Czy VPN zmienia zakres RODO? Lista kontrolna, a nie test IP

Pytanie zwykle przychodzi jako czy korzystanie z VPN zmienia zakres RODO. Nie da się na nie odpowiedzieć z adresu IP. Zakres idzie za przetwarzaniem: kto odpowiada, w jakim kontekście i czyje zachowanie lub oferta jest zaangażowane. Przejdź listę kontrolną poniżej po kolei i zatrzymaj się na pierwszym punkcie, który rozstrzyga pytanie dla twojej działalności.

VPN zmienia pozorną lokalizację połączenia. Nie zmienia administratora, celu ani osób, do których się kieruje.

Kontrola pierwsza: kto jest administratorem i gdzie

Wskaż podmiot odpowiedzialny za przetwarzanie oraz każdego procesora działającego w jego imieniu. Odnotuj jednostkę organizacyjną, która decyduje, dlaczego i jak przetwarza się dane. To fakt, na którym opiera się reszta analizy.

Jeśli podmiot ma jednostkę w UE, przejdź do kontroli drugiej. Jeśli nie, idź do kontroli trzeciej.

Kontrola druga: czy przetwarzanie wiąże się z jednostką w UE

Artykuł 3(1) obejmuje przetwarzanie w kontekście działalności jednostki w UE, nawet gdy samo przetwarzanie odbywa się poza Unią. Testem jest związek między przetwarzaniem a działalnością tej jednostki.

Europejskie biuro nie wciąga automatycznie do zakresu każdej operacji międzynarodowej spółki. Podobnie kierowanie ruchu przez wyjście poza UE nie usuwa tego związku. Analiza jednostki dotyczy przetwarzania, a nie ścieżki pakietu.

Jeśli ta kontrola ma zastosowanie, zatrzymaj się: wyjście VPN nie ma znaczenia dla zakresu, choć może mieć dla innych kwestii przekazywania lub bezpieczeństwa.

Kontrola trzecia: oferowanie lub monitorowanie osób w Unii

Bez jednostki w UE artykuł 3(2) ma zastosowanie do oferowania towarów lub usług osobom w Unii albo do monitorowania ich zachowania tam. Sama dostępność strony internetowej nie wystarcza. Wytyczne EDPB dotyczące artykułu 3 szukają celowego kierowania do osób w Unii.

W tej ścieżce liczy się obecność osoby w odpowiednim momencie, a nie samo obywatelstwo lub miejsce zamieszkania. Ilustracyjny odwiedzający spoza UE, który wydaje się używać adresu IP z UE, nie spełnia elementu lokalizacji tylko z tego powodu. Liczy się to, czy oferta lub monitorowanie było skierowane do osób w Unii. Jedna wizyta z pozornie unijnego adresu jest sama w sobie słabym dowodem.

Jeśli nie stosuje się ani jednostka, ani kierowanie, wyjście VPN nie stworzyło zakresu. Jeśli kierowanie ma zastosowanie, wyjście go nie usunęło.

Kontrola czwarta: co wyjście VPN zmienia, a czego nie

Inne wyjście zmienia pozorny źródło połączenia. Może zmienić to, co pokazuje strona, a to wybór implementacji. Nie zmienia tego, kto jest administratorem, jaki jest cel przetwarzania ani czy oferta była skierowana do osób w Unii.

Traktuj geolokalizację jako ograniczony sygnał i dokumentuj niepewność. Nie zamieniaj nieznanej lokalizacji w wyjątek.

Zachowaj zapis

Dla operatora usługi odnotuj odpowiedzialny podmiot, jednostkę, cel, zamierzoną publiczność i wszelkie monitorowanie. Oceń kryteria terytorialne z kwalifikowanym doradztwem w zakresie prywatności. Dla osoby fizycznej zacznij od informacji o prywatności i podmiotu, który przetwarza twoje informacje.

Oceń zasady dotyczące plików cookie i przechowywania na urządzeniu oddzielnie od kwestii artykułu 3. Nie przenoś wniosku z jednej działalności przetwarzania na każdą zasadę śledzenia i nie łącz ram UE i Wielkiej Brytanii w jedno nieodróżnione prawo. Zapis powinien mówić, które ramy oceniłeś i dlaczego.