Дали VPN го менува опсегот на GDPR? Контролна листа, а не IP тест

Прашањето обично доаѓа како дали користењето VPN го менува опфатот на GDPR. Не може да се одговори од IP адреса. Опфатот го следи обработувањето: кој е одговорен, во каков контекст и чие однесување или понуда е вклучено. Поминете ја контролната листа подолу по ред и застанете на првата точка што го решава прашањето за вашата дејност.

VPN ја менува очигледната локација на врската. Не го менува контролорот, целта или луѓето кон кои се насочува.

Прва проверка: кој е контролорот и каде

Наведете го субјектот одговорен за обработувањето и секој обработувач што дејствува во негово име. Запишете го установувањето што одлучува зошто и како се обработуваат податоците. Тоа е фактот на кој се потпира остатокот од анализата.

Ако субјектот е основан во ЕУ, продолжете со втората проверка. Ако не, преминете на третата.

Втора проверка: дали обработувањето е поврзано со установување во ЕУ

Членот 3(1) опфаќа обработување во контекст на активностите на установување во ЕУ, дури и кога самото обработување се случува надвор од Унијата. Тестот е врската меѓу обработувањето и активностите на тоа установување.

Европска канцеларија не ја влече автоматски секоја операција на мултинационална компанија во опфатот. Исто така, насочувањето на сообраќајот низ излез надвор од ЕУ не ја отстранува таа врска. Анализата на установувањето се однесува на обработувањето, а не на патеката на пакетот.

Ако се применува оваа проверка, застанете: излезот преку VPN е неважен за опфатот, иако може да биде важен за други прашања за пренос или безбедност.

Трета проверка: понуда или надзор на луѓе во Унијата

Без установување во ЕУ, членот 3(2) се применува на понуда на стоки или услуги на луѓе во Унијата или на надзор на нивното однесување таму. Пуката достапност на веб-страница не е доволна. Упатството на EDPB за членот 3 бара намерно насочување кон луѓе во Унијата.

Присуството на лицето во релевантното време е важно на оваа рута, а не државјанството или престојот сам по себе. Илустративен посетител надвор од ЕУ што изгледа дека користи IP од ЕУ не го исполнува елементот на локација само со овој факт. Важно е дали понудата или надзорот биле насочени кон луѓе во Унијата. Една посета од навидум адреса во ЕУ е слаб доказ сама по себе.

Ако не се применува ниту установување, ниту насочување, излезот преку VPN не создал опфат. Ако се применува насочувањето, излезот не го отстранил.

Четврта проверка: што менува излезот преку VPN и што не

Различен излез го менува навидум изворот на врската. Може да го смени она што го прикажува страницата, а тоа е избор на имплементација. Не менува кој е контролорот, која е целта на обработувањето или дали понудата била насочена кон луѓе во Унијата.

Третирајте ја геолокацијата како ограничен сигнал и документирајте ја неизвесноста. Не претворајте непозната локација во исклучок.

Зачувајте запис

За оператор на услуга, запишете го одговорниот субјект, установувањето, целта, предвидената публика и секој надзор. Оценете ги територијалните критериуми со квалификуван совет за приватност. За поединец, започнете со известувањето за приватност и субјектот што ги обработува вашите информации.

Оценете ги правилата за колачиња и складирање на уредот одделно од прашањето на членот 3. Не пренесувајте заклучок од една активност на обработување на секое правило за следење и не спојувајте ги рамките на ЕУ и Обединетото Кралство во еден недиференциран закон. Записот треба да кажува која рамка ја оценивте и зошто.