Mění VPN rozsah působnosti GDPR? Kontrolní seznam, ne test IP adresy

Otázka obvykle přichází tak, zda používání VPN mění rozsah působnosti GDPR. Odpovědět na ni nelze z IP adresy. Rozsah sleduje zpracování: kdo je odpovědný, v jakém kontextu a čí chování nebo nabídka je zapojena. Projděte kontrolní seznam níže popořadě a zastavte se u první položky, která otázku pro vaši činnost rozhodne.

VPN mění zdánlivou polohu připojení. Nemění správce, účel ani lidi, na které se cílí.

První kontrola: kdo je správce a kde sídlí

Pojmenujte subjekt odpovědný za zpracování a případného zpracovatele, který jedná za něj. Zaznamenejte organizační složku, která určuje, proč a jak se údaje zpracovávají. Na tomto faktu stojí zbytek analýzy.

Pokud má subjekt složku v EU, pokračujte druhou kontrolou. Pokud ne, přejděte ke třetí.

Druhá kontrola: je zpracování vázáno na složku v EU

Článek 3(1) pokrývá zpracování v souvislosti s činností složky v EU, i když samotné zpracování probíhá mimo Unii. Testem je vazba mezi zpracováním a činností této složky.

Evropská kancelář automaticky nestahuje do rozsahu každou operaci nadnárodní společnosti. Stejně tak směrování provozu přes výstup mimo EU tuto vazbu neodstraňuje. Analýza složky se týká zpracování, ne cesty paketu.

Pokud tato kontrola platí, zastavte se: výstup přes VPN je pro rozsah irelevantní, i když může být důležitý pro jiné otázky předávání nebo zabezpečení.

Třetí kontrola: nabízení nebo sledování lidí v Unii

Bez složky v EU se článek 3(2) vztahuje na nabízení zboží nebo služeb lidem v Unii nebo na sledování jejich chování tam. Pouhá dostupnost webu nestačí. Pokyny EDPB k článku 3 hledají záměrné cílení na lidi v Unii.

Přítomnost osoby v rozhodné době je u této cesty podstatná, nikoli státní příslušnost nebo samotný pobyt. Ilustrativní návštěvník mimo EU, který vypadá, že používá IP adresu EU, tímto faktem sám o sobě znak místa nesplňuje. Podstatné je, zda nabídka nebo sledování směřovaly k lidem v Unii. Jediná návštěva z domnělé adresy v EU je sama o sobě slabým důkazem.

Pokud neplatí ani složka, ani cílení, výstup přes VPN rozsah nevytvořil. Pokud cílení platí, výstup jej neodstranil.

Čtvrtá kontrola: co výstup přes VPN mění a co ne

Jiný výstup mění zdánlivý zdroj připojení. Může změnit, co web zobrazuje, což je volba implementace. Nemění, kdo je správcem, jaký je účel zpracování ani zda nabídka směřovala k lidem v Unii.

Berte geolokaci jako omezený signál a nejistotu zdokumentujte. Neznámou polohu nepřevádějte ve výjimku.

Uchovejte záznam

Pro provozovatele služby zaznamenejte odpovědný subjekt, složku, účel, zamýšlené publikum a případné sledování. Územní kritéria posuďte s kvalifikovaným poradenstvím v oblasti soukromí. Pro jednotlivce začněte oznámením o soukromí a subjektem, který vaše informace zpracovává.

Pravidla pro cookies a ukládání v zařízení posuzujte odděleně od otázky článku 3. Nepřenášejte závěr z jedné činnosti zpracování na každé pravidlo sledování a neslévejte rámce EU a Spojeného království do jednoho nerozlišeného zákona. Záznam má uvést, který rámec jste posuzovali a proč.