Säkerhetskrav för GDPR-kompatibel besöksanalys

Det är oftast inte tekniken som stoppar ett besöksanalysprojekt. Det är frågan från dataskyddsombudet i vecka tre av upphandlingen: "Kan leverantören visa exakt vilken data sensorn genererar innan aggregering, och var den lagras?" Om svaret dröjer mer än ett par dagar har ni troligen valt fel leverantör – eller ställt frågan för sent. GDPR-kompatibel besöksanalys avgörs inte i integritetspolicyn utan i arkitekturen, och den granskningen måste ske innan avtalet skrivs, inte efter.

Den här artikeln går igenom de säkerhetskrav som IT-chefer, compliance-ansvariga och inköpsteam faktiskt behöver ställa på GDPR besöksanalys – inte de generiska "vi tar dataskydd på allvar"-formuleringarna, utan de tekniska och avtalsmässiga detaljer som skiljer en godkänd DPIA från en som fastnar hos juristerna.

Börja med datat, inte med certifikaten

Många upphandlingar inleds med att begära in ISO-certifikat och säkerhetsintyg. Det är rimligt – men det är fel startpunkt för just besöksanalys. Den avgörande frågan är vilken data som överhuvudtaget skapas. En lösning som räknar besökare som anonyma, aggregerade siffror utan personidentifiering hamnar i en helt annan riskklass än en som bygger på ansiktsanalys, MAC-adress-spårning eller återidentifiering av besökare mellan besök.

Skillnaden är inte akademisk. Om systemet aldrig producerar personuppgifter i GDPR:s mening blir hela compliance-arbetet radikalt enklare: ingen rättslig grund per besökare behöver etableras, ingen skyltning om samtycke krävs vid entrén, och registerutdragsbegäranden kan inte träffa datat eftersom det inte går att koppla till en individ. Vemcos ansats med rena aggregerade räkningar utan personidentifiering är byggd exakt kring den principen – dataminimering i arkitekturen snarare än i policydokumentet.

Konkret kravformulering till leverantören: begär en dataflödesbeskrivning som visar varje steg från sensor till dashboard, med angivelse av var eventuell bildbehandling sker, om råbilder någonsin lämnar enheten, och vid vilken punkt datat blir oåterkalleligt aggregerat. Om leverantören inte kan leverera det dokumentet på begäran är det i sig ett svar.

Kantbearbetning och det som aldrig lagras

En praktisk observation från många installationsprojekt: den fråga som oftast fäller leverantörer i säkerhetsgranskningen är inte kryptering eller åtkomstkontroll – det klarar de flesta – utan vad som händer med bilddata vid felsökning. Sensorer behöver ibland kalibreras, och tekniker behöver ibland se vad sensorn ser. Kräv skriftligt svar på: vem kan aktivera bildläge, loggas aktiveringen, hur länge finns bilden kvar, och krävs kundens godkännande? Det är i den processen personuppgifter kan uppstå i ett system som annars är anonymt, och det är där tillsynsmyndigheten kommer att titta.

Samma logik gäller personalexkludering. Funktioner som filtrerar bort butikspersonal ur besökssiffrorna är värdefulla för datakvaliteten, men de väcker en egen fråga: hur identifieras personalen tekniskt, och skapar den mekanismen data om anställda? En bra leverantör kan förklara metoden och visa att exkluderingen inte bygger på lagrad biometrisk identifiering. Ställ frågan explicit – facket och HR kommer att göra det senare annars.

Driftmodell: var siffrorna bor spelar roll

Även aggregerad, anonym data omfattas av era interna säkerhetskrav. Besökssiffror per butik och timme är affärskritisk information – konkurrenter skulle gärna se dem, och en läcka veckan före ett kvartalsbokslut är ett verkligt scenario för börsnoterade kedjor. Därför är driftmodellen en säkerhetsfråga även när GDPR-risken är låg.

