Ändrar en VPN GDPR:s tillämpningsområde? En checklista, inte ett IP-test

Frågan kommer vanligtvis som huruvida användning av en VPN ändrar GDPR:s täckning. Den kan inte besvaras från en IP-adress. Täckningen följer behandlingen: vem som ansvarar, i vilket sammanhang och vems beteende eller erbjudande som är inblandat. Arbeta igenom checklistan nedan i ordning och stanna vid den första punkten som avgör frågan för din verksamhet.

En VPN ändrar den synliga platsen för en anslutning. Den ändrar inte den personuppgiftsansvarige, ändamålet eller personerna som riktas in.

Kontroll ett: vem är den personuppgiftsansvarige och var

Namnge enheten som ansvarar för behandlingen och varje personuppgiftsbiträde som handlar för den. Registrera den etablering som avgör varför och hur uppgifterna hanteras. Det är det faktum som resten av analysen vilar på.

Om enheten är etablerad i EU, fortsätt till kontroll två. Om inte, gå till kontroll tre.

Kontroll två: är behandlingen knuten till en EU-etablering

Artikel 3(1) omfattar behandling inom ramen för en etablerings verksamhet i EU, även när själva behandlingen sker utanför unionen. Testet är kopplingen mellan behandlingen och den etableringens verksamhet.

Ett europeiskt kontor drar inte automatiskt in varje operation i ett multinationellt företag i området. På samma sätt tar routning av trafiken genom en utgång utanför EU inte bort den kopplingen. Etableringsanalysen handlar om behandlingen, inte om paketets väg.

Om denna kontroll gäller, stanna: VPN-utgången är irrelevant för täckningen, även om den kan spela roll för andra överförings- eller säkerhetsfrågor.

Kontroll tre: att erbjuda till eller övervaka personer i unionen

Utan en etablering i EU gäller artikel 3(2) för att erbjuda varor eller tjänster till personer i unionen, eller för att övervaka deras beteende där. Enbart tillgängligheten av en webbplats räcker inte. EDPB:s riktlinjer om artikel 3 söker en avsiktlig inriktning mot personer i unionen.

Personens närvaro vid den relevanta tidpunkten har betydelse på denna väg, snarare än medborgarskap eller hemvist enbart. En illustrativ besökare utanför EU som verkar använda en EU-IP uppfyller inte platsrekvisitet bara av den anledningen. Det som avgör är om erbjudandet eller övervakningen riktades mot personer i unionen. Ett enda besök från en till synes EU-adress är svag bevisning i sig.

Om varken etablering eller inriktning gäller har VPN-utgången inte skapat täckning. Om inriktning gäller har utgången inte tagit bort den.

Kontroll fyra: vad VPN-utgången ändrar och inte ändrar

En annan utgång ändrar den synliga källan för en anslutning. Den kan ändra vad en webbplats visar, vilket är ett implementeringsval. Den ändrar inte vem den personuppgiftsansvarige är, vad behandlingsändamålet är eller om erbjudandet riktades mot personer i unionen.

Behandla geolokalisering som en begränsad signal och dokumentera osäkerheten. Gör inte en okänd plats till ett undantag.

Spara dokumentationen

För en tjänsteleverantör, registrera den ansvariga enheten, etableringen, ändamålet, den avsedda publiken och varje övervakning. Bedöm de territoriella kriterierna med kvalificerad integritetsrådgivning. För en enskild person, börja med integritetsmeddelandet och enheten som behandlar din information.

Bedöm regler om kakor och lagring på enheten separat från artikel 3-frågan. Överför inte en slutsats från en behandlingsaktivitet till varje spårningsregel, och smält inte samman EU:s och Storbritanniens ramverk till en enda odifferentierad lag. Dokumentationen bör säga vilket ramverk du bedömde och varför.