essas perguntas por escrito.

Em resumo

• A IMY, a autoridade sueca de proteção da privacidade, examinou e aprovou o método de contagem por Wi-Fi da Bumbee Labs.
• Todos os dados pessoais são excluídos de forma irreversível. Restam apenas estatísticas anônimas e agregadas.
• Os métodos por sensor 3D, LiDAR, câmera de IA e dados de operadoras móveis seguem o mesmo princípio de privacidade desde a concepção. A aprovação em si abrange o método por Wi-Fi.
• A mesma posição vale sob o UK GDPR, e a distinção no nível do método é a pergunta a fazer a qualquer fornecedor numa análise do Regulamento europeu de IA (AI Act).
• As estatísticas chegam por painéis e por uma API documentada, e os dados de visitantes são seus.

Por que a medição do fluxo de pessoas levanta questões de GDPR?

Pelo GDPR, o regulamento europeu de proteção de dados, tudo o que puder identificar uma pessoa é dado pessoal (artigo 4(1) e considerando 26), e identificadores e gravações armazenadas são exatamente o material que o regulamento abrange. A equipe de conformidade deve ter respostas diretas e por escrito antes de a contagem começar.

Como um contador de pessoas em conformidade com o GDPR trata os dados pessoais?

A Bumbee Labs conta com contagem de pessoas por Wi-Fi, sensores ópticos 3D, dados de operadoras de telefonia móvel ou uma combinação deles, e o mesmo desenho de privacidade vale para todos os métodos. A medição é passiva: nada é instalado no celular e nada é pedido ao visitante. Todos os dados pessoais são excluídos de forma irreversível e nunca armazenados, nem mesmo em forma de hash. Restam apenas estatísticas anônimas e agregadas, e nenhuma pessoa pode ser identificada. Instalações de câmera e sensores processam vídeo apenas para análise e não armazenam imagens pessoais. É essa a abordagem por trás da contagem por câmera atenta ao GDPR. A análise de dados de operadoras móveis trabalha com dados de rede anonimizados e agregados, sem rastreamento no nível do aparelho.

O que chega até você são estatísticas: contagens de visitantes, tempos de permanência, fluxos, capture rate (taxa de captação) e tendências. O resultado é um monitoramento de fluxo de pessoas em conformidade com o GDPR: contagem anônima de pessoas em qualquer escala, de uma única porta a um bairro inteiro. Em dados entregues você vê o caminho do sinal até a estatística.

Quem aprovou, e o que foi examinado?

A aprovação foi emitida pela IMY, a autoridade sueca de proteção da privacidade (Integritetsskyddsmyndigheten, antiga Datainspektionen), a autoridade de controle da Suécia. A IMY examinou o próprio método de contagem por Wi-Fi: o que é coletado, o que é excluído de forma irreversível e o que resta. A análise concluiu que o resultado são estatísticas anônimas e agregadas, que não são dados pessoais.

A aprovação abrange o método de contagem por Wi-Fi. Ela também definiu o padrão de engenharia de tudo o que construímos depois: as medições por sensor 3D, LiDAR, câmera de IA e dados de operadoras móveis seguem o mesmo princípio de privacidade desde a concepção e entregam o mesmo resultado anônimo. Como o GDPR é um único regulamento em toda a UE e no EEE, a pergunta que a IMY respondeu é a mesma da qual parte um avaliador em qualquer Estado-membro. A autoridade nacional de cada Estado-membro fiscaliza a mesma lei. O que separa um método examinado por uma autoridade de um selo “em conformidade com o GDPR” dado pelo próprio fornecedor está explicado em em conformidade vs aprovado.

O que a aprovação muda na nossa análise de conformidade?

Ela muda o ponto de partida. A pergunta que decide uma análise é se o método produz dados pessoais, e a IMY já fez essa pergunta e respondeu a ela. Como nenhum dado pessoal é produzido em momento algum, você trabalha apenas com estatísticas anônimas. O método também é validado pela academia, por parceiros e por clientes, e cada instalação é verificada com medições manuais de controle comparadas com os nossos próprios dados. O guia de RIPD para contagem de pessoas reúne as perguntas que um encarregado (DPO) costuma fazer e mostra onde estão as respostas.

O que as equipes de conformidade nos perguntam?

• O que é coletado? Sinais de Wi-Fi que os celulares emitem, contagens ópticas num ponto ou dados de rede anonimizados e agregados, conforme o método. A coleta é sempre passiva.
• O que é guardado? Apenas estatísticas: contagens, permanência, fluxos e tendências. Nada que possa identificar alguém é armazenado.
• Alguém pode ser identificado nos dados? Não. O método foi desenhado para que nenhuma pessoa possa ser identificada em momento algum.
• Para onde vão os números? Para painéis e para uma API documentada, baseada em consulta (pull). Os dados de visitantes são seus.

A privacidade é um requisito na nossa contratação: o que devemos perguntar aos fornecedores?

A pergunta central é se o método produz dados pessoais. Peça a cada fornecedor que responda por escrito o que é coletado, o que é guardado e se alguém poderia ser identificado. A IMY examinou essa pergunta para o método por Wi-Fi da Bumbee Labs. Órgãos públicos podem transformar os mesmos princípios em requisitos com o guia de licitação de contagem de pessoas.

Para quem é?

Varejistas e shopping centers, terminais de transporte e aeroportos, museus, bibliotecas, centros urbanos e mídia exterior. A abordagem vai de uma única loja a bairros inteiros. As estatísticas chegam da mesma forma em qualquer escala, então um grupo com muitas unidades avalia o método uma única vez.

Um contador de pessoas está sujeito ao Regulamento europeu de IA?

O Regulamento europeu de IA (AI Act) está na pauta de conformidade de quem implanta sistemas de IA na UE. Sistemas de contagem de pessoas por câmera que usam visão computacional para classificar indivíduos podem se enquadrar no Anexo III do regulamento (sistemas de IA de alto risco relacionados à categorização biométrica). Os métodos baseados em Wi-Fi e em dados de operadoras móveis ficam fora desse escopo pela forma como são construídos: não tratam dados biométricos, não identificam pessoas, e o resultado são estatísticas anônimas e agregadas. Numa análise do AI Act, a distinção no nível do método é a pergunta a fazer a qualquer fornecedor.

Isso vale sob o UK GDPR?

Organizações no Reino Unido atuam sob o UK GDPR (o GDPR da UE mantido pelo Data Protection Act 2018). A posição de conformidade descrita nesta página vale integralmente sob o UK GDPR: o método não produz dados pessoais, nada identificável é armazenado, e a aprovação da autoridade de proteção de dados é uma evidência documentada que o seu encarregado de proteção de dados (DPO) pode citar. Compradores britânicos no varejo, no transporte e no setor público podem usar essas estatísticas de visitantes com a mesma confiança que seus pares na UE.

Posso levar as perguntas do meu encarregado (DPO) para uma demonstração?

Sim. Uma demonstração percorre o método, o caminho dos dados e o painel em linguagem simples. Nossa política de privacidade explica como tratamos os dados, e os casos de sucesso mostram como organizações que fizeram as mesmas perguntas antes usam as estatísticas.