Apakah VPN mengubah cakupan GDPR? Daftar periksa, bukan uji IP

Pertanyaan biasanya muncul sebagai apakah penggunaan VPN mengubah cakupan GDPR. Itu tidak bisa dijawab dari alamat IP. Cakupan mengikuti pemrosesan: siapa yang bertanggung jawab, dalam konteks apa, dan perilaku atau penawaran siapa yang terlibat. Jalankan daftar periksa di bawah secara berurutan dan berhenti pada butir pertama yang memutuskan pertanyaan bagi aktivitas Anda.

VPN mengubah lokasi tampak suatu koneksi. Ini tidak mengubah pengendali, tujuan, atau orang yang menjadi sasaran.

Pemeriksaan satu: siapa pengendalinya dan di mana

Sebutkan entitas yang bertanggung jawab atas pemrosesan dan setiap prosesor yang bertindak untuknya. Catat pendirian yang menentukan mengapa dan bagaimana data ditangani. Inilah fakta yang menjadi landasan seluruh analisis.

Jika entitas didirikan di UE, lanjutkan ke pemeriksaan dua. Jika tidak, pergi ke pemeriksaan tiga.

Pemeriksaan dua: apakah pemrosesan terkait pendirian di UE

Pasal 3(1) mencakup pemrosesan dalam konteks kegiatan pendirian di UE, bahkan ketika pemrosesan itu sendiri terjadi di luar Uni. Ujinya adalah keterkaitan antara pemrosesan dan kegiatan pendirian tersebut.

Kantor Eropa tidak otomatis menarik setiap operasi perusahaan multinasional ke dalam cakupan. Sama halnya, merutekan lalu lintas melalui exit di luar UE tidak menghapus keterkaitan itu. Analisis pendirian menyangkut pemrosesan, bukan jalur paket.

Jika pemeriksaan ini berlaku, berhenti: exit VPN tidak relevan bagi cakupan, meskipun dapat penting bagi pertanyaan transfer atau keamanan lain.

Pemeriksaan tiga: menawarkan atau memantau orang di Uni

Tanpa pendirian di UE, Pasal 3(2) berlaku untuk menawarkan barang atau jasa kepada orang di Uni, atau memantau perilaku mereka di sana. Sekadar keterjangkauan situs web tidak cukup. Panduan EDPB tentang Pasal 3 mencari penargetan yang disengaja terhadap orang di Uni.

Kehadiran orang pada waktu yang relevan penting dalam jalur ini, bukan kewarganegaraan atau domisili semata. Pengunjung ilustratif di luar UE yang tampak menggunakan IP UE tidak memenuhi unsur lokasi hanya karena fakta itu. Yang penting adalah apakah penawaran atau pemantauan diarahkan kepada orang di Uni. Satu kunjungan dari alamat yang tampak UE adalah bukti lemah dengan sendirinya.

Jika baik pendirian maupun penargetan tidak berlaku, exit VPN tidak menciptakan cakupan. Jika penargetan berlaku, exit tidak menghapusnya.

Pemeriksaan empat: apa yang diubah exit VPN dan apa yang tidak

Exit yang berbeda mengubah sumber tampak suatu koneksi. Ini dapat mengubah apa yang ditampilkan situs, yang merupakan pilihan implementasi. Ini tidak mengubah siapa pengendalinya, apa tujuan pemrosesan, atau apakah penawaran diarahkan kepada orang di Uni.

Perlakukan geolokasi sebagai sinyal terbatas dan dokumentasikan ketidakpastiannya. Jangan mengubah lokasi tak dikenal menjadi pengecualian.

Simpan catatan

Untuk operator layanan, catat entitas yang bertanggung jawab, pendirian, tujuan, audiens yang dimaksudkan, dan setiap pemantauan. Nilai kriteria teritorial dengan nasihat privasi yang berkualifikasi. Untuk individu, mulai dari pemberitahuan privasi dan entitas yang menangani informasi Anda.

Nilai aturan cookie dan penyimpanan perangkat secara terpisah dari pertanyaan Pasal 3. Jangan memindahkan kesimpulan dari satu kegiatan pemrosesan ke setiap aturan pelacakan, dan jangan melebur kerangka UE dan Britania Raya menjadi satu hukum tanpa pembedaan. Catatan harus menyebutkan kerangka mana yang Anda nilai dan mengapa.