VPN이 GDPR 적용 범위를 바꾸는가? IP 검사가 아니라 점검 목록

이 질문은 보통 VPN 사용이 GDPR 적용 범위를 바꾸는지의 형태로 온다. IP 주소만으로는 답할 수 없다. 적용 범위는 처리 행위를 따른다. 누가 책임지고, 어떤 맥락에서, 누구의 행동이나 제공이 관련되는지다. 아래 점검 목록을 순서대로 진행하고, 해당 활동에 대해 질문을 결정하는 첫 항목에서 멈추라.

VPN은 연결의 겉보기 위치를 바꾼다. 관리자, 목적, 표적이 되는 사람들은 바꾸지 않는다.

확인 하나: 관리자는 누구이며 어디에 있는가

처리에 책임이 있는 법인과 그를 위해 행동하는 처리자를 밝혀라. 데이터를 왜, 어떻게 다루는지 결정하는 설립지를 기록하라. 나머지 분석이 기대는 사실이 바로 이것이다.

법인이 EU에 설립되어 있으면 확인 둘로 넘어가라. 그렇지 않으면 확인 셋으로 가라.

확인 둘: 처리가 EU 설립지와 연결되는가

제3(1)조는 처리 자체가 연합 밖에서 이루어지더라도 EU 설립지 활동의 맥락에서 이루어지는 처리를 포괄한다. 판단 기준은 처리와 그 설립지 활동 사이의 연결이다.

유럽 사무소가 있다고 다국적 기업의 모든 운영이 자동으로 적용 범위에 들어오지는 않는다. 마찬가지로 트래픽을 EU 밖 출구로 보낸다고 그 연결이 사라지지도 않는다. 설립지 분석은 처리에 관한 것이지 패킷 경로에 관한 것이 아니다.

이 확인이 적용되면 멈추라. VPN 출구는 적용 범위와 무관하지만, 다른 이전이나 보안 질문에는 중요할 수 있다.

확인 셋: 연합 내 사람들에게 제공하거나 감시하는 경우

EU 설립지가 없으면 제3(2)조는 연합 내 사람들에게 재화나 서비스를 제공하거나 그곳에서 그들의 행동을 감시하는 경우에 적용된다. 웹사이트에 접근할 수 있다는 것만으로는 충분하지 않다. 제3조에 관한 EDPB 지침은 연합 내 사람들에 대한 의도적 표적화를 찾는다.

이 경로에서는 관련 시점의 사람의 존재가 중요하며, 국적이나 거주지만으로는 부족하다. EU IP를 쓰는 것처럼 보이는 역외의 예시적 방문자는 그 사실만으로 위치 요건을 충족하지 않는다. 중요한 것은 제공이나 감시가 연합 내 사람들을 겨냥했는지다. 겉보기 EU 주소에서의 한 번의 방문은 그 자체로 약한 증거다.

설립지도 표적화도 적용되지 않으면 VPN 출구는 적용 범위를 만들지 않았다. 표적화가 적용되면 출구는 그것을 없애지 않았다.

확인 넷: VPN 출구가 바꾸는 것과 바꾸지 않는 것

다른 출구는 연결의 겉보기 출처를 바꾼다. 사이트가 보여주는 것을 바꿀 수 있으며, 이는 구현 선택이다. 관리자가 누구인지, 처리 목적이 무엇인지, 제공이 연합 내 사람들을 겨냥했는지는 바꾸지 않는다.

지리 위치를 제한된 신호로 다루고 불확실성을 기록하라. 알 수 없는 위치를 면제로 바꾸지 말라.

기록을 남겨라

서비스 운영자라면 책임 법인, 설립지, 목적, 의도한 대상, 그리고 모든 감시를 기록하라. 영역 기준은 자격을 갖춘 개인정보 자문과 함께 평가하라. 개인이라면 개인정보 고지와 자신의 정보를 처리하는 법인부터 시작하라.

쿠키와 기기 저장 규칙은 제3조 질문과 별도로 평가하라. 한 처리 활동의 결론을 모든 추적 규칙에 이식하지 말고, EU와 영국의 체계를 하나의 미분화된 법으로 합치지 말라. 기록에는 어떤 체계를 평가했는지와 그 이유를 적어야 한다.