Besöksräkning i Frankrike: att mäta inom CNIL-ramverket

CNIL, den franska dataskyddsmyndigheten, väntar sig att besöksmätning i publikt tillgängliga miljöer vilar på anonymiserad data eller starka garantier, informerade besökare och en rättslig grund. Metoder utan personuppgifter i utdatan passar bäst. Bumbee Labs har den enda metoden för besöksmätning i Europa som är godkänd av en dataskyddsmyndighet. Godkännandet, från IMY, gäller Wi-Fi-metoden.

Vad kräver CNIL-ramverket av besöksräkning?

På andra håll härleds besöksmätning ofta ur GDPR:s allmänna principer. I Frankrike publicerar CNIL uttryckliga regler för dispositifs de mesure d’audience et de fréquentation i publikt tillgängliga miljöer: mätanordningar i köpcentrum, stationer, gågator och reklammiljöer. För en detaljhandlare, en fastighetsägare eller en stad underlättar det: frågan blir om metoden möter publicerade krav, och det går att kontrollera.

Ramverket ber om tre saker. Datan är ordentligt anonymiserad, eller behandlad under starka garantier om något identifierbart berörs på vägen. Besökare informeras om att mätning pågår. Behandlingen vilar på en solid rättslig grund. Sidan är en orientering och inte juridisk rådgivning. Ändå gäller att ju längre en metods utdata ligger från personuppgifter, desto kortare blir vart och ett av de samtalen.

Bumbee Labs utformade sin metod efter den principen från början. Mätningen är passiv och inget begärs av besökaren. Alla personuppgifter raderas oåterkalleligt och lagras aldrig, inte heller i hashad form, så bara anonym, aggregerad statistik återstår: antal, uppehållstid, flöden och trender per zon och period. Det finns inga profiler, inga resor för identifierade individer och inget som skulle kunna koppla siffrorna tillbaka till en person.

Varför spelar en granskad metod roll i Frankrike?

Vem som helst kan hävda att reglerna följs. I Frankrike, med de tydligast publicerade reglerna, bör bevisen vara starka. IMY, Integritetsskyddsmyndigheten, granskade själva Wi-Fi-metoden: vad som samlas in, vad som raderas och vad som finns kvar i utdatan. Bumbee Labs har det godkännandet. Förordningen är densamma i Stockholm och i Paris. Frågan IMY ställde (producerar det här personuppgifter?) är den som CNIL:s ramverk ställer till varje anordning som används i Frankrike, och den som ert dataskyddsombud ställer till varje leverantör. Ett självdeklarerat “conforme au RGPD” och en metod granskad av en myndighet är olika saker, vilket GDPR-förenlig vs godkänd går igenom, och skillnaden väger tyngst i Frankrike.

Vilka metoder kan kombineras i Frankrike?

I installationer som kombinerar metoder gäller samma inbyggda dataskydd för 3D-sensor, LiDAR och mobilnätsmätning, allt i en och samma plattform med den anonyma, aggregerade utdata som ramverket förespråkar.

Vad mäter franska aktörer?

Frågorna är desamma som på alla marknader, med myndighetens checklista ovanpå. Detaljhandlare och centres commerciaux mäter butikens resultat: besöksantal, konvertering, uppehållstid och flöden mellan zoner. Städer och collectivités mäter gångflöden för att styra investeringar och rapportera om dem. Transportoperatörer mäter stationer och knutpunkter. I alla fallen är leveransen anonym statistik som en fransk compliancegranskning kan godkänna utan krångel, i dashboards eller via ett API in i era egna verktyg.

Hur kommer vi igång, med dataskyddsombudet i rummet?

I en demo går vi igenom metoden, dataresan och dashboarden på klarspråk, och vi besvarar compliancefrågor skriftligt. Ta med CNIL-ramverket, så går vi igenom det punkt för punkt. GDPR-säker besöksanalys samlar hela compliancepositionen, och DPIA för besöksmätning listar frågorna att ställa till oss och till vilken annan leverantör som helst.