Schimbă o VPN domeniul de aplicare al GDPR? O listă de verificare, nu un test IP

Întrebarea vine de obicei ca dacă folosirea unei VPN schimbă acoperirea GDPR. Nu se poate răspunde dintr-o adresă IP. Acoperirea urmează prelucrarea: cine este responsabil, în ce context și ale cui comportament sau ofertă sunt implicate. Parcurgeți lista de verificare de mai jos în ordine și opriți-vă la primul punct care decide întrebarea pentru activitatea dumneavoastră.

O VPN schimbă locația aparentă a unei conexiuni. Nu schimbă operatorul, scopul sau persoanele vizate.

Verificarea unu: cine este operatorul și unde

Numiți entitatea responsabilă de prelucrare și orice persoană împuternicită care acționează pentru ea. Înregistrați sediul care decide de ce și cum sunt prelucrate datele. Acesta este faptul pe care se sprijină restul analizei.

Dacă entitatea este stabilită în UE, continuați cu verificarea doi. Dacă nu, treceți la verificarea trei.

Verificarea doi: prelucrarea este legată de un sediu din UE

Articolul 3(1) acoperă prelucrarea în contextul activităților unui sediu din UE, chiar și atunci când prelucrarea în sine are loc în afara Uniunii. Testul este legătura dintre prelucrare și activitățile acelui sediu.

Un birou european nu atrage automat în domeniu fiecare operațiune a unei companii multinaționale. La fel, rutarea traficului printr-o ieșire din afara UE nu elimină acea legătură. Analiza sediului privește prelucrarea, nu calea pachetului.

Dacă această verificare se aplică, opriți-vă: ieșirea VPN este irelevantă pentru acoperire, deși poate conta pentru alte chestiuni de transfer sau securitate.

Verificarea trei: oferirea către sau monitorizarea persoanelor din Uniune

Fără un sediu în UE, articolul 3(2) se aplică oferirii de bunuri sau servicii persoanelor din Uniune, sau monitorizării comportamentului lor acolo. Simpla accesibilitate a unui site web nu este suficientă. Orientările EDPB privind articolul 3 caută o direcționare deliberată către persoane din Uniune.

Prezența persoanei în momentul relevant contează pe această cale, nu cetățenia sau reședința singure. Un vizitator ilustrativ din afara UE care pare să folosească un IP din UE nu îndeplinește elementul locației doar prin acest fapt. Contează dacă oferta sau monitorizarea a fost îndreptată către persoane din Uniune. O singură vizită de la o adresă aparent din UE este o dovadă slabă în sine.

Dacă nu se aplică nici sediul, nici direcționarea, ieșirea VPN nu a creat acoperire. Dacă se aplică direcționarea, ieșirea nu a înlăturat-o.

Verificarea patru: ce schimbă ieșirea VPN și ce nu

O ieșire diferită schimbă sursa aparentă a unei conexiuni. Poate schimba ce afișează un site, ceea ce este o alegere de implementare. Nu schimbă cine este operatorul, care este scopul prelucrării sau dacă oferta era îndreptată către persoane din Uniune.

Tratați geolocalizarea ca un semnal limitat și documentați incertitudinea. Nu transformați o locație necunoscută într-o excepție.

Păstrați evidența

Pentru un operator de servicii, înregistrați entitatea responsabilă, sediul, scopul, publicul vizat și orice monitorizare. Evaluați criteriile teritoriale cu consultanță calificată în confidențialitate. Pentru o persoană fizică, începeți cu notificarea de confidențialitate și entitatea care vă prelucrează informațiile.

Evaluați regulile privind cookie-urile și stocarea pe dispozitiv separat de întrebarea articolului 3. Nu transferați o concluzie dintr-o activitate de prelucrare în fiecare regulă de urmărire și nu fuzionați cadrele UE și Regatul Unit într-o singură lege nediferențiată. Evidența trebuie să spună ce cadru ați evaluat și de ce.