Endrar ein VPN verkeområdet til GDPR? Ei sjekkliste, ikkje ein IP-test

Spørsmålet kjem vanlegvis som om bruk av ein VPN endrar dekninga til GDPR. Det kan ikkje svarast ut frå ein IP-adresse. Dekninga følgjer behandlinga: kven som er ansvarleg, i kva samanheng og kven si åtferd eller tilbod som er involvert. Arbeid deg gjennom sjekklista nedanfor i rekkjefølgje, og stopp ved det første punktet som avgjer spørsmålet for verksemda di.

Ein VPN endrar den tilsynelatande plasseringa til ei tilkopling. Han endrar ikkje den behandlingsansvarlege, føremålet eller personane som blir målretta.

Kontroll éin: kven er den behandlingsansvarlege og kvar

Namngi eininga som er ansvarleg for behandlinga, og kvar databehandlar som handlar på vegner av henne. Registrer etableringa som avgjer kvifor og korleis dataa blir handsama. Det er faktumet resten av analysen kviler på.

Viss eininga er etablert i EU, hald fram til kontroll to. Viss ikkje, gå til kontroll tre.

Kontroll to: er behandlinga knytt til ei EU-etablering

Artikkel 3(1) dekkjer behandling i samanheng med aktivitetane til ei etablering i EU, sjølv når sjølve behandlinga skjer utanfor Unionen. Testen er koplinga mellom behandlinga og aktivitetane til den etableringa.

Eit europeisk kontor dreg ikkje automatisk kvar operasjon i eit multinasjonalt selskap inn i området. På same måte fjernar ikkje ruting av trafikken gjennom ein utgang utanfor EU den koplinga. Etableringsanalysen handlar om behandlinga, ikkje om pakkevegen.

Viss denne kontrollen gjeld, stopp: VPN-utgangen er irrelevant for dekninga, sjølv om han kan ha tyding for andre overførings- eller tryggleiksspørsmål.

Kontroll tre: å tilby til eller overvake personar i Unionen

Utan ei etablering i EU gjeld artikkel 3(2) for å tilby varer eller tenester til personar i Unionen, eller for å overvake åtferda deira der. Berre tilgjenge til ein nettstad er ikkje nok. EDPB si rettleiing om artikkel 3 ser etter ei medviten målretting mot personar i Unionen.

Tilstadeværet til personen på det relevante tidspunktet har tyding etter denne vegen, snarare enn statsborgarskap eller bustad åleine. Ein illustrativ besøkjande utanfor EU som ser ut til å bruke ein EU-IP, oppfyller ikkje plasseringselementet berre av den grunn. Det som tel, er om tilbodet eller overvakinga var retta mot personar i Unionen. Eitt enkelt besøk frå ei tilsynelatande EU-adresse er svakt prov i seg sjølv.

Viss korkje etablering eller målretting gjeld, har VPN-utgangen ikkje skapt dekning. Viss målretting gjeld, har utgangen ikkje fjerna henne.

Kontroll fire: kva VPN-utgangen endrar og ikkje endrar

Ein annan utgang endrar den tilsynelatande kjelda til ei tilkopling. Han kan endre kva ein nettstad viser, som er eit implementeringsval. Han endrar ikkje kven den behandlingsansvarlege er, kva behandlingsføremålet er, eller om tilbodet var retta mot personar i Unionen.

Handsam geolokasjon som eit avgrensa signal og dokumenter usikkerheita. Gjer ikkje ein ukjend stad om til eit unntak.

Ta vare på dokumentasjonen

For ein tenesteleverandør, registrer den ansvarlege eininga, etableringa, føremålet, det tiltenkte publikumet og kvar overvaking. Vurder dei territorielle kriteria med kvalifisert personvernrådgjeving. For ein enkeltperson, start med personvernerklæringa og eininga som handsamar informasjonen din.

Vurder reglar om informasjonskapslar og lagring på eininga separat frå artikkel 3-spørsmålet. Ikkje overfør ein konklusjon frå éi behandlingsaktivitet til kvar sporingsregel, og slå ikkje saman rammeverka til EU og Storbritannia til éi udifferensiert lov. Dokumentasjonen bør seie kva rammeverk du vurderte og kvifor.