Uma VPN muda o âmbito do RGPD? Uma lista de verificação, não um teste de IP

A pergunta costuma chegar como se usar uma VPN muda a cobertura do RGPD. Não se responde a partir de um endereço IP. A cobertura segue o tratamento: quem é responsável, em que contexto e de quem é o comportamento ou a oferta envolvidos. Percorra a lista de verificação abaixo por ordem e pare no primeiro ponto que decide a questão para a sua atividade.

Uma VPN muda a localização aparente de uma ligação. Não muda o responsável, a finalidade nem as pessoas visadas.

Verificação um: quem é o responsável e onde

Nomeie a entidade responsável pelo tratamento e qualquer subcontratante que atue em seu nome. Registe o estabelecimento que decide por que e como os dados são tratados. É o facto sobre o qual assenta o resto da análise.

Se a entidade estiver estabelecida na UE, continue para a verificação dois. Se não, passe à verificação três.

Verificação dois: o tratamento está ligado a um estabelecimento da UE

O artigo 3(1) abrange o tratamento no contexto das atividades de um estabelecimento na UE, mesmo quando o próprio tratamento ocorre fora da União. O teste é a ligação entre o tratamento e as atividades desse estabelecimento.

Um escritório europeu não arrasta automaticamente para o âmbito todas as operações de uma multinacional. Da mesma forma, encaminhar o tráfego por uma saída fora da UE não elimina essa ligação. A análise do estabelecimento é sobre o tratamento, não sobre o caminho do pacote.

Se esta verificação se aplicar, pare: a saída VPN é irrelevante para a cobertura, embora possa importar para outras questões de transferência ou segurança.

Verificação três: oferecer ou monitorizar pessoas na União

Sem um estabelecimento na UE, o artigo 3(2) aplica-se à oferta de bens ou serviços a pessoas na União, ou à monitorização do seu comportamento aí. A mera acessibilidade de um sítio web não basta. As orientações do EDPB sobre o artigo 3 procuram um direcionamento deliberado para pessoas na União.

A presença da pessoa no momento relevante conta nesta via, não a nacionalidade ou a residência por si só. Um visitante ilustrativo fora da UE que parece usar um IP da UE não cumpre o elemento de localização apenas por esse facto. O que conta é se a oferta ou a monitorização se dirigia a pessoas na União. Uma única visita a partir de um endereço aparentemente da UE é prova fraca por si só.

Se nem o estabelecimento nem o direcionamento se aplicarem, a saída VPN não criou cobertura. Se o direcionamento se aplicar, a saída não o removeu.

Verificação quatro: o que a saída VPN muda e não muda

Uma saída diferente muda a fonte aparente de uma ligação. Pode mudar o que um sítio mostra, o que é uma escolha de implementação. Não muda quem é o responsável, qual é a finalidade do tratamento nem se a oferta se dirigia a pessoas na União.

Trate a geolocalização como um sinal limitado e documente a incerteza. Não converta uma localização desconhecida numa isenção.

Guarde o registo

Para um operador de serviços, registe a entidade responsável, o estabelecimento, a finalidade, o público pretendido e qualquer monitorização. Avalie os critérios territoriais com aconselhamento qualificado em privacidade. Para um particular, comece pelo aviso de privacidade e pela entidade que trata a sua informação.

Avalie as regras de cookies e armazenamento no dispositivo separadamente da questão do artigo 3. Não transplante uma conclusão de uma atividade de tratamento para cada regra de rastreamento, nem funda os quadros da UE e do Reino Unido numa única lei indiferenciada. O registo deve dizer que quadro avaliou e porquê.