Den vanligaste missuppfattningen vi möter i upphandlingar är att besöksräkning per definition innebär personuppgiftsbehandling. Det stämmer inte – men det stämmer inte heller att all besöksanalys automatiskt är GDPR-säker. Skillnaden avgörs av tre tekniska val: om systemet identifierar individer, om rådata lagras eller kasseras direkt, och var bearbetningen sker. Den här guiden går igenom vad IT-chefer, dataskyddsombud och inköpsteam faktiskt behöver granska innan avtal signeras – inte vad GDPR är i allmänna termer.
GDPR aktiveras när data kan kopplas till en identifierbar fysisk person. En sensor som räknar "34 personer passerade in mellan 10:00 och 10:15" och aldrig sparar bilder eller unika identifierare behandlar i praktiken inga personuppgifter, förutsatt att anonymiseringen sker vid källan och är oåterkallelig. Problemet uppstår i tre scenarier som compliance-team bör känna igen:
Vemco Group har byggt sin besöksräkning kring den första principen: ingen personidentifiering, endast aggregerade räkningar, med möjlighet att exkludera personal ur statistiken. Det är arkitekturvalet – inte ett policydokument – som gör efterlevnaden hållbar över tid.
En konsekvensbedömning (DPIA) enligt artikel 35 krävs vid systematisk övervakning av allmänt tillgänglig plats i stor omfattning. För en kedja med 80 butiker och sensorbaserad räkning är den praktiska frågan inte "krävs DPIA?" utan "hur dokumenterar vi att risknivån är låg?". Ett fungerande upplägg:
Även när slutresultatet är anonyma räkningar behöver procurement säkra avtalskedjan. Följande punkter bör stå i kravspecifikationen, inte förhandlas fram efteråt:
Här kommer en observation från fältet som sällan står i leverantörsbroschyrer: personalexkludering är inte bara en GDPR-fråga utan den enskilt största felkällan i konverteringsdata. En butik med sex anställda som var och en passerar entrén åtta gånger per dag genererar nästan femtio falska besök – tillräckligt för att förvränga konverteringsgraden med flera procentenheter i en mindre butik. Om exkluderingen dessutom bygger på att personal bär identifierbara taggar uppstår en ny personuppgiftsbehandling av de anställda, vilket kräver egen rättslig grund och ofta facklig förankring enligt MBL. Fråga därför leverantören hur exkluderingen sker tekniskt, inte bara om den finns. Zonbaserad exkludering utan individuell spårning är ur dataskyddssynpunkt den renaste lösningen.
Ett vanligt argument för mer integritetsintensiv teknik – wifi-spårning, ansiktsanalys – är att den skulle ge bättre data. Erfarenheten pekar åt motsatt håll. Anonym sensorbaserad räkning når hos Vemco en kontraktuell miniminivå på 96 procents noggrannhet, och i praktiken typiskt 98–99 procent när förutsättningar som ljussättning, butikslayout och besöksflöden tillåter. Wifi-baserad räkning ligger ofta betydligt lägre eftersom MAC-randomisering i moderna telefoner gör datat opålitligt. Ni behöver alltså sällan välja mellan datakvalitet och dataskydd – rätt arkitektur ger båda. Vemco har byggt på den principen sedan 2005 och levererar i dag till över 2 000 kunder i fler än 95 länder, vilket i sig är användbart i er leverantörsbedömning: be om referenskunder i jurisdiktioner med tillsynsmyndigheter ni känner till.
Vill ni se hur en GDPR-säker besöksanalyslösning ser ut i praktiken – inklusive dokumentation av anonymiseringskedjan, personalexkludering och val mellan hostad och privat molndrift? Kontakta Vemco Group på vemcogroup.com/contact-us så går vi igenom er kravbild tillsammans med ert compliance- och IT-team.