Verandert een VPN het toepassingsgebied van de AVG? Een checklist, geen IP-test

De vraag komt meestal als of het gebruik van een VPN de dekking van de AVG verandert. Die is niet te beantwoorden vanuit een IP-adres. Dekking volgt de verwerking: wie verantwoordelijk is, in welke context en wiens gedrag of aanbod erbij betrokken is. Werk de checklist hieronder op volgorde af en stop bij het eerste punt dat de vraag voor jouw activiteit beslecht.

Een VPN verandert de schijnbare locatie van een verbinding. Het verandert niet de verwerkingsverantwoordelijke, het doel of de mensen op wie wordt gericht.

Controle één: wie is de verwerkingsverantwoordelijke en waar

Noem de entiteit die verantwoordelijk is voor de verwerking en elke verwerker die namens haar handelt. Leg de vestiging vast die bepaalt waarom en hoe de gegevens worden behandeld. Dat is het feit waarop de rest van de analyse rust.

Als de entiteit in de EU is gevestigd, ga verder met controle twee. Zo niet, ga naar controle drie.

Controle twee: is de verwerking verbonden aan een EU-vestiging

Artikel 3(1) bestrijkt verwerking in het kader van de activiteiten van een vestiging in de Unie, ook wanneer de verwerking zelf buiten de Unie plaatsvindt. De toets is de band tussen de verwerking en de activiteiten van die vestiging.

Een Europees kantoor trekt niet automatisch elke operatie van een multinational in het toepassingsgebied. Evenmin verwijdert het routeren van verkeer via een uitgang buiten de EU die band. De vestigingsanalyse gaat over de verwerking, niet over het pakketpad.

Als deze controle geldt, stop: de VPN-uitgang is irrelevant voor de dekking, hoewel die voor andere overdrachts- of beveiligingsvragen van belang kan zijn.

Controle drie: aanbieden aan of monitoren van mensen in de Unie

Zonder vestiging in de EU geldt artikel 3(2) voor het aanbieden van goederen of diensten aan mensen in de Unie, of voor het monitoren van hun gedrag daar. Louter toegankelijkheid van een website is niet genoeg. De richtsnoeren van de EDPB over artikel 3 zoeken een bewuste gerichtheid op mensen in de Unie.

De aanwezigheid van de persoon op het relevante moment is op deze route van belang, niet nationaliteit of woonplaats alleen. Een illustratieve bezoeker buiten de EU die een EU-IP lijkt te gebruiken, voldoet niet alleen door dat feit aan het locatie-element. Wat telt, is of het aanbod of de monitoring op mensen in de Unie was gericht. Eén bezoek vanaf een ogenschijnlijk EU-adres is op zichzelf zwak bewijs.

Als noch de vestiging noch de gerichtheid geldt, heeft de VPN-uitgang geen dekking gecreëerd. Als de gerichtheid geldt, heeft de uitgang die niet weggenomen.

Controle vier: wat de VPN-uitgang verandert en wat niet

Een andere uitgang verandert de schijnbare bron van een verbinding. Die kan veranderen wat een site toont, wat een implementatiekeuze is. Die verandert niet wie de verwerkingsverantwoordelijke is, wat het verwerkingsdoel is of of het aanbod op mensen in de Unie was gericht.

Behandel geolocatie als een beperkt signaal en documenteer de onzekerheid. Maak van een onbekende locatie geen uitzondering.

Bewaar het dossier

Voor een dienstverlener, leg de verantwoordelijke entiteit, de vestiging, het doel, het beoogde publiek en elke monitoring vast. Beoordeel de territoriale criteria met gekwalificeerd privacyadvies. Voor een individu, begin bij de privacyverklaring en de entiteit die jouw informatie verwerkt.

Beoordeel regels voor cookies en opslag op het apparaat apart van de vraag van artikel 3. Draag een conclusie uit één verwerkingsactiviteit niet over naar elke trackingregel, en smelt de kaders van de EU en het Verenigd Koninkrijk niet samen tot één ongedifferentieerde wet. Het dossier moet zeggen welk kader je hebt beoordeeld en waarom.