האם VPN משנה את היקף ה-GDPR? רשימת בדיקה, לא מבחן IP

השאלה מגיעה בדרך כלל בצורה של האם שימוש ב-VPN משנה את הכיסוי של ה-GDPR. אי אפשר לענות עליה מכתובת IP. הכיסוי הולך אחרי העיבוד: מי אחראי, באיזה הקשר ואיזו התנהגות או הצעה מעורבת. עברו על רשימת הבדיקה שלהלן לפי הסדר ועצרו בפריט הראשון שמכריע את השאלה עבור הפעילות שלכם.

VPN משנה את המיקום הנראה של חיבור. הוא לא משנה את הבקר, את המטרה או את האנשים שאליהם מכוונים.

בדיקה ראשונה: מי הבקר והיכן

ציינו את הגוף האחראי לעיבוד וכל מעבד הפועל מטעמו. תעדו את המִמסד שקובע מדוע וכיצד מטופלים הנתונים. זו העובדה שכל שאר הניתוח נשען עליה.

אם הגוף מבוסס באיחוד האירופי, המשיכו לבדיקה שנייה. אם לא, עברו לבדיקה שלישית.

בדיקה שנייה: האם העיבוד קשור למִמסד באיחוד

סעיף 3(1) מכסה עיבוד בהקשר של פעילויות של מִמסד באיחוד האירופי, גם כשהעיבוד עצמו מתרחש מחוץ לאיחוד. המבחן הוא הקשר בין העיבוד לפעילויות של אותו מִמסד.

משרד אירופי לא גורר אוטומטית כל פעולה של חברה רב-לאומית לתוך ההיקף. באותה מידה, ניתוב התעבורה דרך יציאה מחוץ לאיחוד לא מסיר את הקשר. ניתוח המִמסד עוסק בעיבוד, לא בנתיב החבילה.

אם בדיקה זו חלה, עצרו: יציאת VPN אינה רלוונטית לכיסוי, אף שהיא עשויה להיות חשובה לשאלות העברה או אבטחה אחרות.

בדיקה שלישית: הצעה לאנשים באיחוד או ניטור שלהם

בלי מִמסד באיחוד, סעיף 3(2) חל על הצעת סחורות או שירותים לאנשים באיחוד, או על ניטור התנהגותם שם. נגישות בלבד של אתר אינה מספיקה. הנחיות EDPB לסעיף 3 מחפשות מיקוד מכוון באנשים באיחוד.

נוכחותו של האדם בזמן הרלוונטי חשובה במסלול הזה, ולא אזרחות או תושבות לבדן. מבקר להמחשה מחוץ לאיחוד שנראה משתמש ב-IP של האיחוד אינו עומד ביסוד המיקום רק בגלל עובדה זו. החשוב הוא אם ההצעה או הניטור כוונו לאנשים באיחוד. ביקור אחד מכתובת שנראית אירופית הוא ראיה חלשה בפני עצמה.

אם לא חל לא מִמסד ולא מיקוד, יציאת ה-VPN לא יצרה כיסוי. אם המיקוד חל, היציאה לא הסירה אותו.

בדיקה רביעית: מה יציאת ה-VPN משנה ומה לא

יציאה אחרת משנה את המקור הנראה של חיבור. היא עשויה לשנות מה אתר מציג, וזו בחירת יישום. היא לא משנה מי הבקר, מה מטרת העיבוד או אם ההצעה כוונה לאנשים באיחוד.

התייחסו למיקום גאוגרפי כאות מוגבל ותעדו את אי-הוודאות. אל תהפכו מיקום לא ידוע לפטור.

שמרו את התיעוד

למפעיל שירות, תעדו את הגוף האחראי, את המִמסד, את המטרה, את הקהל המיועד וכל ניטור. העריכו את הקריטריונים הטריטוריאליים בייעוץ פרטיות מוסמך. ליחיד, התחילו מהודעת הפרטיות ומהגוף שמטפל במידע שלכם.

העריכו כללי קוקיז ואחסון במכשיר בנפרד משאלת סעיף 3. אל תעבירו מסקנה מפעילות עיבוד אחת לכל כלל מעקב, ואל תמזגו את מסגרות האיחוד ובריטניה לחוק אחד לא מובחן. התיעוד צריך לומר איזו מסגרת הערכתם ולמה.