Una VPN cambia l’ambito del GDPR? Una lista di controllo, non un test IP

La domanda di solito arriva come se usare una VPN cambi la copertura del GDPR. Non si può rispondere da un indirizzo IP. La copertura segue il trattamento: chi è responsabile, in quale contesto e di chi è il comportamento o l’offerta coinvolti. Segui la lista di controllo qui sotto nell’ordine e fermati al primo punto che decide la questione per la tua attività.

Una VPN cambia la posizione apparente di una connessione. Non cambia il titolare, la finalità o le persone a cui si mira.

Controllo uno: chi è il titolare e dove

Indica l’entità responsabile del trattamento e ogni responsabile del trattamento che agisce per essa. Registra lo stabilimento che decide perché e come sono trattati i dati. È il fatto su cui poggia il resto dell’analisi.

Se l’entità è stabilita nell’UE, passa al controllo due. Se no, vai al controllo tre.

Controllo due: il trattamento è legato a uno stabilimento UE

L’articolo 3(1) copre il trattamento nel contesto delle attività di uno stabilimento nell’Unione, anche quando il trattamento stesso avviene fuori dall’Unione. Il test è il legame tra il trattamento e le attività di quello stabilimento.

Un ufficio europeo non trascina automaticamente nell’ambito ogni operazione di una multinazionale. Allo stesso modo, instradare il traffico attraverso un’uscita fuori dall’UE non elimina quel legame. L’analisi dello stabilimento riguarda il trattamento, non il percorso del pacchetto.

Se questo controllo si applica, fermati: l’uscita VPN è irrilevante per la copertura, anche se può contare per altre questioni di trasferimento o sicurezza.

Controllo tre: offrire o monitorare persone nell’Unione

Senza uno stabilimento nell’UE, l’articolo 3(2) si applica all’offerta di beni o servizi a persone nell’Unione, o al monitoraggio del loro comportamento sul posto. La mera accessibilità di un sito web non basta. Le linee guida dell’EDPB sull’articolo 3 cercano un targeting deliberato delle persone nell’Unione.

La presenza della persona nel momento rilevante conta in questa via, non la cittadinanza o la residenza da sole. Un visitatore illustrativo fuori dall’UE che sembra usare un IP dell’UE non soddisfa l’elemento di localizzazione solo per questo fatto. Ciò che conta è se l’offerta o il monitoraggio erano rivolti a persone nell’Unione. Una singola visita da un indirizzo apparentemente UE è una prova debole di per sé.

Se non si applicano né lo stabilimento né il targeting, l’uscita VPN non ha creato copertura. Se si applica il targeting, l’uscita non l’ha rimossa.

Controllo quattro: cosa cambia l’uscita VPN e cosa no

Un’uscita diversa cambia la fonte apparente di una connessione. Può cambiare ciò che un sito mostra, che è una scelta di implementazione. Non cambia chi è il titolare, quale sia la finalità del trattamento o se l’offerta fosse rivolta a persone nell’Unione.

Tratta la geolocalizzazione come segnale limitato e documenta l’incertezza. Non trasformare una posizione sconosciuta in un’esenzione.

Conserva il registro

Per un operatore di servizi, registra l’entità responsabile, lo stabilimento, la finalità, il pubblico previsto e ogni monitoraggio. Valuta i criteri territoriali con una consulenza qualificata sulla privacy. Per un individuo, parti dall’informativa sulla privacy e dall’entità che tratta le tue informazioni.

Valuta le regole su cookie e archiviazione sul dispositivo separatamente dalla questione dell’articolo 3. Non trapiantare una conclusione da un’attività di trattamento a ogni regola di tracciamento, e non fondere i quadri dell’UE e del Regno Unito in un’unica legge indifferenziata. Il registro deve dire quale quadro hai valutato e perché.