Ændrer en VPN GDPR’s anvendelsesområde? En tjekliste, ikke en IP-test

Spørgsmålet kommer normalt som, hvorvidt brug af en VPN ændrer GDPR’s dækning. Det kan ikke besvares ud fra en IP-adresse. Dækningen følger behandlingen: hvem der er ansvarlig, i hvilken sammenhæng og hvis adfærd eller tilbud der er involveret. Arbejd dig gennem tjeklisten nedenfor i rækkefølge, og stop ved det første punkt, der afgør spørgsmålet for din aktivitet.

En VPN ændrer den tilsyneladende placering af en forbindelse. Den ændrer ikke den dataansvarlige, formålet eller de personer, der målrettes.

Kontrol et: hvem er den dataansvarlige, og hvor

Navngiv den enhed, der er ansvarlig for behandlingen, og enhver databehandler, der handler på dens vegne. Registrér den etablering, som afgør hvorfor og hvordan dataene håndteres. Det er det faktum, resten af analysen hviler på.

Hvis enheden er etableret i EU, fortsæt til kontrol to. Hvis ikke, gå til kontrol tre.

Kontrol to: er behandlingen knyttet til en EU-etablering

Artikel 3(1) dækker behandling i forbindelse med en EU-etablerings aktiviteter, selv når selve behandlingen finder sted uden for Unionen. Testen er forbindelsen mellem behandlingen og den pågældende etablerings aktiviteter.

Et europæisk kontor trækker ikke automatisk enhver operation i en multinational virksomhed ind i området. Tilsvarende fjerner routing af trafikken gennem en udgang uden for EU ikke forbindelsen. Etableringsanalysen handler om behandlingen, ikke pakkens vej.

Hvis denne kontrol gælder, stop: VPN-udgangen er irrelevant for dækningen, selv om den kan have betydning for andre overførsels- eller sikkerhedsspørgsmål.

Kontrol tre: at tilbyde eller overvåge personer i Unionen

Uden en EU-etablering gælder artikel 3(2) for at tilbyde varer eller tjenester til personer i Unionen eller for at overvåge deres adfærd der. Blot tilgængelighed af et websted er ikke nok. EDPB’s vejledning om artikel 3 ser efter en bevidst målretning mod personer i Unionen.

Personens tilstedeværelse på det relevante tidspunkt har betydning efter denne vej, snarere end statsborgerskab eller bopæl alene. En illustrativ besøgende uden for EU, der ser ud til at bruge en EU-IP, opfylder ikke placeringskriteriet alene af den grund. Det afgørende er, om tilbuddet eller overvågningen var rettet mod personer i Unionen. Et enkelt besøg fra en tilsyneladende EU-adresse er svag evidens i sig selv.

Hvis hverken etablering eller målretning gælder, har VPN-udgangen ikke skabt dækning. Hvis målretning gælder, har udgangen ikke fjernet den.

Kontrol fire: hvad VPN-udgangen ændrer, og hvad den ikke ændrer

En anden udgang ændrer den tilsyneladende kilde til en forbindelse. Den kan ændre, hvad et websted viser, hvilket er et implementeringsvalg. Den ændrer ikke, hvem den dataansvarlige er, hvad behandlingsformålet er, eller om tilbuddet var rettet mod personer i Unionen.

Behandl geolokation som et begrænset signal, og dokumentér usikkerheden. Omregn ikke en ukendt placering til en undtagelse.

Gem dokumentationen

For en tjenesteudbyder, registrér den ansvarlige enhed, etableringen, formålet, det tilsigtede publikum og enhver overvågning. Vurder de territoriale kriterier med kvalificeret privatlivsrådgivning. For en enkeltperson, start med privatlivsmeddelelsen og den enhed, der behandler dine oplysninger.

Vurder regler om cookies og enhedslagring adskilt fra artikel 3-spørgsmålet. Overfør ikke en konklusion fra én behandlingsaktivitet til enhver sporingsregel, og saml ikke EU’s og Storbritanniens rammer i én udifferentieret lov. Dokumentationen bør sige, hvilken ramme du vurderede, og hvorfor.