क्या VPN GDPR का दायरा बदलता है? एक जाँच-सूची, IP परीक्षण नहीं

प्रश्न आमतौर पर इस रूप में आता है कि क्या VPN का उपयोग GDPR के दायरे को बदलता है। इसका उत्तर किसी IP पते से नहीं दिया जा सकता। दायरा प्रसंस्करण के पीछे चलता है: कौन ज़िम्मेदार है, किस संदर्भ में और किसका व्यवहार या प्रस्ताव शामिल है। नीचे दी जाँच-सूची क्रम से करें और पहले उस बिंदु पर रुकें जो आपकी गतिविधि के लिए प्रश्न तय करता है।

VPN किसी कनेक्शन का दिखने वाला स्थान बदलता है। यह नियंत्रक, उद्देश्य या जिन लोगों को लक्ष्य बनाया जा रहा है उन्हें नहीं बदलता।

पहली जाँच: नियंत्रक कौन है और कहाँ

प्रसंस्करण के लिए ज़िम्मेदार इकाई और उसकी ओर से काम करने वाले किसी भी प्रोसेसर का नाम लिखें। उस प्रतिष्ठान को दर्ज करें जो तय करता है कि डेटा क्यों और कैसे संभाला जाता है। बाकी विश्लेषण इसी तथ्य पर टिका है।

यदि इकाई EU में स्थापित है, तो दूसरी जाँच पर जाएँ। यदि नहीं, तो तीसरी जाँच पर जाएँ।

दूसरी जाँच: क्या प्रसंस्करण EU प्रतिष्ठान से जुड़ा है

अनुच्छेद 3(1) EU प्रतिष्ठान की गतिविधियों के संदर्भ में प्रसंस्करण को कवर करता है, भले ही प्रसंस्करण स्वयं संघ के बाहर हो। परीक्षण प्रसंस्करण और उस प्रतिष्ठान की गतिविधियों के बीच का संबंध है।

कोई यूरोपीय कार्यालय किसी बहुराष्ट्रीय कंपनी के हर कार्य को स्वतः दायरे में नहीं खींचता। उसी तरह, ट्रैफ़िक को EU के बाहर के एग्ज़िट से भेजने पर वह संबंध नहीं हटता। प्रतिष्ठान का विश्लेषण प्रसंस्करण के बारे में है, पैकेट के मार्ग के बारे में नहीं।

यदि यह जाँच लागू होती है, तो रुकें: दायरे के लिए VPN एग्ज़िट अप्रासंगिक है, हालाँकि यह अन्य स्थानांतरण या सुरक्षा प्रश्नों के लिए मायने रख सकता है।

तीसरी जाँच: संघ में लोगों को प्रस्ताव देना या निगरानी करना

EU प्रतिष्ठान के बिना, अनुच्छेद 3(2) संघ में लोगों को वस्तु या सेवाएँ देने पर, या वहाँ उनके व्यवहार की निगरानी पर लागू होता है। किसी वेबसाइट का केवल सुलभ होना पर्याप्त नहीं है। अनुच्छेद 3 पर EDPB का मार्गदर्शन संघ में लोगों पर जानबूझकर लक्ष्यीकरण खोजता है।

इस मार्ग में प्रासंगिक समय पर व्यक्ति की उपस्थिति मायने रखती है, केवल नागरिकता या निवास नहीं। EU के बाहर का एक उदाहरणीय आगंतुक, जो EU का IP उपयोग करता दिखता है, केवल इस तथ्य से स्थान का तत्व पूरा नहीं करता। मायने यह रखता है कि प्रस्ताव या निगरानी संघ में लोगों पर लक्षित थी या नहीं। किसी प्रत्यक्ष EU पते से एक ही यात्रा अपने आप में कमज़ोर साक्ष्य है।

यदि न प्रतिष्ठान लागू होता है न लक्ष्यीकरण, तो VPN एग्ज़िट ने दायरा नहीं बनाया। यदि लक्ष्यीकरण लागू होता है, तो एग्ज़िट ने उसे नहीं हटाया।

चौथी जाँच: VPN एग्ज़िट क्या बदलता है और क्या नहीं

अलग एग्ज़िट किसी कनेक्शन का दिखने वाला स्रोत बदलता है। यह बदल सकता है कि कोई साइट क्या दिखाती है, जो कार्यान्वयन का चुनाव है। यह नहीं बदलता कि नियंत्रक कौन है, प्रसंस्करण का उद्देश्य क्या है, या प्रस्ताव संघ में लोगों पर लक्षित था या नहीं।

भू-स्थान को सीमित संकेत मानें और अनिश्चितता दर्ज करें। अज्ञात स्थान को छूट में न बदलें।

रिकॉर्ड रखें

सेवा संचालक के लिए, ज़िम्मेदार इकाई, प्रतिष्ठान, उद्देश्य, इच्छित दर्शक और किसी भी निगरानी को दर्ज करें। क्षेत्रीय मानदंडों का मूल्यांकन योग्य गोपनीयता-सलाह के साथ करें। व्यक्ति के लिए, गोपनीयता सूचना और आपकी जानकारी संभालने वाली इकाई से शुरू करें।

कुकी और डिवाइस-संग्रहण के नियमों का मूल्यांकन अनुच्छेद 3 के प्रश्न से अलग करें। एक प्रसंस्करण गतिविधि के निष्कर्ष को हर ट्रैकिंग नियम पर न ले जाएँ, और EU तथा UK के ढाँचों को एक अविभेदित कानून में न मिलाएँ। रिकॉर्ड में कहा जाना चाहिए कि आपने कौन-सा ढाँचा आँका और क्यों।