Adakah VPN mengubah skop GDPR? Senarai semak, bukan ujian IP

Soalan biasanya datang sebagai sama ada penggunaan VPN mengubah liputan GDPR. Ia tidak boleh dijawab daripada alamat IP. Liputan mengikut pemprosesan: siapa yang bertanggungjawab, dalam konteks apa dan tingkah laku atau tawaran siapa yang terlibat. Lakukan senarai semak di bawah mengikut urutan dan berhenti pada perkara pertama yang memutuskan soalan itu untuk aktiviti anda.

VPN mengubah lokasi ketara sesuatu sambungan. Ia tidak mengubah pengawal, tujuan atau orang yang disasarkan.

Semakan satu: siapa pengawal dan di mana

Namakan entiti yang bertanggungjawab atas pemprosesan dan mana-mana pemproses yang bertindak bagi pihaknya. Rekodkan pertubuhan yang menentukan mengapa dan bagaimana data dikendalikan. Inilah fakta yang menjadi asas kepada seluruh analisis.

Jika entiti itu bertapak di EU, teruskan ke semakan dua. Jika tidak, pergi ke semakan tiga.

Semakan dua: adakah pemprosesan terikat kepada pertubuhan EU

Fasal 3(1) meliputi pemprosesan dalam konteks aktiviti pertubuhan di EU, walaupun pemprosesan itu sendiri berlaku di luar Kesatuan. Ujiannya ialah pautan antara pemprosesan dan aktiviti pertubuhan tersebut.

Pejabat Eropah tidak menarik setiap operasi syarikat multinasional ke dalam skop secara automatik. Begitu juga, menghalakan trafik melalui exit di luar EU tidak menghapuskan pautan itu. Analisis pertubuhan adalah tentang pemprosesan, bukan laluan paket.

Jika semakan ini terpakai, berhenti: exit VPN tidak relevan kepada liputan, walaupun ia mungkin penting kepada soalan pemindahan atau keselamatan yang lain.

Semakan tiga: menawarkan atau memantau orang di Kesatuan

Tanpa pertubuhan di EU, Fasal 3(2) terpakai kepada penawaran barangan atau perkhidmatan kepada orang di Kesatuan, atau pemantauan tingkah laku mereka di sana. Kebolehcapaian laman web semata-mata tidak memadai. Panduan EDPB tentang Fasal 3 mencari penyasaran yang disengajakan terhadap orang di Kesatuan.

Kehadiran orang itu pada masa yang relevan penting dalam laluan ini, bukan kewarganegaraan atau kediaman sahaja. Pelawat ilustratif di luar EU yang kelihatan menggunakan IP EU tidak memenuhi elemen lokasi hanya kerana fakta itu. Yang penting ialah sama ada tawaran atau pemantauan ditujukan kepada orang di Kesatuan. Satu lawatan daripada alamat yang kelihatan EU adalah bukti lemah dengan sendirinya.

Jika baik pertubuhan mahupun penyasaran tidak terpakai, exit VPN tidak mencipta liputan. Jika penyasaran terpakai, exit tidak menghapuskannya.

Semakan empat: apa yang diubah exit VPN dan apa yang tidak

Exit yang berbeza mengubah sumber ketara sesuatu sambungan. Ia boleh mengubah apa yang dipaparkan laman, yang merupakan pilihan pelaksanaan. Ia tidak mengubah siapa pengawal, apa tujuan pemprosesan atau sama ada tawaran ditujukan kepada orang di Kesatuan.

Anggap geolokasi sebagai isyarat terhad dan dokumentasikan ketidakpastian. Jangan jadikan lokasi tidak diketahui sebagai pengecualian.

Simpan rekod

Bagi pengendali perkhidmatan, rekodkan entiti yang bertanggungjawab, pertubuhan, tujuan, khalayak yang dimaksudkan dan sebarang pemantauan. Nilai kriteria wilayah dengan nasihat privasi yang berkelayakan. Bagi individu, mulakan dengan notis privasi dan entiti yang mengendalikan maklumat anda.

Nilai peraturan kuki dan penyimpanan peranti secara berasingan daripada soalan Fasal 3. Jangan pindahkan kesimpulan daripada satu aktiviti pemprosesan kepada setiap peraturan penjejakan, dan jangan gabungkan rangka kerja EU dan UK menjadi satu undang-undang tanpa pembezaan. Rekod itu harus menyatakan rangka kerja mana yang anda nilai dan mengapa.