¿Cambia una VPN el ámbito del RGPD? Una lista de comprobación, no una prueba de IP

La pregunta suele llegar como si usar una VPN cambia la cobertura del RGPD. No se puede responder desde una dirección IP. La cobertura sigue al tratamiento: quién es responsable, en qué contexto y de quién es el comportamiento o la oferta implicados. Recorra la lista de comprobación siguiente en orden y deténgase en el primer punto que decida la cuestión para su actividad.

Una VPN cambia la ubicación aparente de una conexión. No cambia el responsable, la finalidad ni las personas a las que se dirige.

Comprobación uno: quién es el responsable y dónde

Nombre la entidad responsable del tratamiento y cualquier encargado que actúe por cuenta de ella. Registre el establecimiento que decide por qué y cómo se tratan los datos. Ese es el hecho del que cuelga el resto del análisis.

Si la entidad está establecida en la UE, continúe con la comprobación dos. Si no, pase a la comprobación tres.

Comprobación dos: el tratamiento está vinculado a un establecimiento de la UE

El artículo 3(1) cubre el tratamiento en el contexto de las actividades de un establecimiento de la UE, incluso cuando el propio tratamiento ocurre fuera de la Unión. La prueba es el vínculo entre el tratamiento y las actividades de ese establecimiento.

Una oficina europea no arrastra automáticamente al ámbito todas las operaciones de una multinacional. Igualmente, encaminar el tráfico por una salida fuera de la UE no elimina ese vínculo. El análisis del establecimiento trata del tratamiento, no del camino del paquete.

Si se aplica esta comprobación, deténgase: la salida VPN es irrelevante para la cobertura, aunque puede importar para otras cuestiones de transferencia o seguridad.

Comprobación tres: ofrecer o supervisar a personas en la Unión

Sin un establecimiento en la UE, el artículo 3(2) se aplica a ofrecer bienes o servicios a personas en la Unión, o a supervisar su comportamiento allí. La mera accesibilidad de un sitio web no basta. La guía del EDPB sobre el artículo 3 busca una focalización deliberada en personas de la Unión.

La presencia de la persona en el momento relevante importa en esta vía, no la nacionalidad ni la residencia por sí solas. Un visitante ilustrativo fuera de la UE que parece usar una IP de la UE no cumple el elemento de ubicación solo por ese hecho. Lo que importa es si la oferta o la supervisión se dirigía a personas en la Unión. Una sola visita desde una dirección aparentemente de la UE es una prueba débil por sí misma.

Si no se aplica ni el establecimiento ni la focalización, la salida VPN no ha creado cobertura. Si se aplica la focalización, la salida no la ha eliminado.

Comprobación cuatro: qué cambia la salida VPN y qué no

Una salida distinta cambia la fuente aparente de una conexión. Puede cambiar lo que muestra un sitio, lo que es una decisión de implementación. No cambia quién es el responsable, cuál es la finalidad del tratamiento ni si la oferta se dirigía a personas en la Unión.

Trate la geolocalización como una señal limitada y documente la incertidumbre. No convierta una ubicación desconocida en una excepción.

Conserve el registro

Para un operador de servicios, registre la entidad responsable, el establecimiento, la finalidad, el público previsto y cualquier supervisión. Evalúe los criterios territoriales con asesoramiento cualificado en privacidad. Para una persona, empiece por el aviso de privacidad y la entidad que trata su información.

Evalúe las normas de cookies y almacenamiento en el dispositivo por separado de la cuestión del artículo 3. No trasplante una conclusión de una actividad de tratamiento a cada norma de seguimiento, ni combine los marcos de la UE y del Reino Unido en una sola ley indiferenciada. El registro debe decir qué marco evaluó y por qué.