• Hostad lösning: snabbast att komma igång med, men kräver att ni granskar leverantörens underleverantörer, datacenterregioner och personuppgiftsbiträdesavtal. Begär listan över underbiträden och rätten att invända mot ändringar.
• Privat moln: relevant för organisationer med egna molnavtal, dataresidenskrav eller sektorspecifika regler. Vemco erbjuder båda modellerna, vilket gör att valet kan styras av er riskprofil snarare än av leverantörens begränsningar.
• Integration mot befintlig IT: hur autentiseras API-anrop, kan åtkomst styras per butik och roll, och hur hanteras offboarding när en regionchef slutar? Fråga specifikt om stöd för er identitetslösning – och begär att svaret skrivs in i avtalet, inte bara i säljpresentationen.

En detalj som inköpsteam ofta missar: retentionstider. Aggregerad besöksdata får i princip sparas länge eftersom den inte är personuppgifter, men er egen informationsklassning kan ändå kräva gallringsregler. Definiera dem i avtalet från start – att införa retention retroaktivt i ett system med fem års historik är betydligt dyrare.

DPIA:n – gör den lätt att godkänna

Behövs en konsekvensbedömning (DPIA) för ren besöksräkning? Om lösningen bevisligen aldrig skapar personuppgifter kan svaret bli nej – men den bedömningen måste dokumenteras, och dokumentationen kräver leverantörens medverkan. Erfarenheten från större utrullningar är att projekt som begär DPIA-underlag i offertskedet går i drift månader snabbare än de som väntar till avtalssignering. Compliance-teamet blir en accelerator istället för en flaskhals när de får tekniska fakta tidigt.

Minimikrav på leverantörens underlag:

• Teknisk beskrivning av anonymiseringen och varför den är oåterkallelig
• Personuppgiftsbiträdesavtal eller skriftlig motivering till varför sådant inte krävs
• Incidenthanteringsprocess med definierade responstider
• Aktuella säkerhetscertifieringar i original – acceptera inte hänvisningar till att certifiering "pågår"
• Beskrivning av sårbarhetshantering och uppdateringsrutiner för sensorer i butiksmiljö

Den sista punkten förtjänar en kommentar. Sensorer sitter fysiskt i butiker, ofta på nätverk som delas med kassasystem. En sensor med föråldrad firmware är en attackyta oavsett hur anonym dess data är. Fråga hur uppdateringar distribueras, om enheterna kan nätverkssegmenteras, och vilka portar de faktiskt behöver öppna. Säkerhetsteamet kommer att uppskatta att frågan redan är ställd.

Datakvalitet är också en compliance-fråga

Ett argument som sällan lyfts: dataminimering och datakvalitet hänger ihop. Om ni ska motivera insamlingen med berättigat intresse måste datat faktiskt vara användbart – opålitliga siffror underminerar hela proportionalitetsbedömningen. Kräv därför avtalad noggrannhet, inte marknadsföringspåståenden. Vemco arbetar med ett kontraktuellt minimum på 96 procents räknenoggrannhet, med typiska nivåer på 98–99 procent när förutsättningarna i form av ljus, butikslayout och besöksflöden tillåter. Den formuleringen – ett garanterat golv plus ett ärligt typiskt spann – är exakt vad ni bör begära skriftligt av varje leverantör. En leverantör som lovar en fast siffra utan förbehåll har antingen inte installerat i tillräckligt många miljöer eller räknar med att ni aldrig mäter efterlevnaden.

Sammantaget: säkerhetskraven för GDPR-kompatibel besöksanalys handlar mindre om att bocka av certifikat och mer om att förstå dataflödet, låsa driftmodellen mot er riskprofil, och avtala om de detaljer – felsökningsbilder, personalexkludering, retention, sensoruppdateringar – där verkliga risker uppstår. De organisationer som ställer dessa frågor i offertskedet får inte bara en godkänd DPIA, utan också ett bättre avtal.

Vill ni granska hur en besöksanalyslösning klarar era specifika säkerhets- och compliance-krav? Kontakta Vemco Group så går vi igenom dataflöden, driftmodeller och DPIA-underlag tillsammans med ert IT- och dataskyddsteam – innan ni skriver under något.