Canvia una VPN l’abast del GDPR? Una llista de comprovació, no una prova d’IP

La pregunta sol arribar com si l’ús d’una VPN canvia la cobertura del GDPR. No es pot respondre des d’una adreça IP. La cobertura segueix el tractament: qui és responsable, en quin context i de qui és el comportament o l’oferta que hi intervé. Feu la llista de comprovació següent per ordre i atureu-vos al primer punt que decideixi la qüestió per a la vostra activitat.

Una VPN canvia la ubicació aparent d’una connexió. No canvia el responsable, la finalitat ni les persones a qui s’adreça.

Comprovació primera: qui és el responsable i on és

Anomeneu l’entitat responsable del tractament i qualsevol encarregat que actuï per a ella. Anoteu l’establiment que decideix per què i com es tracten les dades. Aquest és el fet sobre el qual descansa la resta de l’anàlisi.

Si l’entitat està establerta a la UE, continueu amb la comprovació dos. Si no, aneu a la comprovació tres.

Comprovació dos: el tractament està lligat a un establiment de la UE

L’article 3(1) cobreix el tractament en el context de les activitats d’un establiment de la UE, fins i tot quan el tractament mateix té lloc fora de la Unió. La prova és el vincle entre el tractament i les activitats d’aquell establiment.

Una oficina europea no arrossega automàticament cap a l’abast totes les operacions d’una multinacional. Igualment, encaminar el trànsit per una sortida fora de la UE no elimina el vincle. L’anàlisi de l’establiment tracta del tractament, no del camí del paquet.

Si aquesta comprovació s’aplica, atureu-vos: la sortida de VPN és irrellevant per a la cobertura, tot i que pot importar per a altres qüestions de transferència o seguretat.

Comprovació tres: oferir o supervisar persones a la Unió

Sense un establiment a la UE, l’article 3(2) s’aplica a oferir béns o serveis a persones a la Unió, o a supervisar-ne el comportament allà. La mera accessibilitat d’un lloc web no n’hi ha prou. L’orientació de l’EDPB sobre l’article 3 busca una orientació deliberada cap a persones a la Unió.

La presència de la persona en el moment rellevant importa en aquesta via, no pas la ciutadania ni la residència soles. Un visitant il·lustratiu fora de la UE que sembla fer servir una IP de la UE no compleix l’element d’ubicació només per aquest fet. El que importa és si l’oferta o la supervisió s’adreçava a persones a la Unió. Una sola visita des d’una adreça aparentment de la UE és una prova feble per si mateixa.

Si no s’aplica ni l’establiment ni l’orientació, la sortida de VPN no ha creat cobertura. Si s’aplica l’orientació, la sortida no l’ha eliminada.

Comprovació quatre: què canvia la sortida de VPN i què no

Una sortida diferent canvia la font aparent d’una connexió. Pot canviar el que mostra un lloc, que és una decisió d’implementació. No canvia qui és el responsable, quina és la finalitat del tractament ni si l’oferta s’adreçava a persones a la Unió.

Tracteu la geolocalització com un senyal limitat i documenteu la incertesa. No convertiu una ubicació desconeguda en una exempció.

Conserveu el registre

Per a un operador de serveis, anoteu l’entitat responsable, l’establiment, la finalitat, el públic previst i qualsevol supervisió. Avalueu els criteris territorials amb assessorament qualificat en privacitat. Per a una persona, comenceu per l’avís de privacitat i l’entitat que tracta la vostra informació.

Avalueu les normes de galetes i emmagatzematge al dispositiu per separat de la qüestió de l’article 3. No trasplanteu una conclusió d’una activitat de tractament a cada norma de seguiment, ni combineu els marcs de la UE i del Regne Unit en una sola llei indiferenciada. El registre ha de dir quin marc heu avaluat i per què.