Меняет ли VPN сферу действия GDPR? Контрольный список, а не тест IP

Вопрос обычно звучит так: меняет ли использование VPN охват GDPR. На него нельзя ответить из IP-адреса. Охват следует за обработкой: кто отвечает, в каком контексте и чьё поведение или предложение задействовано. Пройдите контрольный список ниже по порядку и остановитесь на первом пункте, который решает вопрос для вашей деятельности.

VPN меняет видимое местоположение соединения. Он не меняет контролёра, цель или людей, на которых направлено воздействие.

Проверка первая: кто контролёр и где

Назовите организацию, ответственную за обработку, и любого обработчика, действующего от её имени. Зафиксируйте учреждение, которое определяет, почему и как обрабатываются данные. Это факт, на котором держится остальной анализ.

Если организация учреждена в ЕС, переходите ко второй проверке. Если нет, переходите к третьей.

Проверка вторая: связана ли обработка с учреждением в ЕС

Статья 3(1) охватывает обработку в контексте деятельности учреждения в ЕС, даже когда сама обработка происходит за пределами Союза. Тест — связь между обработкой и деятельностью этого учреждения.

Европейский офис не втягивает автоматически в сферу действия каждую операцию многонациональной компании. Точно так же маршрутизация трафика через выход за пределами ЕС не устраняет эту связь. Анализ учреждения касается обработки, а не пути пакета.

Если эта проверка применима, остановитесь: выход через VPN не имеет значения для охвата, хотя может быть важен для других вопросов передачи или безопасности.

Проверка третья: предложение или наблюдение за людьми в Союзе

Без учреждения в ЕС статья 3(2) применяется к предложению товаров или услуг людям в Союзе или к наблюдению за их поведением там. Простой доступности веб-сайта недостаточно. Руководство EDPB по статье 3 ищет намеренное нацеливание на людей в Союзе.

На этом пути важно присутствие человека в соответствующий момент, а не гражданство или место жительства сами по себе. Иллюстративный посетитель за пределами ЕС, который, судя по всему, использует IP-адрес ЕС, не выполняет признак места только по этому факту. Важно, было ли предложение или наблюдение направлено на людей в Союзе. Один визит с внешне европейского адреса сам по себе слабое доказательство.

Если не применяются ни учреждение, ни нацеливание, выход через VPN не создал охвата. Если нацеливание применяется, выход его не устранил.

Проверка четвёртая: что выход через VPN меняет и что нет

Другой выход меняет видимый источник соединения. Он может изменить то, что показывает сайт, а это выбор реализации. Он не меняет, кто является контролёром, какова цель обработки и было ли предложение направлено на людей в Союзе.

Рассматривайте геолокацию как ограниченный сигнал и документируйте неопределённость. Не превращайте неизвестное местоположение в исключение.

Сохраните запись

Для оператора услуги зафиксируйте ответственную организацию, учреждение, цель, предполагаемую аудиторию и любое наблюдение. Оценивайте территориальные критерии с квалифицированной консультацией по приватности. Для частного лица начните с уведомления о приватности и организации, которая обрабатывает вашу информацию.

Оценивайте правила о файлах cookie и хранении на устройстве отдельно от вопроса статьи 3. Не переносите вывод из одной деятельности по обработке на каждое правило отслеживания и не сливайте рамки ЕС и Великобритании в один недифференцированный закон. Запись должна указывать, какие рамки вы оценивали и почему.