Cambia unha VPN o ámbito do RGPD? Unha lista de comprobación, non unha proba de IP

A pregunta adoita chegar como se usar unha VPN cambia a cobertura do RGPD. Non se pode responder desde un enderezo IP. A cobertura segue o tratamento: quen é responsable, en que contexto e de quen é o comportamento ou a oferta implicados. Percorra a lista de comprobación seguinte en orde e detéñase no primeiro punto que decida a cuestión para a súa actividade.

Unha VPN cambia a localización aparente dunha conexión. Non cambia o responsable, a finalidade nin as persoas ás que se dirixe.

Comprobación un: quen é o responsable e onde

Nomee a entidade responsable do tratamento e calquera encargado que actúe por conta dela. Rexistre o establecemento que decide por que e como se tratan os datos. Ese é o feito do que pende o resto da análise.

Se a entidade está establecida na UE, continúe coa comprobación dous. Se non, pase á comprobación tres.

Comprobación dous: o tratamento está vinculado a un establecemento da UE

O artigo 3(1) cobre o tratamento no contexto das actividades dun establecemento da UE, mesmo cando o propio tratamento ocorre fóra da Unión. A proba é o vínculo entre o tratamento e as actividades dese establecemento.

Unha oficina europea non arrastra automaticamente ao ámbito todas as operacións dunha multinacional. Igualmente, encamiñar o tráfico por unha saída fóra da UE non elimina ese vínculo. A análise do establecemento trata do tratamento, non do camiño do paquete.

Se se aplica esta comprobación, detéñase: a saída VPN é irrelevante para a cobertura, aínda que pode importar para outras cuestións de transferencia ou seguridade.

Comprobación tres: ofrecer ou supervisar a persoas na Unión

Sen un establecemento na UE, o artigo 3(2) aplícase a ofrecer bens ou servizos a persoas na Unión, ou a supervisar o seu comportamento alí. A mera accesibilidade dun sitio web non abonda. A guía do EDPB sobre o artigo 3 busca unha focalización deliberada en persoas da Unión.

A presenza da persoa no momento relevante importa nesta vía, non a nacionalidade nin a residencia por si soas. Un visitante ilustrativo fóra da UE que parece usar unha IP da UE non cumpre o elemento de localización só por ese feito. O que importa é se a oferta ou a supervisión se dirixía a persoas na Unión. Unha soa visita desde un enderezo aparentemente da UE é unha proba feble por si mesma.

Se non se aplica nin o establecemento nin a focalización, a saída VPN non creou cobertura. Se se aplica a focalización, a saída non a eliminou.

Comprobación catro: que cambia a saída VPN e que non

Unha saída distinta cambia a fonte aparente dunha conexión. Pode cambiar o que mostra un sitio, o que é unha decisión de implementación. Non cambia quen é o responsable, cal é a finalidade do tratamento nin se a oferta se dirixía a persoas na Unión.

Trate a xeolocalización como un sinal limitado e documente a incerteza. Non converte unha localización descoñecida nunha excepción.

Conserve o rexistro

Para un operador de servizos, rexistre a entidade responsable, o establecemento, a finalidade, o público previsto e calquera supervisión. Avalíe os criterios territoriais con asesoramento cualificado en privacidade. Para unha persoa, comece polo aviso de privacidade e a entidade que trata a súa información.

Avalíe as normas de cookies e almacenamento no dispositivo por separado da cuestión do artigo 3. Non trasplante unha conclusión dunha actividade de tratamento a cada norma de seguimento, nin combine os marcos da UE e do Reino Unido nunha soa lei indiferenciada. O rexistro debe dicir que marco avaliou e por que.