Да ли VPN мења обим GDPR-а? Контролна листа, а не IP тест

Питање обично долази као да ли употреба VPN-а мења обухват GDPR-а. На њега се не може одговорити из IP адресе. Обухват прати обраду: ко је одговоран, у ком контексту и чије понашање или понуда је укључена. Прођите контролну листу испод редом и зауставите се на првој стави која одлучује питање за вашу активност.

VPN мења привидну локацију везе. Он не мења руковаоца, сврху ни људе који су на мети.

Прва провера: ко је руковалац и где

Наведите субјекат одговоран за обраду и сваког обрађивача који делује за њега. Забележите пословницу која одлучује зашто и како се подаци обрађују. То је чињеница на којој виси остатак анализе.

Ако је субјекат основан у ЕУ, наставите на другу проверу. Ако није, пређите на трећу.

Друга провера: да ли је обрада везана за пословницу у ЕУ

Члан 3(1) покрива обраду у контексту активности пословнице у ЕУ, чак и када се сама обрада одвија изван Уније. Тест је веза између обраде и активности те пословнице.

Европска канцеларија не увлачи аутоматски сваку операцију мултинационалне компаније у обухват. Исто тако, усмеравање саобраћаја кроз излаз изван ЕУ не уклања ту везу. Анализа пословнице тиче се обраде, а не путање пакета.

Ако се ова провера примењује, зауставите се: излаз преко VPN-а није битан за обухват, иако може бити битан за друга питања преноса или безбедности.

Трећа провера: нуђење или праћење људи у Унији

Без пословнице у ЕУ, члан 3(2) примењује се на нуђење робе или услуга људима у Унији или на праћење њиховог понашања тамо. Пука доступност веб странице није довољна. Смернице EDPB-а о члану 3 траже намерно циљање људи у Унији.

На овој рути битно је присуство особе у релевантно време, а не држављанство или само пребивалиште. Илустративни посетилац изван ЕУ који изгледа да користи IP адресу ЕУ не испуњава елемент локације само том чињеницом. Битно је да ли је понуда или праћење било усмерено на људе у Унији. Једна посета са привидне адресе у ЕУ слаба је евиденција сама по себи.

Ако се не примењује ни пословница ни циљање, излаз преко VPN-а није створио обухват. Ако се циљање примењује, излаз га није уклонио.

Четврта провера: шта излаз преко VPN-а мења и шта не мења

Другачији излаз мења привидни извор везе. Може променити шта страница приказује, а то је избор имплементације. Не мења ко је руковалац, која је сврха обраде ни да ли је понуда била усмерена на људе у Унији.

Третирајте геолокацију као ограничен сигнал и документујте неизвесност. Не претварајте непознату локацију у изузетак.

Сачувајте запис

За оператера услуге забележите одговорни субјекат, пословницу, сврху, намењену публику и свако праћење. Процените територијалне критеријуме уз квалификован савет о приватности. За појединца, почните од обавештења о приватности и субјекта који обрађује ваше податке.

Процените правила о колачићима и чувању на уређају одвојено од питања члана 3. Не преносите закључак са једне активности обраде на свако правило праћења и не спајајте оквире ЕУ и Уједињеног Краљевства у један недиференциран закон. Запис треба да каже који сте оквир проценили и зашто.