Contagem de pessoas e RGPD

A Bumbee Labs utiliza o único método de contagem de pessoas da Europa aprovado por uma autoridade de proteção de dados. A IMY, a autoridade sueca de proteção de dados, examinou o método Wi-Fi e concluiu que o que ele entrega são estatísticas anónimas e agregadas. Os dados pessoais são eliminados de forma irreversível na origem, por isso ninguém pode ser identificado a partir dos números.

Contar visitantes significa medir pessoas num espaço físico, e a maioria das formas de o fazer toca em algo pessoal: sinais de um telemóvel ou imagens à porta. A equipa de conformidade tem razão em perguntar o que é recolhido, o que é guardado e se alguém poderia ser distinguido nos dados. Um fornecedor de análise de afluência em conformidade com o RGPD deve conseguir responder a estas perguntas por escrito.

Em resumo

• A IMY, a autoridade sueca de proteção de dados, analisou e aprovou o método de medição da afluência por Wi-Fi da Bumbee Labs.
• Todos os dados pessoais são eliminados de forma irreversível. Ficam apenas estatísticas anónimas e agregadas.
• Os métodos com sensor 3D, LiDAR, câmara com IA e dados de rede móvel seguem o mesmo princípio de proteção de dados desde a conceção. A aprovação em si abrange o método Wi-Fi.
• A mesma posição aplica-se ao abrigo do UK GDPR, e numa análise ao abrigo do Regulamento da IA a distinção ao nível do método é a pergunta a fazer a qualquer fornecedor.
• As estatísticas chegam através de painéis e de uma API documentada, e os dados dos visitantes são seus.

Porque é que a medição da afluência levanta questões de RGPD?

Ao abrigo do RGPD, tudo o que possa identificar uma pessoa são dados pessoais (artigo 4.º, n.º 1, e considerando 26), e identificadores e gravações guardadas são precisamente o material que o regulamento abrange. A equipa de conformidade deve ter respostas diretas e por escrito antes de a contagem começar.

Como trata um contador de pessoas conforme o RGPD os dados pessoais?

A Bumbee Labs conta com contagem de pessoas por Wi-Fi, sensores óticos 3D, dados de rede móvel ou uma combinação híbrida destes, e o mesmo desenho de privacidade aplica-se a todos os métodos. A medição é passiva: nada é instalado no telemóvel e nada é pedido ao visitante. Todos os dados pessoais são eliminados de forma irreversível e nunca são guardados, nem sequer em formato hash. Ficam apenas estatísticas anónimas e agregadas, e nenhuma pessoa pode ser identificada. As instalações com câmaras e sensores processam vídeo apenas para análise e não guardam imagens pessoais. É essa a abordagem da contagem com câmaras atenta ao RGPD. A análise de dados de rede móvel trabalha com dados de rede anonimizados e agregados, sem rastreamento ao nível do dispositivo.

O que lhe chega são estatísticas: contagens de visitantes, tempos de permanência, fluxos, capture rate (taxa de captação) e tendências. O resultado é uma monitorização de fluxos de pessoas conforme o RGPD: contagem anónima de pessoas a qualquer escala, de uma única porta a um bairro inteiro. A página dados de afluência descreve o percurso do sinal até à estatística.

Quem o aprovou e o que analisou?

A aprovação foi emitida pela IMY, a autoridade sueca de proteção de dados (Integritetsskyddsmyndigheten, antiga Datainspektionen), a autoridade de controlo na Suécia. A IMY examinou o próprio método de medição da afluência por Wi-Fi: o que é recolhido, o que é eliminado de forma irreversível e o que fica. A análise concluiu que o resultado são estatísticas anónimas e agregadas, que não são dados pessoais.

