Променя ли VPN обхвата на GDPR? Контролен списък, а не тест на IP

Въпросът обикновено идва като дали използването на VPN променя обхвата на GDPR. На него не може да се отговори от IP адрес. Обхватът следва обработването: кой е отговорен, в какъв контекст и чие поведение или предложение е замесено. Мини през контролния списък по-долу по ред и спри на първия пункт, който решава въпроса за твоята дейност.

VPN променя видимото местоположение на връзката. Той не променя администратора, целта или хората, към които е насочено.

Първа проверка: кой е администраторът и къде е

Посочи субекта, отговорен за обработването, и всеки обработващ, който действа от негово име. Запиши установяването, което определя защо и как се обработват данните. Това е фактът, на който се крепи останалият анализ.

Ако субектът е установен в ЕС, продължи с втората проверка. Ако не, премини към третата.

Втора проверка: свързано ли е обработването с установяване в ЕС

Член 3(1) покрива обработване в контекста на дейностите на установяване в ЕС, дори когато самото обработване става извън Съюза. Тестът е връзката между обработването и дейностите на това установяване.

Европейски офис не включва автоматично всяка операция на международна компания в обхвата. По същия начин насочването на трафика през изход извън ЕС не премахва връзката. Анализът на установяването е за обработването, не за пътя на пакета.

Ако тази проверка важи, спри: изходът през VPN е без значение за обхвата, макар да може да е от значение за други въпроси за предаването или сигурността.

Трета проверка: предлагане на или наблюдение на хора в Съюза

Без установяване в ЕС член 3(2) важи за предлагане на стоки или услуги на хора в Съюза или за наблюдение на поведението им там. Само достъпността на уебсайт не е достатъчна. Насоките на EDPB по член 3 търсят умишлено насочване към хора в Съюза.

Присъствието на човека в съответния момент има значение по този път, а не гражданството или пребиваването само по себе си. Илюстративен посетител извън ЕС, който изглежда, че използва IP от ЕС, не изпълнява изискването за местоположение само с този факт. Важно е дали предложението или наблюдението е било насочено към хора в Съюза. Едно посещение от адрес, който изглежда европейски, е слабо доказателство само по себе си.

Ако не важи нито установяване, нито насочване, изходът през VPN не е създал обхват. Ако насочването важи, изходът не го е премахнал.

Четвърта проверка: какво променя изходът през VPN и какво не

Различен изход променя видимия източник на връзката. Той може да промени какво показва сайтът, а това е избор на реализация. Не променя кой е администраторът, каква е целта на обработването или дали предложението е било насочено към хора в Съюза.

Отнасяй се към геолокацията като към ограничен сигнал и документирай несигурността. Не превръщай неизвестно местоположение в освобождаване.

Пази записа

За оператор на услуга запиши отговорния субект, установяването, целта, предвидената аудитория и всяко наблюдение. Оценявай териториалните критерии с квалифициран съвет по поверителност. За физическо лице започни с известието за поверителност и субекта, който обработва информацията ти.

Оценявай правилата за бисквитки и съхранение на устройството отделно от въпроса по член 3. Не прехвърляй извод от една дейност по обработване към всяко правило за проследяване и не сливай рамките на ЕС и Обединеното кралство в един недиференциран закон. Записът трябва да казва коя рамка си оценил и защо.