VPNはGDPRの適用範囲を変えるか？IPテストではなくチェックリスト

この問いは通常、VPNを使うことでGDPRの適用範囲が変わるかという形で届く。IPアドレスからは答えられない。適用範囲は処理に従う。誰が責任を負い、どのような文脈で、誰の行動や提供が関わるのか。以下のチェックリストを順に進み、あなたの活動について問いを決める最初の項目で止まってほしい。

VPNは接続の見かけの位置を変える。管理者、目的、対象となる人々を変えるものではない。

確認一：管理者は誰で、どこにいるか

処理に責任を負う事業者と、そのために行動する処理者を特定する。データをなぜ、どのように扱うかを決める拠点を記録する。これが分析全体の拠り所となる事実だ。

事業者がEUに拠点を置いているなら確認二へ進む。そうでなければ確認三へ進む。

確認二：処理はEUの拠点に結びついているか

第3(1)条は、処理そのものが連合の外で行われる場合でも、EUの拠点の活動の文脈における処理を対象とする。判断基準は、処理とその拠点の活動との結びつきだ。

欧州のオフィスがあるからといって、多国籍企業のあらゆる業務が自動的に適用範囲に入るわけではない。同様に、通信をEU外の出口経由にしても、その結びつきは消えない。 拠点の分析は処理についてであり、パケットの経路についてではない。

この確認が当てはまるなら止める。VPNの出口は適用範囲には無関係だが、他の移転やセキュリティの問いには関係しうる。

確認三：連合内の人々への提供または監視

EUの拠点がない場合、第3(2)条は連合内の人々への商品やサービスの提供、またはそこでの行動の監視に適用される。ウェブサイトにアクセスできるだけでは足りない。 EDPBの第3条に関するガイダンスは、連合内の人々への意図的な対象化を探る。

この経路では、関連する時点での本人の所在が重要であり、国籍や居住だけでは足りない。EUのIPを使っているように見える域外の例示的な訪問者は、その事実だけでは場所の要件を満たさない。重要なのは、提供や監視が連合内の人々に向けられていたかどうかだ。見かけ上EUのアドレスからの一度の訪問は、それ自体では弱い証拠にすぎない。

拠点も対象化も当てはまらなければ、VPNの出口は適用範囲を生んでいない。対象化が当てはまるなら、出口はそれを取り除いていない。

確認四：VPNの出口が変えるものと変えないもの

別の出口は接続の見かけの起点を変える。サイトの表示を変えることがあり、それは実装上の選択だ。管理者が誰か、処理の目的は何か、提供が連合内の人々に向けられていたかは変えない。

地理位置情報は限られた信号として扱い、不確実性を記録する。未知の位置を免除に変えてはならない。

記録を残す

サービス運営者なら、責任を負う事業者、拠点、目的、想定する対象者、監視の有無を記録する。領域的な基準は資格あるプライバシー助言とともに評価する。個人なら、プライバシー通知と自分の情報を扱う事業者から始める。

Cookieと端末保存のルールは、第3条の問いとは別に評価する。ある処理活動の結論をあらゆる追跡ルールに移植せず、EUと英国の枠組みを一つの未分化な法にまとめない。記録には、どの枠組みを評価したのか、なぜかを書く。