Mení VPN rozsah pôsobnosti GDPR? Kontrolný zoznam, nie test IP

Otázka zvyčajne prichádza tak, či používanie VPN mení rozsah pôsobnosti GDPR. Nemožno na ňu odpovedať z IP adresy. Rozsah sleduje spracúvanie: kto je zodpovedný, v akom kontexte a čie správanie alebo ponuka je zapojená. Prejdite kontrolný zoznam nižšie po poradí a zastavte sa pri prvej položke, ktorá otázku pre vašu činnosť rozhodne.

VPN mení zdanlivú polohu pripojenia. Nemení prevádzkovateľa, účel ani ľudí, na ktorých sa cieli.

Prvá kontrola: kto je prevádzkovateľ a kde

Pomenujte subjekt zodpovedný za spracúvanie a prípadného sprostredkovateľa, ktorý koná v jeho mene. Zaznamenajte organizačnú zložku, ktorá určuje, prečo a ako sa údaje spracúvajú. Na tomto fakte stojí zvyšok analýzy.

Ak má subjekt zložku v EÚ, pokračujte druhou kontrolou. Ak nie, prejdite na tretiu.

Druhá kontrola: je spracúvanie viazané na zložku v EÚ

Článok 3(1) pokrýva spracúvanie v súvislosti s činnosťou zložky v EÚ, aj keď samotné spracúvanie prebieha mimo Únie. Testom je väzba medzi spracúvaním a činnosťou tejto zložky.

Európska kancelária automaticky neťahá do rozsahu každú operáciu nadnárodnej spoločnosti. Rovnako smerovanie prevádzky cez výstup mimo EÚ túto väzbu neodstraňuje. Analýza zložky sa týka spracúvania, nie cesty paketu.

Ak táto kontrola platí, zastavte sa: výstup cez VPN je pre rozsah irelevantný, hoci môže byť dôležitý pre iné otázky prenosu alebo bezpečnosti.

Tretia kontrola: ponúkanie alebo monitorovanie ľudí v Únii

Bez zložky v EÚ sa článok 3(2) vzťahuje na ponúkanie tovarov alebo služieb ľuďom v Únii alebo na monitorovanie ich správania tam. Samotná dostupnosť webu nestačí. Usmernenia EDPB k článku 3 hľadajú zámerné cielenie na ľudí v Únii.

Pri tejto ceste je dôležitá prítomnosť osoby v rozhodnom čase, nie štátna príslušnosť alebo samotný pobyt. Ilustratívny návštevník mimo EÚ, ktorý vyzerá, že používa IP adresu EÚ, nespĺňa prvok miesta len touto skutočnosťou. Dôležité je, či ponuka alebo monitorovanie smerovali na ľudí v Únii. Jediná návšteva z domnelej adresy v EÚ je sama o sebe slabým dôkazom.

Ak neplatí ani zložka, ani cielenie, výstup cez VPN rozsah nevytvoril. Ak cielenie platí, výstup ho neodstránil.

Štvrtá kontrola: čo výstup cez VPN mení a čo nie

Iný výstup mení zdanlivý zdroj pripojenia. Môže zmeniť, čo web zobrazuje, čo je voľba implementácie. Nemení, kto je prevádzkovateľ, aký je účel spracúvania ani či ponuka smerovala na ľudí v Únii.

Berte geolokáciu ako obmedzený signál a neistotu zdokumentujte. Neznámu polohu nepremieňajte na výnimku.

Uchovajte záznam

Pre prevádzkovateľa služby zaznamenajte zodpovedný subjekt, zložku, účel, zamýšľané publikum a akékoľvek monitorovanie. Územné kritériá posúďte s kvalifikovaným poradenstvom v oblasti súkromia. Pre jednotlivca začnite oznámením o súkromí a subjektom, ktorý spracúva vaše informácie.

Pravidlá pre cookies a ukladanie v zariadení posudzujte oddelene od otázky článku 3. Neprenášajte záver z jednej činnosti spracúvania na každé pravidlo sledovania a nezlievajte rámce EÚ a Spojeného kráľovstva do jedného nerozlíšeného zákona. Záznam má uviesť, ktorý rámec ste posudzovali a prečo.