Endrer en VPN GDPR sitt virkeområde? En sjekkliste, ikke en IP-test

Spørsmålet kommer vanligvis som hvorvidt bruk av en VPN endrer GDPR sin dekning. Det kan ikke besvares ut fra en IP-adresse. Dekningen følger behandlingen: hvem som er ansvarlig, i hvilken sammenheng og hvis atferd eller tilbud som er involvert. Arbeid deg gjennom sjekklisten nedenfor i rekkefølge, og stopp ved det første punktet som avgjør spørsmålet for din aktivitet.

En VPN endrer den tilsynelatende plasseringen av en tilkobling. Den endrer ikke den behandlingsansvarlige, formålet eller personene som målrettes.

Kontroll én: hvem er den behandlingsansvarlige og hvor

Navngi enheten som er ansvarlig for behandlingen, og enhver databehandler som handler på dens vegne. Registrer etableringen som avgjør hvorfor og hvordan dataene håndteres. Det er faktumet resten av analysen hviler på.

Hvis enheten er etablert i EU, fortsett til kontroll to. Hvis ikke, gå til kontroll tre.

Kontroll to: er behandlingen knyttet til en EU-etablering

Artikkel 3(1) dekker behandling i sammenheng med aktivitetene til en etablering i EU, selv når selve behandlingen skjer utenfor Unionen. Testen er koblingen mellom behandlingen og aktivitetene til den etableringen.

Et europeisk kontor trekker ikke automatisk enhver operasjon i et multinasjonalt selskap inn i området. På samme måte fjerner ikke ruting av trafikken gjennom en utgang utenfor EU den koblingen. Etableringsanalysen handler om behandlingen, ikke pakkens vei.

Hvis denne kontrollen gjelder, stopp: VPN-utgangen er irrelevant for dekningen, selv om den kan ha betydning for andre overførings- eller sikkerhetsspørsmål.

Kontroll tre: å tilby til eller overvåke personer i Unionen

Uten en etablering i EU gjelder artikkel 3(2) for å tilby varer eller tjenester til personer i Unionen, eller for å overvåke deres atferd der. Bare tilgjengeligheten til et nettsted er ikke nok. EDPBs veiledning om artikkel 3 ser etter en bevisst målretting mot personer i Unionen.

Personens tilstedeværelse på det relevante tidspunktet har betydning etter denne veien, snarere enn statsborgerskap eller bosted alene. En illustrativ besøkende utenfor EU som ser ut til å bruke en EU-IP, oppfyller ikke plasseringselementet bare av den grunn. Det som betyr noe, er om tilbudet eller overvåkingen var rettet mot personer i Unionen. Ett enkelt besøk fra en tilsynelatende EU-adresse er svak evidens i seg selv.

Hvis verken etablering eller målretting gjelder, har VPN-utgangen ikke skapt dekning. Hvis målretting gjelder, har utgangen ikke fjernet den.

Kontroll fire: hva VPN-utgangen endrer og ikke endrer

En annen utgang endrer den tilsynelatende kilden til en tilkobling. Den kan endre hva et nettsted viser, som er et implementeringsvalg. Den endrer ikke hvem den behandlingsansvarlige er, hva behandlingsformålet er, eller om tilbudet var rettet mot personer i Unionen.

Behandle geolokasjon som et begrenset signal og dokumenter usikkerheten. Gjør ikke en ukjent plassering om til et unntak.

Ta vare på dokumentasjonen

For en tjenesteleverandør, registrer den ansvarlige enheten, etableringen, formålet, det tiltenkte publikummet og enhver overvåking. Vurder de territoriale kriteriene med kvalifisert personvernrådgivning. For en enkeltperson, start med personvernerklæringen og enheten som behandler informasjonen din.

Vurder regler om informasjonskapsler og lagring på enheten separat fra artikkel 3-spørsmålet. Ikke overfør en konklusjon fra én behandlingsaktivitet til enhver sporingsregel, og slå ikke sammen EU sine og Storbritannias rammeverk til én udifferensiert lov. Dokumentasjonen bør si hvilket rammeverk du vurderte og hvorfor.