Ці змяняе VPN сферу дзеяння GDPR? Кантрольны спіс, а не тэст IP

Пытанне звычайна гучыць так: ці змяняе выкарыстанне VPN ахоп GDPR. На яго нельга адказаць з IP-адраса. Ахоп ідзе за апрацоўкай: хто адказны, у якім кантэксце і чые паводзіны або прапанова задзейнічаны. Прайдзіце кантрольны спіс ніжэй па парадку і спыніцеся на першым пункце, які вырашае пытанне для вашай дзейнасці.

VPN змяняе бачнае месцазнаходжанне злучэння. Ён не змяняе кантралёра, мэту або людзей, на якіх накіравана нацэльванне.

Праверка першая: хто кантралёр і дзе

Назвіце арганізацыю, адказную за апрацоўку, і любога апрацоўшчыка, які дзейнічае ад яе імя. Зафіксуйце ўстанову, якая вызначае, чаму і як апрацоўваюцца даныя. Гэта факт, на якім трымаецца ўвесь далейшы аналіз.

Калі арганізацыя знаходзіцца ў ЕС, пераходзьце да другой праверкі. Калі не, пераходзьце да трэцяй.

Праверка другая: ці звязана апрацоўка з установай у ЕС

Артыкул 3(1) ахоплівае апрацоўку ў кантэксце дзейнасці ўстановы ў ЕС, нават калі сама апрацоўка адбываецца па-за межамі Саюза. Крытэрый — сувязь паміж апрацоўкай і дзейнасцю гэтай установы.

Еўрапейскі офіс не цягне аўтаматычна ўсю дзейнасць міжнароднай кампаніі ў сферу дзеяння. Гэтак жа маршрутызацыя трафіку праз выхад па-за ЕС не выдаляе гэтую сувязь. Аналіз установы датычыць апрацоўкі, а не шляху пакета.

Калі гэтая праверка прымяняецца, спыніцеся: выхад праз VPN не мае значэння для ахопу, хаця можа быць важным для іншых пытанняў перадачы або бяспекі.

Праверка трэцяя: прапанова або назіранне за людзьмі ў Саюзе

Без установы ў ЕС Артыкул 3(2) прымяняецца да прапановы тавараў або паслуг людзям у Саюзе або да назірання за іх паводзінамі там. Адной даступнасці вэб-сайта недастаткова. Кіраўніцтва EDPB па Артыкуле 3 шукае наўмыснае нацэльванне на людзей у Саюзе.

Прысутнасць чалавека ў адпаведны момант мае значэнне на гэтым шляху, а не грамадзянства або месца жыхарства само па сабе. Ілюстрацыйны наведвальнік па-за ЕС, які выглядае так, быццам карыстаецца IP-адрасам ЕС, не задавальняе крытэрый месцазнаходжання адным гэтым фактам. Важна тое, ці была прапанова або назіранне накіраваныя на людзей у Саюзе. Адзіночны візіт з выгляднага адраса ЕС — слабы доказ сам па сабе.

Калі не прымяняецца ні ўстанова, ні нацэльванне, выхад праз VPN не стварыў ахопу. Калі нацэльванне прымяняецца, выхад яго не зняў.

Праверка чацвёртая: што выхад праз VPN змяняе і чаго не змяняе

Іншы выхад змяняе бачную крыніцу злучэння. Ён можа змяніць тое, што паказвае сайт, а гэта выбар рэалізацыі. Ён не змяняе, хто з'яўляецца кантралёрам, якая мэта апрацоўкі і ці была прапанова накіравана на людзей у Саюзе.

Разглядайце геалакацыю як абмежаваны сігнал і дакументуйце нявызначанасць. Не ператварайце невядомае месцазнаходжанне ў вызваленне.

Захоўвайце запіс

Для аператара сэрвісу зафіксуйце адказную арганізацыю, установу, мэту, мэтавую аўдыторыю і любое назіранне. Ацэньвайце тэрытарыяльныя крытэрыі з кваліфікаванай кансультацыяй па прыватнасці. Для фізічнай асобы пачніце з паведамлення аб прыватнасці і арганізацыі, якая апрацоўвае вашу інфармацыю.

Ацэньвайце правілы для кукі і захоўвання на прыладзе асобна ад пытання Артыкула 3. Не пераносьце выснову з адной апрацоўчай дзейнасці на кожнае правіла адсочвання і не злівайте рамкі ЕС і Вялікабрытаніі ў адзін недыферэнцыяваны закон. Запіс павінен паказваць, якую рамку вы ацэньвалі і чаму.