Αλλάζει ένα VPN το πεδίο εφαρμογής του GDPR; Λίστα ελέγχου, όχι δοκιμή IP

Το ερώτημα συνήθως έρχεται ως εξής: αλλάζει η χρήση VPN την κάλυψη του GDPR. Δεν απαντάται από μια διεύθυνση IP. Η κάλυψη ακολουθεί την επεξεργασία: ποιος ευθύνεται, σε ποιο πλαίσιο και ποια συμπεριφορά ή προσφορά εμπλέκεται. Δουλέψτε τη λίστα ελέγχου παρακάτω με τη σειρά και σταματήστε στο πρώτο σημείο που κρίνει το ερώτημα για τη δραστηριότητά σας.

Ένα VPN αλλάζει την φαινομενική τοποθεσία μιας σύνδεσης. Δεν αλλάζει τον υπεύθυνο, τον σκοπό ή τα πρόσωπα στα οποία στοχεύει.

Έλεγχος πρώτος: ποιος είναι ο υπεύθυνος και πού

Ονομάστε τον φορέα που ευθύνεται για την επεξεργασία και κάθε εκτελούντα την επεξεργασία που ενεργεί για λογαριασμό του. Καταγράψτε την εγκατάσταση που καθορίζει γιατί και πώς χειρίζονται τα δεδομένα. Αυτό είναι το γεγονός στο οποίο στηρίζεται η υπόλοιπη ανάλυση.

Αν ο φορέας είναι εγκατεστημένος στην ΕΕ, συνεχίστε στον έλεγχο δύο. Αν όχι, πηγαίνετε στον έλεγχο τρία.

Έλεγχος δεύτερος: συνδέεται η επεξεργασία με εγκατάσταση στην ΕΕ

Το Άρθρο 3(1) καλύπτει την επεξεργασία στο πλαίσιο των δραστηριοτήτων εγκατάστασης στην ΕΕ, ακόμη και όταν η ίδια η επεξεργασία γίνεται εκτός της Ένωσης. Το κριτήριο είναι ο δεσμός μεταξύ της επεξεργασίας και των δραστηριοτήτων αυτής της εγκατάστασης.

Ένα ευρωπαϊκό γραφείο δεν τραβά αυτόματα κάθε λειτουργία μιας πολυεθνικής στο πεδίο. Παρομοίως, η δρομολόγηση της κίνησης μέσω εξόδου εκτός ΕΕ δεν αφαιρεί τον δεσμό. Η ανάλυση της εγκατάστασης αφορά την επεξεργασία, όχι τη διαδρομή του πακέτου.

Αν αυτός ο έλεγχος ισχύει, σταματήστε: η έξοδος VPN είναι άσχετη με την κάλυψη, αν και μπορεί να μετρά για άλλα ζητήματα διαβίβασης ή ασφάλειας.

Έλεγχος τρίτος: προσφορά ή παρακολούθηση προσώπων στην Ένωση

Χωρίς εγκατάσταση στην ΕΕ, το Άρθρο 3(2) εφαρμόζεται στην προσφορά αγαθών ή υπηρεσιών σε πρόσωπα στην Ένωση ή στην παρακολούθηση της συμπεριφοράς τους εκεί. Η απλή προσβασιμότητα ενός ιστότοπου δεν αρκεί. Οι κατευθυντήριες γραμμές του EDPB για το Άρθρο 3 αναζητούν σκόπιμη στόχευση προσώπων στην Ένωση.

Η παρουσία του προσώπου στον σχετικό χρόνο μετρά σε αυτή τη διαδρομή, όχι η ιθαγένεια ή η κατοικία μόνο. Ένας ενδεικτικός επισκέπτης εκτός ΕΕ που φαίνεται να χρησιμοποιεί διεύθυνση IP της ΕΕ δεν ικανοποιεί το στοιχείο του τόπου μόνο με αυτό το γεγονός. Το κρίσιμο είναι αν η προσφορά ή η παρακολούθηση στόχευε πρόσωπα στην Ένωση. Μία μόνο επίσκεψη από φαινομενική διεύθυνση της ΕΕ είναι ασθενής απόδειξη από μόνη της.

Αν δεν ισχύει ούτε εγκατάσταση ούτε στόχευση, η έξοδος VPN δεν δημιούργησε κάλυψη. Αν ισχύει η στόχευση, η έξοδος δεν την αφαίρεσε.

Έλεγχος τέταρτος: τι αλλάζει η έξοδος VPN και τι δεν αλλάζει

Μια διαφορετική έξοδος αλλάζει τη φαινομενική πηγή μιας σύνδεσης. Μπορεί να αλλάξει τι εμφανίζει ένας ιστότοπος, που είναι επιλογή υλοποίησης. Δεν αλλάζει ποιος είναι ο υπεύθυνος, ποιος είναι ο σκοπός της επεξεργασίας ή αν η προσφορά στόχευε πρόσωπα στην Ένωση.

Αντιμετωπίστε τη γεωεντόπιση ως περιορισμένο σήμα και τεκμηριώστε την αβεβαιότητα. Μην μετατρέπετε μια άγνωστη τοποθεσία σε εξαίρεση.

Κρατήστε το αρχείο

Για έναν πάροχο υπηρεσιών, καταγράψτε τον υπεύθυνο φορέα, την εγκατάσταση, τον σκοπό, το επιδιωκόμενο κοινό και κάθε παρακολούθηση. Αξιολογήστε τα εδαφικά κριτήρια με ειδικευμένη συμβουλή προστασίας δεδομένων. Για ένα άτομο, ξεκινήστε από την ενημέρωση απορρήτου και τον φορέα που χειρίζεται τις πληροφορίες σας.

Αξιολογήστε τους κανόνες για cookies και αποθήκευση στη συσκευή χωριστά από το ζήτημα του Άρθρου 3. Μην μεταφέρετε ένα συμπέρασμα από μία δραστηριότητα επεξεργασίας σε κάθε κανόνα παρακολούθησης και μη συγχωνεύετε τα πλαίσια της ΕΕ και του Ηνωμένου Βασιλείου σε έναν αδιαφοροποίητο νόμο. Το αρχείο πρέπει να λέει ποιο πλαίσιο αξιολογήσατε και γιατί.