GDPR-förenlig vs godkänd av en myndighet: vad skillnaden betyder för besöksräkning
Varje leverantör av besöksmätning i Europa beskriver sig själv som GDPR-förenlig. Den här sidan går igenom vad frasen täcker när leverantören bedömer sig själv, vad en myndighets granskning tillför, och hur du ser vilken av de två du köper.
På den här sidan
“GDPR-förenlig” är normalt leverantörens egen slutsats, eftersom GDPR gör organisationer ansvariga för sin egen efterlevnad. “Godkänd” betyder att en myndighet har granskat metoden. Bumbee Labs har den enda metoden för besöksmätning i Europa som är godkänd av en dataskyddsmyndighet. IMY, Integritetsskyddsmyndigheten, utfärdade godkännandet för vår metod för besöksmätning via Wi-Fi.
Är “GDPR-förenlig” en självbedömning?
Oftast, ja. Läs vilken sajt om besöksmätning som helst på vilket europeiskt språk som helst och samma fras dyker upp: GDPR-compliant, DSGVO-konform, conforme au RGPD, RODO-compliant. Frasen kostar ingenting att skriva, och i nästan alla fall har leverantören dragit slutsatsen själv, eftersom GDPR inte delar ut produktmärken. Det leverantören oftast menar är sin ärliga tolkning av sin egen arkitektur, med en integritetspolicy och en mall för personuppgiftsbiträdesavtal som stöd.
När varje leverantör använder samma ord skiljer påståendet inte längre noggrann teknik från önsketänkande, så er granskning av regelefterlevnaden börjar från noll. Någon på er sida måste undersöka vad systemet samlar in, sparar och skulle kunna exponera, och leverantörens egen beskrivning är ett underlag till det arbetet.
Vad tillför en myndighets granskning?
En dataskyddsmyndighet är det organ GDPR utser att bedöma de här frågorna. När den granskar en mätmetod frågar den det ert dataskyddsombud skulle fråga, med mer mandat och mer djup: vad som samlas in, vad som händer med det, vad som återstår, och om någon individ skulle kunna identifieras i något steg.
Bumbee Labs gick igenom den granskningen och har godkännandet från IMY, utfärdat efter en granskning av hur signaler samlas in, raderas oåterkalleligt och reduceras till anonym, aggregerad statistik.
Eftersom GDPR är en och samma förordning inom EU och EES besvarade IMY den fråga en granskare i Paris, München eller Milano utgår från: producerar det här personuppgifter? Ett godkännande avslutar inte er granskning, men ert dataskyddsombud kan verifiera dokumenterade fynd i stället för att utreda ett påstående från grunden.
Täcker godkännandet alla metoder ni levererar?
Godkännandet gäller metoden för besöksmätning via Wi-Fi. Samma inbyggda dataskydd ligger till grund för allt vi levererar vid sidan av den, från 3D-sensorer till LiDAR och mobilnätsanalys. När en leverantör säger “godkänd”, kontrollera vilken metod granskningen gällde. Fråga 2 nedan handlar om just det.
Hur ser jag vilken av de två jag köper?
Ställ tre frågor till vilken leverantör som helst, oss inräknat, och be om svaren skriftligt:
- Vilken oberoende granskning har metoden klarat, och av vem?
- Vad täckte granskningen exakt: vilken metod och vilken dataresa?
- Vilken dokumentation kan leverantören ge ert dataskyddsombud?
En självdeklarerad leverantör besvarar den första frågan med sina egna policyer. Det kan vara väl underbyggt, men det är en annan produkt än den i säljpresentationen, och er juridiska avdelning bör veta vilken av de två den skriver under på.
Sidan GDPR-säker besöksanalys går igenom våra svar i sin helhet, och DPIA-guiden samlar frågorna ett dataskyddsombud brukar ställa med hänvisningar till var varje svar finns. Om ni skriver en upphandling visar upphandling av besöksmätning vad ett förfrågningsunderlag kan ställa krav på.
Nyfiken på hur det skulle se ut för din plats?
Vanliga frågor
Är "GDPR-förenlig" en certifiering?
Nej. GDPR certifierar inte produkter som standard. Om inte en myndighet eller ett ackrediterat organ har granskat ett system är 'GDPR-förenlig' leverantörens egen slutsats om sin egen produkt. Den kan stämma, men frasen i sig visar inte att någon oberoende har kontrollerat det.
Vad exakt godkändes i Bumbee Labs fall?
IMY, Integritetsskyddsmyndigheten, granskade Bumbee Labs metod för besöksmätning via Wi-Fi: vad som samlas in, vad som raderas och vad som återstår. Ingen annan metod för besöksmätning i Europa har den ställningen. Samma inbyggda dataskydd bär upp varje metod vi levererar vid sidan av den.
Spelar ett godkännande från en EU-myndighet roll i andra länder?
Varje medlemsland tillämpar samma förordning, så en granskare var som helst inom EU eller EES ställer samma fråga: producerar det här personuppgifter? En metod som har besvarat den inför en dataskyddsmyndighet ger ert dataskyddsombud dokumenterade bevis att utgå ifrån, oavsett var ni verkar.
Hur ska upphandlingen testa ett påstående om regelefterlevnad?
Ställ samma tre frågor skriftligt till varje leverantör: vilken oberoende granskning har metoden klarat, vad täckte den exakt, och vilken dokumentation kan ni bifoga? Självdeklarerad efterlevnad svarar med policydokument, granskad efterlevnad med en myndighets slutsats.