A aprovação abrange o método de medição da afluência por Wi-Fi. Definiu também o padrão técnico para tudo o que construímos desde então: a medição com sensor 3D, LiDAR, câmara com IA e dados de rede móvel segue o mesmo princípio de proteção de dados desde a conceção e entrega o mesmo resultado anónimo. Como o RGPD é um único regulamento em toda a UE e no EEE, a questão a que a IMY respondeu é aquela de que parte um analista em qualquer Estado-Membro. A autoridade do seu país (em Portugal, a CNPD) supervisiona o mesmo regulamento. O que distingue um método analisado por uma autoridade de um selo «conforme o RGPD» atribuído pelo próprio fornecedor é explicado em conforme o RGPD vs aprovado.

O que muda a aprovação na nossa análise de conformidade?

Muda o ponto de partida. A pergunta que decide uma análise é se o método produz dados pessoais, e a IMY já a fez e respondeu. Como nunca são produzidos dados pessoais, trabalha apenas com estatísticas anónimas. O método está também validado pela academia, por parceiros e por clientes, e cada instalação é verificada com contagens manuais de controlo comparadas com os nossos próprios dados. A página AIPD para a contagem de pessoas reúne as perguntas que um encarregado de proteção de dados (EPD) costuma fazer e mostra onde estão as respostas.

O que nos perguntam as equipas de conformidade?

• O que é recolhido? Sinais Wi-Fi emitidos pelos telemóveis, contagens óticas num ponto ou dados de rede anonimizados e agregados, consoante o método. A recolha é sempre passiva.
• O que é guardado? Apenas estatísticas: contagens, tempo de permanência, fluxos e tendências. Nada que possa identificar alguém é guardado.
• É possível distinguir alguém nos dados? Não. O método foi concebido para que nenhuma pessoa possa alguma vez ser identificada.
• Para onde vão os números? Para painéis e para uma API documentada, baseada em pedidos (pull). Os dados dos seus visitantes são seus.

A privacidade é um requisito na nossa contratação: o que devemos perguntar aos fornecedores?

A pergunta central é se o método produz dados pessoais. Peça a cada fornecedor que responda por escrito o que é recolhido, o que é guardado e se alguém poderia ser distinguido. A IMY examinou essa questão para o método Wi-Fi da Bumbee Labs. As entidades públicas podem transformar os mesmos princípios em requisitos com a contratação pública de contagem de pessoas.

A quem se destina?

Lojas e centros comerciais, interfaces de transportes e aeroportos, museus, bibliotecas, centros de cidade e publicidade exterior. A abordagem vai de uma única loja a bairros inteiros. As estatísticas chegam da mesma forma a qualquer escala, por isso um grupo com muitos espaços analisa o método uma única vez.

Um contador de pessoas está abrangido pelo Regulamento da IA?

O Regulamento da IA da UE está na agenda de conformidade de quem implementa sistemas de IA na UE. Os sistemas de contagem de pessoas com câmaras que usam visão computacional para classificar pessoas podem ser abrangidos pelo anexo III do regulamento (sistemas de IA de risco elevado relacionados com a categorização biométrica). Os métodos baseados em Wi-Fi e em dados de rede móvel ficam fora desse âmbito pela forma como são construídos: não tratam dados biométricos, não identificam pessoas e o resultado são estatísticas anónimas e agregadas. Numa análise ao abrigo do Regulamento da IA, a distinção ao nível do método é a pergunta a fazer a qualquer fornecedor.

Aplica-se ao abrigo do UK GDPR?

As organizações no Reino Unido estão sujeitas ao UK GDPR (o RGPD da UE mantido em vigor ao abrigo do Data Protection Act 2018). A posição de conformidade descrita nesta página aplica-se integralmente ao abrigo do UK GDPR: o método não produz dados pessoais, nada identificável é guardado e a aprovação da autoridade constitui prova documentada que o seu encarregado de proteção de dados pode citar. Os compradores britânicos no retalho, nos transportes e no setor público podem usar estas estatísticas de visitantes com a mesma confiança que os seus homólogos na UE.

Posso levar as perguntas do meu EPD a uma demonstração?

Sim. Uma demonstração percorre o método, o percurso dos dados e o painel em linguagem simples. A nossa política de privacidade explica como tratamos os dados, e os casos de estudo mostram como usam as estatísticas organizações que, antes de começar, fizeram as mesmas perguntas.