Konsekvensbedömning (DPIA): vad dataskyddsombudet frågar om besöksräkning

I en konsekvensbedömning (DPIA) för besöksräkning går dataskyddsombudet igenom de vanliga frågorna: vad som samlas in, om besökarna ombeds göra något, vad som sparas, om någon kan pekas ut i datan, om kameror lagrar bilder och vart siffrorna tar vägen. De skriftliga svaren finns på vår GDPR-sida, dataleveranser, integritetspolicyn och i frågor och svar.

Att räkna besökare innebär att mäta människor i en fysisk miljö, och de flesta sätt att göra det rör vid något som kan vara personligt: signaler från en telefon eller bilder vid en entré. Ett dataskyddsombud (DPO) eller complianceteam frågar därför vad som samlas in, vad som sparas och om någon någonsin skulle kunna pekas ut i datan. En konsekvensbedömning (DPIA) täcker de frågorna för besöksmätning. Svaren finns punkt för punkt under vad complianceteam frågar oss; den här sidan handlar om bedömningen runt dem.

Behöver vi en konsekvensbedömning (DPIA) för besöksräkning?

Det avgör ditt eget dataskyddsombud eller din compliancefunktion, och vi gör inte den bedömningen åt dig. Vi bidrar med materialet som kortar arbetet: dokumentation som visar att metoden producerar anonym, aggregerad statistik och inga personuppgifter, samt skriftliga svar på de frågor som återstår.

Om din organisation ska göra en formell konsekvensbedömning, och vad den måste täcka, är fortfarande ditt beslut. Inget på den här sidan ersätter din egen bedömning.

Producerar metoden personuppgifter?

Nej. Metoden levererar aggregerad statistik, och bakom den finns inget lagrat register över någon individ. Besöksantal, uppehållstider, flöden, capture rate (andelen förbipasserande som går in) och trender kommer som aggregerade siffror, och alla personuppgifter raderas oåterkalleligt som en del av själva metoden.

Ändrar UK GDPR svaren?

Nej. För organisationer i Storbritannien är ramverket UK GDPR, det vill säga EU:s GDPR i den form den behölls i brittisk rätt genom Data Protection Act 2018. Samma frågor gäller, och svaren håller: metoden producerar anonym, aggregerad statistik, så inga personuppgifter omfattas av vare sig EU:s GDPR eller UK GDPR. Ett dataskyddsombud med ansvar för verksamhet i Storbritannien läser UK GDPR där den här sidan hänvisar till EU:s GDPR.

Kommer AI-förordningen upp i en konsekvensbedömning för besöksräkning?

Det kan den, och det beror på metoden. AI-förordningen är en allt vanligare punkt på compliancechecklistor. Kamerabaserade räkningssystem som klassificerar individer med datorseende kan omfattas av bilaga III, förordningens lista över AI-system med hög risk. Wi-Fi- och mobilnätsbaserade metoder faller utanför den listan, eftersom de inte hanterar några biometriska uppgifter och inte identifierar några individer. Om din bedömning behöver ta ställning till riskklassningen enligt AI-förordningen är skillnaden mellan metoderna utgångspunkten.

Var hittar ett dataskyddsombud de skriftliga svaren?

Var vi står i compliancefrågor beskrivs på GDPR-säker besöksanalys, inklusive vad det regulatoriska godkännandet betyder för en granskning. Bumbee Labs driver den enda metoden för besöksmätning i Europa som är godkänd av en dataskyddsmyndighet, så den centrala frågan om metoden producerar personuppgifter är redan ställd och besvarad av den myndigheten. Resan steg för steg från signal till statistik (insamling, anonymisering, filtrering, bearbetning och insikt) beskrivs på dataleveranser. Vår integritetspolicy säger det rakt ut: vi identifierar inte individer, och vi bygger inga profiler av människorna som räknas. Kortare svar på de vanligaste frågorna finns i frågor och svar.

Kan vårt dataskyddsombud prata direkt med Bumbee Labs?

Ja. Vi besvarar compliancefrågor direkt och skriftligt, och vi kan ordna en genomgång av metoden, dataresan och dashboarden med ditt dataskyddsombud i rummet. Dokumentationen är skriven på klarspråk. Organisationer med höga integritetskrav, som kommuner, bibliotek och knutpunkter för kollektivtrafik, ställer samma frågor till oss innan de bestämmer sig. Prata med vårt team när du är redo, och ta med ditt dataskyddsombuds frågor.