Breyir VPN gildissvið GDPR? Gátlisti, ekki IP-próf

Spurningin kemur venjulega sem hvort notkun VPN breyti umfangi GDPR. Ekki er hægt að svara henni út frá IP-tölu. Umfangið fylgir vinnslunni: hver ber ábyrgð, í hvaða samhengi og hverrar hegðunar eða tilboðs er getið. Farðu í gegnum gátlistann hér að neðan í röð og stöðvaðu við fyrstu atriðið sem ræður spurningunni fyrir starfsemi þína.

VPN breytir sýnilegri staðsetningu tengingar. Það breytir ekki stýringaraðilanum, tilganginum eða fólkinu sem er miðað á.

Fyrsta athugun: hver er stýringaraðilinn og hvar

Nefndu aðilann sem ber ábyrgð á vinnslunni og hvern þann vinnsluaðila sem starfar fyrir hann. Skráðu staðfestinguna sem ræður því hvers vegna og hvernig gögnin eru meðhöndluð. Þetta er sú staðreynd sem afgangur greiningarinnar hvílir á.

Ef aðilinn er staðfestur í ESB, haltu áfram í athugun tvö. Ef ekki, farðu í athugun þrjú.

Önnur athugun: er vinnslan tengd staðfestingu í ESB

3(1) grein tekur til vinnslu í samhengi við starfsemi staðfestingar í ESB, jafnvel þegar vinnslan sjálf fer fram utan sambandsins. Prófið er tengslið milli vinnslunnar og starfsemi þeirrar staðfestingar.

Evrópsk skrifstofa dregur ekki sjálfkrafa hverja aðgerð fjölþjóðlegs fyrirtækis inn í umfangið. Á sama hátt fjarlægir beining umferðarinnar um útgang utan ESB ekki þetta tengsl. Greining staðfestingar snýst um vinnsluna, ekki slóð pakkans.

Ef þessi athugun á við, stöðvaðu: VPN-útgangurinn skiptir ekki máli fyrir umfangið, þótt hann geti skipt máli fyrir aðrar spurningar um flutning eða öryggi.

Þriðja athugun: að bjóða eða fylgjast með fólki í sambandinu

Án staðfestingar í ESB gildir 3(2) grein um að bjóða vörur eða þjónustu fólki í sambandinu, eða um að fylgjast með hegðun þess þar. Einfalt aðgengi að vefsíðu er ekki nóg. Leiðbeiningar EDPB um 3. grein leita að viljandi miðun á fólk í sambandinu.

Viðvera mannsins á viðeigandi tíma skiptir máli á þessari leið, ekki ríkisborgararéttur eða búseta ein. Skýringardæmi um gest utan ESB sem virðist nota ESB-IP uppfyllir ekki staðsetningarþáttinn eingöngu af þeirri staðreynd. Það sem skiptir máli er hvort tilboðinu eða eftirlitinu var beint að fólki í sambandinu. Eitt heimsókn frá sýnilega ESB-tölu er veik sönnun út af fyrir sig.

Ef hvorki staðfesting né miðun á við, hefur VPN-útgangurinn ekki skapað umfang. Ef miðun á við, hefur útgangurinn ekki fjarlægt hana.

Fjórða athugun: hvað VPN-útgangurinn breytir og hvað ekki

Annar útgangur breytir sýnilegum uppruna tengingar. Hann getur breytt því sem síða sýnir, sem er útfærsluval. Hann breytir ekki hver stýringaraðilinn er, hver tilgangur vinnslunnar er eða hvort tilboðinu var beint að fólki í sambandinu.

Meðhöndlaðu staðsetningargreiningu sem takmarkað merki og skráðu óvissuna. Ekki breyta óþekktri staðsetningu í undanþágu.

Geymdu skráninguna

Fyrir þjónusturekanda, skráðu ábyrga aðilann, staðfestinguna, tilganginn, fyrirhugaðan áhorfendahóp og hvert eftirlit. Metið landfræðilegu viðmiðin með hæfri persónuverndarráðgjöf. Fyrir einstakling, byrjaðu á persónuverndartilkynningunni og aðilanum sem meðhöndlar upplýsingarnar þínar.

Metið reglur um vafrakökur og geymslu á tæki aðskilið frá spurningunni um 3. grein. Flytjið ekki niðurstöðu úr einni vinnsluaðgerð yfir á hverja rakningareglu, og sameinið ekki ramma ESB og Bretlands í eitt óaðgreint lög. Skráningin ætti að segja hvaða ramma þú metir og hvers vegna.