Verander ’n VPN die GDPR se toepassingsgebied? ’n Kontrolelys, nie ’n IP-toets nie

Die vraag kom gewoonlik as of die gebruik van ’n VPN die GDPR se dekking verander. Dit is nie uit ’n IP-adres te beantwoord nie. Dekking volg die verwerking: wie verantwoordelik is, in watter konteks, en wie se gedrag of aanbod betrokke is. Werk die kontrolelys hieronder in volgorde deur en stop by die eerste punt wat die vraag vir jou aktiwiteit beslis.

’n VPN verander die skynbare ligging van ’n verbinding. Dit verander nie die verantwoordelike party, die doel of die mense op wie gemik word nie.

Kontrole een: wie is die verantwoordelike en waar

Noem die entiteit wat vir die verwerking verantwoordelik is en enige verwerker wat namens dit optree. Teken die vestiging aan wat besluit waarom en hoe die data hanteer word. Dit is die feit waarop die res van die ontleding rus.

As die entiteit in die EU gevestig is, gaan voort na kontrole twee. So nie, gaan na kontrole drie.

Kontrole twee: is die verwerking aan ’n EU-vestiging gekoppel

Artikel 3(1) dek verwerking in die konteks van ’n EU-vestiging se aktiwiteite, selfs wanneer die verwerking self buite die Unie plaasvind. Die toets is die skakel tussen die verwerking en daardie vestiging se aktiwiteite.

’n Europese kantoor trek nie outomaties elke werking van ’n multinasionale onderneming in die omvang nie. Net so verwyder die stuur van die verkeer deur ’n uitgang buite die EU nie die skakel nie. Die vestigingsontleding gaan oor die verwerking, nie die pakketpad nie.

As hierdie kontrole van toepassing is, stop: die VPN-uitgang is onbelangrik vir dekking, al kan dit saak maak vir ander oordrag- of sekuriteitsvrae.

Kontrole drie: om mense in die Unie aan te bied of te monitor

Sonder ’n EU-vestiging is Artikel 3(2) van toepassing op die aanbied van goedere of dienste aan mense in die Unie, of op die monitering van hulle gedrag daar. Blote toeganklikheid van ’n webwerf is nie genoeg nie. EDPB se leiding oor Artikel 3 soek na ’n doelbewuste teikening van mense in die Unie.

Die persoon se teenwoordigheid op die betrokke tydstip maak saak onder hierdie roete, eerder as burgerskap of blote verblyf. ’n Illustratiewe besoeker buite die EU wat blyk om ’n EU-IP te gebruik, voldoen nie op grond van daardie feit alleen aan die liggingsvereiste nie. Wat saak maak, is of die aanbod of monitering op mense in die Unie gerig was. ’n Enkele besoek vanaf ’n oënskynlike EU-adres is op sigself swak bewyse.

As nóg vestiging nóg teikening van toepassing is, het die VPN-uitgang nie dekking geskep nie. As teikening van toepassing is, het die uitgang dit nie verwyder nie.

Kontrole vier: wat die VPN-uitgang verander en nie verander nie

’n Ander uitgang verander die skynbare bron van ’n verbinding. Dit kan verander wat ’n webwerf wys, wat ’n implementeringskeuse is. Dit verander nie wie die verantwoordelike is, wat die verwerkingsdoel is, of die aanbod op mense in die Unie gerig was nie.

Behandel geoligging as ’n beperkte sein en dokumenteer die onsekerheid. Moenie ’n onbekende ligging in ’n vrystelling omskep nie.

Hou die rekord

Vir ’n diensoperateur, teken die verantwoordelike entiteit, die vestiging, die doel, die beoogde gehoor en enige monitering aan. Beoordeel die territoriale kriteria met gekwalifiseerde privaatheidsadvies. Vir ’n individu, begin met die privaatheidskennisgewing en die entiteit wat jou inligting hanteer.

Beoordeel koekie- en toestelbergingreëls afsonderlik van die Artikel 3-vraag. Moenie ’n gevolgtrekking van een verwerkingsaktiwiteit na elke nasporingsreël oorplant nie, en moenie die EU- en UK-raamwerke in een ongedifferensieerde wet saamsmelt nie. Die rekord moet sê watter raamwerk jy beoordeel het en waarom.