آیا VPN دامنه GDPR را تغییر می‌دهد؟ یک چک‌لیست، نه آزمون IP

این پرسش معمولاً به این شکل مطرح می‌شود که آیا استفاده از VPN پوشش GDPR را تغییر می‌دهد. پاسخ آن از یک نشانی IP درنمی‌آید. پوشش از پردازش پیروی می‌کند: چه کسی مسئول است، در چه زمینه‌ای و رفتار یا پیشنهاد چه کسی دخیل است. چک‌لیست زیر را به ترتیب انجام دهید و در نخستین بندی که پرسش را برای فعالیت شما روشن می‌کند بایستید.

VPN مکان ظاهری یک اتصال را تغییر می‌دهد. اما کنترل‌کننده، هدف یا افرادی که هدف قرار می‌گیرند را تغییر نمی‌دهد.

بررسی یکم: کنترل‌کننده کیست و کجاست

واحد مسئول پردازش و هر پردازشگری که از سوی آن عمل می‌کند را نام ببرید. مؤسسه‌ای را ثبت کنید که تعیین می‌کند داده‌ها چرا و چگونه پردازش می‌شوند. این همان واقعیتی است که بقیه تحلیل بر آن استوار است.

اگر واحد در اتحادیه اروپا مستقر است، به بررسی دوم بروید. اگر نه، به بررسی سوم بروید.

بررسی دوم: آیا پردازش به مؤسسه‌ای در اتحادیه اروپا گره خورده است

ماده 3(1) پردازش را در زمینه فعالیت‌های مؤسسه‌ای در اتحادیه اروپا پوشش می‌دهد، حتی وقتی خود پردازش بیرون از اتحادیه رخ می‌دهد. آزمون، پیوند میان پردازش و فعالیت‌های آن مؤسسه است.

یک دفتر اروپایی به‌طور خودکار همه عملیات یک شرکت چندملیتی را به دامنه نمی‌کشد. به همین ترتیب، عبور ترافیک از خروجی بیرون از اتحادیه اروپا آن پیوند را برنمی‌دارد. تحلیل مؤسسه درباره پردازش است، نه مسیر بسته.

اگر این بررسی صدق کند، بایستید: خروجی VPN برای پوشش بی‌اهمیت است، هرچند برای دیگر پرسش‌های انتقال یا امنیت مهم باشد.

بررسی سوم: عرضه یا پایش افراد در اتحادیه

بدون مؤسسه در اتحادیه اروپا، ماده 3(2) بر عرضه کالا یا خدمات به افراد در اتحادیه، یا پایش رفتار آنان در آنجا اعمال می‌شود. صرف در دسترس بودن یک وبگاه کافی نیست. راهنمای EDPB درباره ماده 3 به دنبال هدف‌گیری عامدانه افراد در اتحادیه است.

حضور شخص در زمان مربوطه در این مسیر اهمیت دارد، نه تابعیت یا اقامت به‌تنهایی. یک بازدیدکننده نمونه بیرون از اتحادیه اروپا که به نظر می‌رسد از IP اروپایی استفاده می‌کند، تنها با همین واقعیت عنصر مکان را برآورده نمی‌کند. مهم این است که آیا عرضه یا پایش به افراد در اتحادیه نشانه رفته بود. یک بازدید تنها از نشانی ظاهراً اروپایی به‌تنهایی شاهد ضعیفی است.

اگر نه مؤسسه و نه هدف‌گیری صدق کند، خروجی VPN پوششی ایجاد نکرده است. اگر هدف‌گیری صدق کند، خروجی آن را برنداشته است.

بررسی چهارم: آنچه خروجی VPN تغییر می‌دهد و آنچه تغییر نمی‌دهد

خروجی متفاوت منبع ظاهری یک اتصال را تغییر می‌دهد. ممکن است آنچه یک سایت نشان می‌دهد را تغییر دهد، که یک انتخاب پیاده‌سازی است. اما تغییر نمی‌دهد که کنترل‌کننده کیست، هدف پردازش چیست، یا آیا عرضه به افراد در اتحادیه نشانه رفته بود.

مکان‌یابی جغرافیایی را نشانه‌ای محدود بدانید و عدم قطعیت را مستند کنید. مکان ناشناخته را به معافیت تبدیل نکنید.

سابقه را نگه دارید

برای گرداننده یک سرویس، واحد مسئول، مؤسسه، هدف، مخاطب مورد نظر و هر پایشی را ثبت کنید. معیارهای سرزمینی را با مشورت واجد شرایط در حوزه حریم خصوصی ارزیابی کنید. برای یک فرد، از اطلاعیه حریم خصوصی و واحدی که اطلاعات شما را پردازش می‌کند آغاز کنید.

قواعد کوکی و ذخیره‌سازی روی دستگاه را جدا از پرسش ماده 3 ارزیابی کنید. نتیجه یک فعالیت پردازش را به هر قاعده ردیابی منتقل نکنید و چارچوب اتحادیه اروپا و بریتانیا را در یک قانون تفکیک‌نشده ادغام نکنید. سابقه باید بگوید کدام چارچوب را ارزیابی کردید و چرا.