Ar VPN keičia GDPR taikymo apimtį? Kontrolinis sąrašas, o ne IP testas

Klausimas paprastai ateina taip: ar VPN naudojimas keičia GDPR aprėptį. Į jį negalima atsakyti iš IP adreso. Aprėptis seka tvarkymą: kas atsakingas, kokiame kontekste ir kieno elgsena ar pasiūlymas dalyvauja. Peržiūrėkite toliau pateiktą kontrolinį sąrašą iš eilės ir sustokite ties pirmu punktu, kuris nusprendžia klausimą jūsų veiklai.

VPN keičia akivaizdžią ryšio vietą. Jis nekeičia duomenų valdytojo, tikslo ar žmonių, į kuriuos nukreipta.

Pirmas patikrinimas: kas yra duomenų valdytojas ir kur

Įvardykite už tvarkymą atsakingą subjektą ir bet kurį jo vardu veikiantį tvarkytoją. Užregistruokite įsisteigimą, kuris nusprendžia, kodėl ir kaip tvarkomi duomenys. Tai faktas, kuriuo remiasi likusi analizė.

Jei subjektas įsisteigęs ES, tęskite antrą patikrinimą. Jei ne, pereikite prie trečio.

Antras patikrinimas: ar tvarkymas susietas su ES įsisteigimu

3(1) straipsnis apima tvarkymą ES įsisteigimo veiklos kontekste, net kai pats tvarkymas vyksta už Sąjungos ribų. Testas yra ryšys tarp tvarkymo ir to įsisteigimo veiklos.

Europos biuras automatiškai neįtraukia visos tarptautinės įmonės veiklos į aprėptį. Lygiai taip pat srauto nukreipimas per išėjimą už ES nepašalina šio ryšio. Įsisteigimo analizė yra apie tvarkymą, o ne apie paketo kelią.

Jei šis patikrinimas taikomas, sustokite: VPN išėjimas aprėpčiai nesvarbus, nors gali būti svarbus kitiems perdavimo ar saugumo klausimams.

Trečias patikrinimas: pasiūlymas ar stebėjimas Sąjungoje

Be ES įsisteigimo 3(2) straipsnis taikomas prekių ar paslaugų siūlymui Sąjungoje esantiems žmonėms arba jų elgsenos stebėjimui ten. Vien svetainės pasiekiamumas nepakanka. EDPB gairės dėl 3 straipsnio ieško tyčinio nukreipimo į Sąjungoje esančius žmones.

Šiame kelyje svarbus asmens buvimas atitinkamu metu, o ne vien pilietybė ar gyvenamoji vieta. Iliustratyvus lankytojas už ES, kuris atrodo naudojantis ES IP, vien šiuo faktu neatitinka vietos elemento. Svarbu, ar pasiūlymas arba stebėjimas buvo nukreiptas į Sąjungoje esančius žmones. Vienas apsilankymas iš tariamai ES adreso savaime yra silpnas įrodymas.

Jei netaikomas nei įsisteigimas, nei nukreipimas, VPN išėjimas nesukūrė aprėpties. Jei nukreipimas taikomas, išėjimas jo nepašalino.

Ketvirtas patikrinimas: ką VPN išėjimas keičia ir ko ne

Kitas išėjimas keičia akivaizdų ryšio šaltinį. Jis gali pakeisti, ką rodo svetainė, o tai įgyvendinimo pasirinkimas. Jis nekeičia, kas yra duomenų valdytojas, koks tvarkymo tikslas ar ar pasiūlymas buvo nukreiptas į Sąjungoje esančius žmones.

Traktuokite geolokaciją kaip ribotą signalą ir dokumentuokite neapibrėžtumą. Nepaverskite nežinomos vietos išimtimi.

Išsaugokite įrašą

Paslaugos operatoriui užregistruokite atsakingą subjektą, įsisteigimą, tikslą, numatomą auditoriją ir bet kokį stebėjimą. Vertinkite teritorinius kriterijus su kvalifikuotu privatumo patarimu. Asmeniui pradėkite nuo privatumo pranešimo ir subjekto, kuris tvarko jūsų informaciją.

Slapukų ir saugojimo įrenginyje taisykles vertinkite atskirai nuo 3 straipsnio klausimo. Neperkelkite vienos tvarkymo veiklos išvados į kiekvieną sekimo taisyklę ir nesuliekite ES ir Jungtinės Karalystės sistemų į vieną neatskirtą įstatymą. Įraše turi būti nurodyta, kurią sistemą vertinote ir kodėl.