Kas VPN muudab GDPR-i kohaldamisala? Kontrollnimekiri, mitte IP-test

Küsimus tuleb tavaliselt kujul, kas VPN-i kasutamine muudab GDPR-i katvust. Sellele ei saa vastata IP-aadressist. Katvus järgib töötlemist: kes vastutab, millises kontekstis ja kelle käitumine või pakkumine on kaasatud. Töötage allolev kontrollnimekiri järjekorras läbi ja peatuge esimesel punktil, mis otsustab küsimuse teie tegevuse jaoks.

VPN muudab ühenduse näivat asukohta. See ei muuda vastutavat töötlejat, eesmärki ega sihitavaid inimesi.

Esimene kontroll: kes on vastutav töötleja ja kus

Nimetage töötlemise eest vastutav üksus ja iga volitatud töötleja, kes tegutseb selle nimel. Registreerige asutus, mis otsustab, miks ja kuidas andmeid töödeldakse. See on fakt, millele ülejäänud analüüs toetub.

Kui üksus on EL-is asutatud, jätkake teise kontrolliga. Kui mitte, minge kolmanda kontrolli juurde.

Teine kontroll: kas töötlemine on seotud EL-i asutusega

Artikkel 3(1) hõlmab töötlemist EL-i asutuse tegevuse kontekstis, isegi kui töötlemine ise toimub väljaspool Liitu. Testiks on side töötlemise ja selle asutuse tegevuse vahel.

Euroopa kontor ei tõmba automaatselt iga rahvusvahelise ettevõtte toimingut kohaldamisalasse. Samamoodi ei kõrvalda liikluse suunamine väljaspool EL-i asuvasse väljundisse seda sidet. Asutuse analüüs käsitleb töötlemist, mitte paketi teekonda.

Kui see kontroll kehtib, peatuge: VPN-i väljund ei ole katvuse jaoks oluline, kuigi see võib olla oluline muude edastamis- või turvaküsimuste jaoks.

Kolmas kontroll: pakkumine või jälgimine Liidus

Ilma EL-i asutuseta kohaldub artikkel 3(2) kaupade või teenuste pakkumisele Liidus asuvatele inimestele või nende käitumise jälgimisele seal. Veebisaidi pelk kättesaadavus ei ole piisav. EDPB suunised artikli 3 kohta otsivad sihipärast suunamist Liidus asuvatele inimestele.

Isiku kohalolu asjaomasel ajal on selle tee puhul oluline, mitte kodakondsus või elukoht üksi. Illustratiivne külastaja väljaspool EL-i, kes näib kasutavat EL-i IP-d, ei täida asukoha tingimust ainuüksi selle faktiga. Oluline on, kas pakkumine või jälgimine oli suunatud Liidus asuvatele inimestele. Üksik külastus näivalt EL-i aadressilt on iseenesest nõrk tõend.

Kui ei kehti ei asutus ega sihtimine, ei ole VPN-i väljund katvust loonud. Kui sihtimine kehtib, ei ole väljund seda kõrvaldanud.

Neljas kontroll: mida VPN-i väljund muudab ja mida mitte

Teistsugune väljund muudab ühenduse näivat allikat. See võib muuta seda, mida sait kuvab, mis on teostusvalik. See ei muuda, kes on vastutav töötleja, milline on töötlemise eesmärk ega seda, kas pakkumine oli suunatud Liidus asuvatele inimestele.

Käsitlege geolokatsiooni piiratud signaalina ja dokumenteerige ebakindlus. Ärge muutke tundmatut asukohta erandiks.

Hoidke kirje

Teenusepakkuja jaoks registreerige vastutav üksus, asutus, eesmärk, kavandatud publik ja igasugune jälgimine. Hinnake territoriaalseid kriteeriume kvalifitseeritud privaatsusnõustamisega. Eraisiku jaoks alustage privaatsusteatest ja üksusest, kes teie teavet töötleb.

Hinnake küpsiste ja seadmesalvestuse reegleid eraldi artikli 3 küsimusest. Ärge kandke ühe töötlemistoimingu järeldust üle igale jälgimisreeglile ega sulatage EL-i ja Ühendkuningriigi raamistikke üheks eristamata seaduseks. Kirje peaks ütlema, millist raamistikku hindasite ja miks.