Mijenja li VPN obim GDPR-a? Kontrolna lista, a ne IP test

Pitanje obično dolazi kao da li upotreba VPN-a mijenja obuhvat GDPR-a. Na njega se ne može odgovoriti iz IP adrese. Obuhvat prati obradu: ko je odgovoran, u kojem kontekstu i čije ponašanje ili ponuda je uključena. Prođite kontrolnu listu ispod redom i zaustavite se na prvoj stavci koja odlučuje pitanje za vašu aktivnost.

VPN mijenja prividnu lokaciju veze. On ne mijenja rukovodioca, svrhu ni ljude koji su na meti.

Provjera prva: ko je rukovodilac i gdje

Navedite subjekt odgovoran za obradu i svakog obrađivača koji djeluje za njega. Zabilježite poslovnicu koja odlučuje zašto i kako se podaci obrađuju. To je činjenica na kojoj visi ostatak analize.

Ako je subjekt osnovan u EU, nastavite na drugu provjeru. Ako nije, prijeđite na treću.

Provjera druga: je li obrada vezana za poslovnicu u EU

Član 3(1) pokriva obradu u kontekstu aktivnosti poslovnice u EU, čak i kada se sama obrada odvija izvan Unije. Test je veza između obrade i aktivnosti te poslovnice.

Evropska kancelarija ne uvlači automatski svaku operaciju multinacionalne kompanije u obuhvat. Isto tako, usmjeravanje saobraćaja kroz izlaz izvan EU ne uklanja tu vezu. Analiza poslovnice tiče se obrade, a ne putanje paketa.

Ako se ova provjera primjenjuje, zaustavite se: izlaz preko VPN-a nije bitan za obuhvat, iako može biti bitan za druga pitanja prijenosa ili sigurnosti.

Provjera treća: nuđenje ili praćenje ljudi u Uniji

Bez poslovnice u EU, član 3(2) primjenjuje se na nuđenje robe ili usluga ljudima u Uniji ili na praćenje njihovog ponašanja tamo. Puka dostupnost web stranice nije dovoljna. Smjernice EDPB-a o članu 3 traže namjerno ciljanje ljudi u Uniji.

Prisustvo osobe u relevantno vrijeme bitno je na ovoj ruti, a ne državljanstvo ili samo prebivalište. Ilustrativni posjetilac izvan EU koji izgleda da koristi IP adresu EU ne ispunjava element lokacije samo tom činjenicom. Bitno je je li ponuda ili praćenje bilo usmjereno na ljude u Uniji. Jedna posjeta s prividne adrese u EU slaba je evidencija sama po sebi.

Ako se ne primjenjuje ni poslovnica ni ciljanje, izlaz preko VPN-a nije stvorio obuhvat. Ako se ciljanje primjenjuje, izlaz ga nije uklonio.

Provjera četvrta: što izlaz preko VPN-a mijenja i što ne mijenja

Drugačiji izlaz mijenja prividni izvor veze. Može promijeniti što stranica prikazuje, a to je izbor implementacije. Ne mijenja ko je rukovodilac, koja je svrha obrade ni je li ponuda bila usmjerena na ljude u Uniji.

Tretirajte geolokaciju kao ograničen signal i dokumentujte nesigurnost. Ne pretvarajte nepoznatu lokaciju u izuzetak.

Sačuvajte zapis

Za operatera usluge zabilježite odgovorni subjekt, poslovnicu, svrhu, namijenjenu publiku i svako praćenje. Procijenite teritorijalne kriterije uz kvalifikovan savjet o privatnosti. Za pojedinca, počnite od obavještenja o privatnosti i subjekta koji obrađuje vaše podatke.

Procijenite pravila o kolačićima i pohrani na uređaju odvojeno od pitanja člana 3. Ne prenosite zaključak s jedne aktivnosti obrade na svako pravilo praćenja i ne spajajte okvire EU i UK u jedan nediferenciran zakon. Zapis treba reći koji ste okvir procijenili i zašto.