Conforme o RGPD vs aprovado por uma autoridade de proteção de dados: o que a diferença significa na contagem de pessoas
Todos os fornecedores de contagem de pessoas na Europa afirmam que a sua solução é «conforme o RGPD». Esta página explica o que a expressão abrange quando é o próprio fornecedor a avaliar-se, o que acrescenta a análise de uma autoridade e como saber qual das duas está a comprar.
Nesta página
«Conforme o RGPD» é normalmente a conclusão do próprio fornecedor, porque o RGPD torna as organizações responsáveis pela sua própria conformidade. «Aprovado» significa que uma autoridade examinou o método. A Bumbee Labs tem o único método de contagem de pessoas da Europa aprovado por uma autoridade de proteção de dados. A IMY, a autoridade sueca de proteção de dados, emitiu a aprovação para o nosso método de medição da afluência por Wi-Fi.
«Conforme o RGPD» é uma autoavaliação?
Na maior parte dos casos, sim. Abra qualquer site de contagem de pessoas, em qualquer língua europeia, e encontra a mesma expressão: conforme o RGPD, GDPR-compliant, DSGVO-konform, conforme au RGPD, RODO-compliant. Escrevê-la não custa nada, e em quase todos os casos foi o próprio fornecedor a chegar à conclusão, já que o RGPD não atribui selos a produtos. O que o fornecedor normalmente quer dizer é a sua leitura honesta da sua própria arquitetura, apoiada numa política de privacidade e num modelo de acordo de tratamento de dados.
Quando todos os fornecedores usam as mesmas palavras, a alegação deixa de distinguir uma engenharia cuidadosa de um desejo, e a sua análise de conformidade começa do zero. Alguém do seu lado tem de examinar o que o sistema recolhe, guarda e poderia expor, e a autodescrição do fornecedor é apenas um dos elementos desse trabalho.
O que acrescenta a análise de uma autoridade?
Uma autoridade de proteção de dados é o organismo que o RGPD designa para avaliar estas questões. Quando examina um método de medição, pergunta o mesmo que o seu EPD perguntaria, com mais mandato e mais profundidade: o que é recolhido, o que lhe acontece, o que fica e se alguma pessoa poderia ser identificada em alguma fase.
A Bumbee Labs passou por esse exame e tem a aprovação da IMY, emitida após uma análise da forma como os sinais são recolhidos, eliminados de forma irreversível e reduzidos a estatísticas anónimas e agregadas.
Como o RGPD é um único regulamento em toda a UE e no EEE, a IMY respondeu à pergunta de que parte um analista em Paris, Munique ou Milão: isto produz dados pessoais? Uma aprovação não encerra a sua análise, mas o seu EPD pode verificar conclusões documentadas em vez de investigar uma alegação a partir do zero.
A aprovação abrange todos os métodos que entregam?
A aprovação abrange o método de medição da afluência por Wi-Fi. A mesma engenharia de proteção de dados desde a conceção está presente em tudo o que entregamos a par dele, dos sensores 3D ao LiDAR e à análise de dados de rede móvel. Quando um fornecedor diz «aprovado», verifique que método a análise abrangeu. É isso que pergunta a questão 2, mais abaixo.
Como sei qual das duas estou a comprar?
Faça três perguntas a qualquer fornecedor, incluindo a nós, e peça as respostas por escrito:
- Que análise independente passou o método, e feita por quem?
- O que abrangeu exatamente a análise: que método e que percurso dos dados?
- Que documentação pode o fornecedor entregar ao seu EPD?
Um fornecedor autodeclarado responde à primeira pergunta com as suas próprias políticas. Isso pode ser sólido, mas é um produto diferente daquele que aparece na apresentação comercial, e a sua equipa jurídica deve saber qual dos dois está a aprovar.
A página contagem de pessoas e RGPD apresenta as nossas respostas completas, e o guia de AIPD reúne as perguntas que um EPD costuma fazer, com indicação de onde está cada resposta. Se está a preparar um caderno de encargos, a página contratação pública de contagem de pessoas mostra o que um concurso pode exigir.
Quer ver como seria no seu espaço?
Perguntas frequentes
«Conforme o RGPD» é uma certificação?
Não. Por norma, o RGPD não certifica produtos. A menos que uma autoridade de controlo ou um organismo acreditado tenha examinado um sistema, «conforme o RGPD» é a conclusão do próprio fornecedor sobre o seu próprio produto. Pode estar certa, mas a expressão, por si só, não mostra que alguém independente tenha verificado.
O que foi exatamente aprovado no caso da Bumbee Labs?
A IMY, a autoridade sueca de proteção de dados, analisou o método de medição da afluência por Wi-Fi da Bumbee Labs: o que é recolhido, o que é eliminado e o que fica. Nenhum outro método de medição da afluência na Europa tem esse estatuto. A mesma engenharia de proteção de dados desde a conceção está presente em todos os métodos que entregamos a par dele.
A aprovação de uma autoridade da UE conta noutros países?
Todos os Estados-Membros aplicam o mesmo regulamento, por isso um analista em qualquer ponto da UE ou do EEE pergunta o mesmo: isto produz dados pessoais? Um método que já respondeu a essa pergunta perante uma autoridade de proteção de dados dá ao seu encarregado de proteção de dados (EPD) prova documentada de onde partir, seja qual for o país onde opera.
Como deve a contratação pôr à prova uma alegação de conformidade?
Faça a todos os fornecedores as mesmas três perguntas, por escrito: que análise independente passou o vosso método, o que abrangeu exatamente e que provas podem anexar? A conformidade autodeclarada responde com documentos de política; a conformidade analisada responde com a conclusão de uma autoridade.