Ali VPN spremeni področje uporabe GDPR? Kontrolni seznam, ne test IP

Vprašanje običajno prihaja kot ali uporaba VPN spremeni pokritost GDPR. Nanj ni mogoče odgovoriti z naslova IP. Pokritost sledi obdelavi: kdo je odgovoren, v kakšnem kontekstu in čigavo vedenje ali ponudba je vključena. Pojdite skozi kontrolni seznam spodaj po vrsti in ustavite se pri prvi točki, ki odloči vprašanje za vašo dejavnost.

VPN spremeni navidezno lokacijo povezave. Ne spremeni upravljavca, namena ali ljudi, na katere je usmerjeno.

Prvo preverjanje: kdo je upravljavec in kje

Navedite subjekt, odgovoren za obdelavo, in vsakega obdelovalca, ki deluje v njegovem imenu. Zabeležite ustanovitev, ki določa, zakaj in kako se podatki obdelujejo. To je dejstvo, na katerem stoji preostanek analize.

Če je subjekt ustanovljen v EU, nadaljujte z drugim preverjanjem. Če ne, pojdite na tretje.

Drugo preverjanje: je obdelava povezana z ustanovitvijo v EU

Člen 3(1) zajema obdelavo v kontekstu dejavnosti ustanovitve v EU, tudi ko sama obdelava poteka zunaj Unije. Test je povezava med obdelavo in dejavnostmi te ustanovitve.

Evropska pisarna ne potegne samodejno v področje vsake operacije mednarodne družbe. Prav tako usmerjanje prometa skozi izhod zunaj EU ne odpravi te povezave. Analiza ustanovitve se nanaša na obdelavo, ne na pot paketa.

Če to preverjanje velja, se ustavite: izhod VPN je za pokritost nepomemben, čeprav je lahko pomemben za druga vprašanja prenosa ali varnosti.

Tretje preverjanje: ponujanje ali spremljanje ljudi v Uniji

Brez ustanovitve v EU se člen 3(2) uporablja za ponujanje blaga ali storitev ljudem v Uniji ali za spremljanje njihovega vedenja tam. Sama dostopnost spletnega mesta ni dovolj. Smernice EDPB o členu 3 iščejo namerno ciljanje na ljudi v Uniji.

Na tej poti je pomembna prisotnost osebe v ustreznem trenutku, ne državljanstvo ali prebivališče samo po sebi. Ilustrativni obiskovalec zunaj EU, ki se zdi, da uporablja naslov IP iz EU, ne izpolnjuje elementa lokacije samo zaradi tega dejstva. Pomembno je, ali je bila ponudba ali spremljanje usmerjeno na ljudi v Uniji. En obisk z navidezno evropskega naslova je sam po sebi šibek dokaz.

Če ne velja niti ustanovitev niti ciljanje, izhod VPN ni ustvaril pokritosti. Če velja ciljanje, ga izhod ni odstranil.

Četrto preverjanje: kaj izhod VPN spremeni in česa ne

Drugačen izhod spremeni navidezni vir povezave. Lahko spremeni, kaj prikazuje spletno mesto, kar je izbira izvedbe. Ne spremeni, kdo je upravljavec, kaj je namen obdelave ali ali je bila ponudba usmerjena na ljudi v Uniji.

Geolokacijo obravnavajte kot omejen signal in negotovost dokumentirajte. Neznane lokacije ne spreminjajte v izjemo.

Shranite zapis

Za operaterja storitve zabeležite odgovorni subjekt, ustanovitev, namen, predvideno občinstvo in vsakršno spremljanje. Ocenite ozemeljska merila s kvalificiranim svetovanjem o zasebnosti. Za posameznika začnite z obvestilom o zasebnosti in subjektom, ki obdeluje vaše podatke.

Pravila o piškotkih in shranjevanju v napravi ocenite ločeno od vprašanja člena 3. Ne prenašajte sklepa iz ene dejavnosti obdelave na vsako pravilo sledenja in ne spajajte okvirov EU in Združenega kraljestva v en nediferenciran zakon. Zapis mora povedati, kateri okvir ste ocenili in zakaj.