Un VPN change-t-il le champ d’application du RGPD ? Une liste de vérification, pas un test d’IP

La question arrive généralement sous la forme de savoir si l’usage d’un VPN change la couverture du RGPD. Elle ne se résout pas à partir d’une adresse IP. La couverture suit le traitement : qui est responsable, dans quel contexte et de qui le comportement ou l’offre est impliqué. Parcourez la liste de vérification ci-dessous dans l’ordre et arrêtez-vous au premier point qui tranche la question pour votre activité.

Un VPN change la localisation apparente d’une connexion. Il ne change pas le responsable, la finalité ni les personnes ciblées.

Contrôle un : qui est le responsable et où

Nommez l’entité responsable du traitement et tout sous-traitant agissant pour elle. Consignez l’établissement qui décide pourquoi et comment les données sont traitées. C’est le fait sur lequel repose le reste de l’analyse.

Si l’entité est établie dans l’UE, passez au contrôle deux. Sinon, allez au contrôle trois.

Contrôle deux : le traitement est-il rattaché à un établissement de l’UE

L’article 3(1) couvre le traitement dans le cadre des activités d’un établissement de l’UE, même lorsque le traitement lui-même a lieu hors de l’Union. Le test est le lien entre le traitement et les activités de cet établissement.

Un bureau européen n’attire pas automatiquement dans le champ toutes les opérations d’une multinationale. De même, acheminer le trafic par une sortie hors UE ne supprime pas ce lien. L’analyse de l’établissement porte sur le traitement, pas sur le chemin du paquet.

Si ce contrôle s’applique, arrêtez-vous : la sortie VPN est sans effet sur la couverture, même si elle peut compter pour d’autres questions de transfert ou de sécurité.

Contrôle trois : offrir des services à des personnes de l’Union ou les surveiller

Sans établissement dans l’UE, l’article 3(2) s’applique à l’offre de biens ou de services à des personnes de l’Union, ou à la surveillance de leur comportement sur place. La simple accessibilité d’un site web ne suffit pas. Les lignes directrices de l’EDPB sur l’article 3 recherchent un ciblage délibéré des personnes de l’Union.

La présence de la personne au moment pertinent compte dans cette voie, et non la nationalité ou la résidence seules. Un visiteur illustratif hors de l’UE qui semble utiliser une IP de l’UE ne satisfait pas l’élément de localisation par ce seul fait. Ce qui compte est de savoir si l’offre ou la surveillance visait des personnes de l’Union. Une visite unique depuis une adresse apparemment européenne est une preuve faible en soi.

Si ni l’établissement ni le ciblage ne s’appliquent, la sortie VPN n’a pas créé de couverture. Si le ciblage s’applique, la sortie ne l’a pas supprimé.

Contrôle quatre : ce que la sortie VPN change et ne change pas

Une sortie différente change la source apparente d’une connexion. Elle peut changer ce qu’un site affiche, ce qui relève d’un choix de mise en œuvre. Elle ne change pas qui est le responsable, quelle est la finalité du traitement ni si l’offre visait des personnes de l’Union.

Traitez la géolocalisation comme un signal limité et documentez l’incertitude. Ne transformez pas une localisation inconnue en exemption.

Conservez la trace

Pour un opérateur de service, consignez l’entité responsable, l’établissement, la finalité, le public visé et toute surveillance. Évaluez les critères territoriaux avec un conseil qualifié en vie privée. Pour un particulier, partez de la notice de confidentialité et de l’entité qui traite vos informations.

Évaluez les règles relatives aux cookies et au stockage sur l’appareil séparément de la question de l’article 3. Ne transposez pas une conclusion d’une activité de traitement à chaque règle de suivi, et ne fusionnez pas les cadres de l’UE et du Royaume-Uni en une seule loi indifférenciée. La trace doit indiquer quel cadre vous avez évalué et pourquoi.