Krav att ställa vid upphandling av besöksräkning

Att upphandla besöksräkning för en offentlig aktör är att köpa besökssiffror som anonym, aggregerad statistik, mätt med Wi-Fi, 3D-sensorer eller mobilnätsdata. Guiden är skriven för kommuner som behöver besöksräkning i stadskärnan eller räknar besökare i offentliga byggnader. Bumbee Labs är företaget bakom den enda metoden för besöksmätning i Europa som är godkänd av en dataskyddsmyndighet.

Sidan är en orientering från leverantörssidan, inte upphandlings- eller juridisk rådgivning, och de slutliga formuleringarna bestämmer era egna upphandlings- och dataskyddsfunktioner.

Vilka krav hör hemma i förfrågningsunderlaget när ni upphandlar besöksräkning?

Vilka integritetskrav ska stå i förfrågningsunderlaget?

En kommun kan skriva in inbyggd anonymitet i förfrågningsunderlaget: aggregerad statistik, inget lagrat som kan identifiera någon och inget som begärs av besökarna, som inte behöver någon app eller inloggning. Om kameror eller sensorer ingår, kräv att video bearbetas enbart för analys och att inga personbilder lagras. GDPR-säker besöksanalys beskriver ståndpunkten bakom kravet.

Hur prövar vi anbudens noggrannhetspåståenden?

Behandla en noggrannhetssiffra i ett anbud som ett påstående och fråga vad som ligger bakom besöksantalet: en dokumenterad granskning av metoden, oberoende validering och noggrannhet som verifierats mot verkligheten. Bumbee Labs verifierar varje installation med manuella kontrollmätningar. Noggrannhet i besöksräkning jämför metoderna.

Ska vi låsa tekniken eller beskriva platserna?

Beskriv platserna och frågan som var och en ska besvara, och låt sedan anbudsgivarna föreslå den metod som passar. Kamerafri Wi-Fi-räkning passar offentliga inomhusbyggnader, Wi-Fi tillsammans med mobilnät täcker gator, torg och stadsdelar, och en 3D-sensor ger den exakta räkningen vid en enskild dörr. Hybridlösningar kombinerar dem och hur man räknar besökare jämför dem.

Vårt dataskyddsombud vill ha en konsekvensbedömning (DPIA) innan avtal: vad ska vi be leverantören om?

Om en DPIA behövs, och vad den ska omfatta, avgör kommunens dataskyddsombud. I förfrågningsunderlaget kan ni be varje anbudsgivare om det som kortar det arbetet: dokumentation som visar att metoden ger anonym, aggregerad statistik och inga personuppgifter, och skriftliga svar på de frågor som återstår. DPIA för besöksmätning listar de frågor ett dataskyddsombud brukar ställa.

Ska vi köpa besöksräkning som tjänst eller köpa sensorerna själva?

Börja med att bestämma vad kommunen vill äga. Med köpta sensorer ligger underhåll och kontroll hos köparen, medan leverantören bär det arbetet i en mättjänst. Wi-Fi-räkning körs oftast på byggnadens befintliga accesspunkter, och 3D-sensorer sätts bara vid de dörrar som behöver dem. Upphandla trafikmätning tar upp samma val för gator.

Vem äger datan när avtalet tar slut?

Skriv in det i kravspecifikationen: besöksdatan tillhör den upphandlande organisationen. Specificera också leveransen, eftersom statistik som aldrig lämnar en portal är till liten nytta. Begär dashboards för varje intressentgrupp, ett öppet och dokumenterat API för besöksräkning och schemalagda exporter och rapporter för nämnder och finansiärer. Dataleveranser listar mätvärdena att efterfråga.

Vad frågar offentliga aktörer mer om när de köper besöksräkning?

• Faller kamerabaserad räkning under AI-förordningen? Kamerabaserade system för besöksräkning som använder datorseende kan omfattas av bilaga III (AI med hög risk), så be anbudsgivarna ange om deras system gör det och dokumentera svaret i båda fallen. Wi-Fi-baserade och mobilnätsbaserade metoder ligger genom sin arkitektur utanför tillämpningsområdet för bilaga III. Datumen finns på sidan om AI-förordningen.
• Hur viktar vi kvalitet mot pris i utvärderingen? Vikterna sätter er upphandlingsfunktion. De kriterier som anbudsgivarna kan prövas mot är dokumenterad granskning, oberoende validering, verifierad noggrannhet, leverans, dataägande och hur väl metoden passar varje plats.
• Kan bibliotek, badhus och stadskärna ingå i samma upphandling? Olika platser kräver olika metoder, så be om den metod som passar varje plats och en gemensam leverans: i en hybridlösning levererar alla metoder till samma analysplattform och API. Se besöksräkning på bibliotek och badhus och simhallar.
• Vilka referenser kan vi kräva? Be om referenser där noggrannheten har kontrollerats och GDPR-efterlevnaden dokumenterats. Det var på de två grunderna som en stor knutpunkt för kollektivtrafik i Stockholm valde sitt mätsystem.
• Räcker en manuell fotgängarräkning? Räkning för hand täcker bara de timmar den pågick, missar sidoentréer, besökare som går in igen och obemannade timmar, och varierar med vem som räknar. Automatisk räkning ger en kontinuerlig serie som går att granska; se besökssiffror till finansiärer.
• Vi är en brittisk organisation: ändrar UK GDPR kravet? Brittiska organisationer som köper besöksmätning bör kräva efterlevnad av UK GDPR (EU:s GDPR som den behållits i brittisk rätt enligt Data Protection Act 2018) i sina förfrågningsunderlag. Integritetsskyldigheterna är likvärdiga, och samma krav på inbyggd anonymitet gäller.