Ännert eng VPN den Umfang vum GDPR? Eng Checklist, keen IP-Test

D’Fro kënnt meeschtens als ob d’Benotze vun enger VPN d’Ofdeckung vum GDPR ännert. Si ass net aus enger IP-Adress ze beäntweren. D’Ofdeckung follegt der Veraarbechtung: wien responsabel ass, a wéi engem Kontext a wien seng Verhalen oder Ugebot bedeelegt ass. Schaff d’Checklist hei drënner an der Rei duerch a stopp bei deem éischten Item, deen d’Fro fir deng Aktivitéit entscheet.

Eng VPN ännert déi scheinbar Plaz vun enger Verbindung. Si ännert net de Verantwortlechen, den Zweck oder d’Leit, op déi gezilt gëtt.

Kontroll een: wien ass de Verantwortlechen a wou

Nenn d’Entitéit, déi fir d’Veraarbechtung responsabel ass, an all Veraarbechter, deen an hirem Numm handelt. Halt d’Etablissement fest, dat entscheet firwat a wéi d’Date behandelt ginn. Dat ass de Fakt, op deem de Rescht vun der Analyse steet.

Wann d’Entitéit an der EU etabléiert ass, fuert weider mat Kontroll zwee. Wann net, gitt op Kontroll dräi.

Kontroll zwee: ass d’Veraarbechtung un en EU-Etablissement gebonnen

Den Artikel 3(1) deckt d’Veraarbechtung am Kontext vun den Aktivitéite vun engem Etablissement an der EU, och wann d’Veraarbechtung selwer baussent der Unioun geschitt. Den Test ass de Link tëscht der Veraarbechtung an den Aktivitéite vun deem Etablissement.

En europäescht Büro zitt net automatesch all Operatioun vun enger multinationaler Firma an den Umfang. Gläichermooss hëlt d’Leetung vum Traffic duerch en Ausgang baussent der EU dee Link net ewech. D’Etablissementsanalyse geet ëm d’Veraarbechtung, net ëm de Paketswee.

Wann dës Kontroll gëllt, stopp: den VPN-Ausgang ass irrelevant fir d’Ofdeckung, och wann en an anere Transfer- oder Sécherheetsfroe ka wichteg sinn.

Kontroll dräi: Leit an der Unioun ubidden oder iwwerwaachen

Ouni Etablissement an der EU gëllt den Artikel 3(2) fir d’Ubiete vu Wueren oder Servicer u Leit an der Unioun, oder fir d’Iwwerwaachung vun hirem Verhalen do. Just d’Erreechbarkeet vun enger Websäit ass net genuch. D’Leitlinne vum EDPB zum Artikel 3 siche si op eng bewosst Zilrichtung op Leit an der Unioun.

D’Präsenz vun der Persoun zum relevante Moment zielt op dësem Wee, net d’Nationalitéit oder de Wunnsëtz eleng. En illustrativen Visiteur baussent der EU, deen eng EU-IP ze benotzen schéngt, erfëllt d’Plaz-Element net just duerch dëse Fakt. Wat zielt ass, ob d’Ugebot oder d’Iwwerwaachung op Leit an der Unioun geriicht war. En eenzege Besuch vun enger anscheinend EU-Adress ass vu sech aus schwaach Beweis.

Wann weder Etablissement nach Zilrichtung gëllt, huet den VPN-Ausgang keng Ofdeckung geschaf. Wann d’Zilrichtung gëllt, huet den Ausgang se net ewechgeholl.

Kontroll véier: wat den VPN-Ausgang ännert a wat net

En aneren Ausgang ännert déi scheinbar Quell vun enger Verbindung. En kann ännere wat eng Säit weist, wat eng Ëmsetzungsentscheedung ass. En ännert net wien de Verantwortlechen ass, wat den Zweck vun der Veraarbechtung ass oder ob d’Ugebot op Leit an der Unioun geriicht war.

Behandelt Geolokaliséierung als begrenzt Signal a dokumentéiert d’Onsécherheet. Maacht aus enger onbekannter Plaz keng Ausnam.

Halt de Rekord

Fir en Déngschtleeschtungsbedreiwer, halt d’responsabel Entitéit, d’Etablissement, den Zweck, den ugeduechten Public an all Iwwerwaachung fest. Bewäert d’territorial Kritéieren mat qualifizéierter Privatsphär-Berodung. Fir eng Persoun, fänk mat der Dateschutzhinweis an der Entitéit un, déi deng Informatiounen behandelt.

Bewäert d’Regele fir Cookien an d’Späichere op Apparaten getrennt vun der Fro vum Artikel 3. Iwwerdro keng Conclusioun vun enger Veraarbechtungsaktivitéit op all Tracking-Reegel, a fusionéier d’Kader vun der EU a Groussbritannien net zu engem onënnerscheeten Gesetz. De Rekord soll soen wéi ee Kader s du bewäert hues a firwat.