Megváltoztatja a VPN a GDPR hatályát? Ellenőrzőlista, nem IP-teszt

A kérdés általában úgy érkezik, hogy a VPN használata megváltoztatja-e a GDPR lefedettségét. IP-címből nem válaszolható meg. A lefedettség a kezelést követi: ki felelős, milyen összefüggésben, és kinek a magatartása vagy ajánlata érintett. Végezze el az alábbi ellenőrzőlistát sorrendben, és álljon meg az első pontnál, amely eldönti a kérdést a tevékenységére nézve.

A VPN megváltoztatja a kapcsolat látszólagos helyét. Nem változtatja meg az adatkezelőt, a célt vagy a célzott személyeket.

Első ellenőrzés: ki az adatkezelő és hol

Nevezze meg a kezelésért felelős szervezetet és a nevében eljáró adatfeldolgozót. Rögzítse a telephelyet, amely eldönti, miért és hogyan kezelik az adatokat. Ez az a tény, amelyen az elemzés többi része nyugszik.

Ha a szervezet az EU-ban telepedett le, folytassa a második ellenőrzéssel. Ha nem, lépjen a harmadikra.

Második ellenőrzés: kötődik-e a kezelés EU-s telephelyhez

A 3(1) cikk az EU-s telephely tevékenységeinek összefüggésében végzett kezelésre terjed ki, akkor is, ha maga a kezelés az Unión kívül történik. A teszt a kezelés és az adott telephely tevékenységei közötti kapcsolat.

Egy európai iroda nem húzza automatikusan a hatály alá egy multinacionális vállalat minden műveletét. Ugyanígy a forgalom EU-n kívüli kimeneten át történő átirányítása nem szünteti meg ezt a kapcsolatot. A telephelyvizsgálat a kezelésről szól, nem a csomag útjáról.

Ha ez az ellenőrzés érvényes, álljon meg: a VPN-kimenet irreleváns a lefedettség szempontjából, bár más átadási vagy biztonsági kérdésekben számíthat.

Harmadik ellenőrzés: felajánlás vagy megfigyelés az Unióban

EU-s telephely nélkül a 3(2) cikk az Unióban lévő személyeknek szóló áru- vagy szolgáltatásfelajánlásra, illetve ottani magatartásuk megfigyelésére alkalmazandó. Egy weboldal puszta elérhetősége nem elég. Az EDPB 3. cikkre vonatkozó iránymutatása szándékos célzást keres az Unióban lévő személyekre.

A személy jelenléte a releváns időpontban számít ezen az úton, nem az állampolgárság vagy a lakóhely önmagában. Egy szemléltető, EU-n kívüli látogató, aki látszólag EU-s IP-t használ, önmagában ezzel a ténnyel nem teljesíti a hely elemet. Az számít, hogy az ajánlás vagy a megfigyelés az Unióban lévő személyekre irányult-e. Egyetlen látogatás egy látszólag EU-s címről önmagában gyenge bizonyíték.

Ha sem a telephely, sem a célzás nem érvényes, a VPN-kimenet nem teremtett lefedettséget. Ha a célzás érvényes, a kimenet nem szüntette meg.

Negyedik ellenőrzés: mit változtat a VPN-kimenet és mit nem

Egy másik kimenet megváltoztatja a kapcsolat látszólagos forrását. Megváltoztathatja, mit mutat egy oldal, ami megvalósítási döntés. Nem változtatja meg, ki az adatkezelő, mi a kezelés célja, vagy hogy az ajánlás az Unióban lévő személyekre irányult-e.

Kezelje a geolokációt korlátozott jelzésként, és dokumentálja a bizonytalanságot. Ne alakítson egy ismeretlen helyet kivétellé.

Őrizze meg a nyilvántartást

Szolgáltató esetében rögzítse a felelős szervezetet, a telephelyet, a célt, a tervezett közönséget és minden megfigyelést. Értékelje a területi kritériumokat szakképzett adatvédelmi tanácsadással. Magánszemélyként kezdje az adatvédelmi tájékoztatóval és azzal a szervezettel, amely az adatait kezeli.

A sütikre és az eszközön történő tárolásra vonatkozó szabályokat a 3. cikk kérdésétől elkülönítve értékelje. Ne ültessen át egy kezelési tevékenységből származó következtetést minden nyomkövetési szabályra, és ne olvassza össze az EU és az Egyesült Királyság keretrendszerét egyetlen megkülönböztetés nélküli jogba. A nyilvántartásnak meg kell mondania, melyik keretrendszert értékelte és miért.