Muuttaako VPN GDPR:n soveltamisalaa? Tarkistuslista, ei IP-testi

Kysymys tulee yleensä muodossa, muuttaako VPN:n käyttö GDPR:n kattavuutta. Siihen ei voi vastata IP-osoitteesta. Kattavuus seuraa käsittelyä: kuka on vastuussa, missä yhteydessä ja kenen käytös tai tarjonta on mukana. Käy alla oleva tarkistuslista järjestyksessä läpi ja pysähdy ensimmäiseen kohtaan, joka ratkaisee kysymyksen toimintasi osalta.

VPN muuttaa yhteyden näennäistä sijaintia. Se ei muuta rekisterinpitäjää, tarkoitusta tai ihmisiä, joihin kohdistetaan.

Tarkistus yksi: kuka on rekisterinpitäjä ja missä

Nimeä käsittelystä vastaava taho ja mahdollinen sen lukuun toimiva käsittelijä. Kirjaa toimipaikka, joka päättää, miksi ja miten tietoja käsitellään. Tähän tosiseikkaan analyysin loppuosa nojaa.

Jos taho on sijoittautunut EU:hun, jatka tarkistukseen kaksi. Jos ei, siirry tarkistukseen kolme.

Tarkistus kaksi: liittyykö käsittely EU-toimipaikkaan

3(1) artikla kattaa käsittelyn EU-toimipaikan toimintojen yhteydessä, vaikka itse käsittely tapahtuisi unionin ulkopuolella. Testi on yhteys käsittelyn ja kyseisen toimipaikan toimintojen välillä.

Eurooppalainen toimisto ei automaattisesti vedä monikansallisen yrityksen jokaista toimintoa soveltamisalaan. Yhtä lailla liikenteen ohjaaminen EU:n ulkopuolisen poistumisreitin kautta ei poista tätä yhteyttä. Toimipaikka-analyysi koskee käsittelyä, ei paketin reittiä.

Jos tämä tarkistus pätee, pysähdy: VPN-poistumisreitti on merkityksetön kattavuudelle, vaikka sillä voi olla merkitystä muihin siirto- tai turvallisuuskysymyksiin.

Tarkistus kolme: tarjoaminen tai seuraaminen unionissa

Ilman EU-toimipaikkaa 3(2) artiklaa sovelletaan tavaroiden tai palvelujen tarjoamiseen unionissa oleville ihmisille tai heidän käyttäytymisensä seuraamiseen siellä. Pelkkä verkkosivuston saavutettavuus ei riitä. EDPB:n 3 artiklaa koskeva ohjeistus etsii tarkoituksellista kohdentamista unionissa oleviin ihmisiin.

Henkilön läsnäolo merkityksellisenä ajankohtana ratkaisee tällä polulla, ei kansalaisuus tai asuinpaikka yksin. Havainnollistava unionin ulkopuolinen vierailija, joka näyttää käyttävän EU:n IP-osoitetta, ei täytä sijaintitekijää pelkästään tällä tosiseikalla. Merkitsevää on, kohdistettiinko tarjonta tai seuranta unionissa oleviin ihmisiin. Yksi käynti näennäisesti EU-osoitteesta on itsessään heikko näyttö.

Jos kumpikaan, toimipaikka tai kohdentaminen, ei päde, VPN-poistumisreitti ei ole luonut kattavuutta. Jos kohdentaminen pätee, poistumisreitti ei ole poistanut sitä.

Tarkistus neljä: mitä VPN-poistumisreitti muuttaa ja mitä ei

Toinen poistumisreitti muuttaa yhteyden näennäistä lähdettä. Se voi muuttaa sitä, mitä sivusto näyttää, mikä on toteutusvalinta. Se ei muuta sitä, kuka on rekisterinpitäjä, mikä on käsittelyn tarkoitus tai kohdistettiinko tarjonta unionissa oleviin ihmisiin.

Kohtele geopaikannusta rajallisena signaalina ja dokumentoi epävarmuus. Älä muuta tuntematonta sijaintia poikkeukseksi.

Säilytä kirjaus

Palvelun ylläpitäjänä kirjaa vastuullinen taho, toimipaikka, tarkoitus, aiottu yleisö ja mahdollinen seuranta. Arvioi alueelliset kriteerit pätevän tietosuojaneuvonnan kanssa. Yksityishenkilönä aloita tietosuojailmoituksesta ja tahosta, joka käsittelee tietojasi.

Arvioi evästeitä ja laitetallennusta koskevat säännöt erillään 3 artiklan kysymyksestä. Älä siirrä yhdestä käsittelytoimesta tehtyä johtopäätöstä jokaiseen seurantasääntöön äläkä sulata EU:n ja Yhdistyneen kuningaskunnan kehyksiä yhdeksi erittelemättömäksi laiksi. Kirjauksen tulee kertoa, mitä kehystä arvioit ja miksi.