VPN เปลี่ยนขอบเขต GDPR หรือไม่? รายการตรวจสอบ ไม่ใช่การทดสอบ IP

คำถามมักมาในรูปว่า การใช้ VPN เปลี่ยนความครอบคลุมของ GDPR หรือไม่ ซึ่งตอบจากที่อยู่ IP ไม่ได้ ความครอบคลุมเป็นไปตามการประมวลผล ใครรับผิดชอบ ในบริบทใด และพฤติกรรมหรือข้อเสนอของใครที่เกี่ยวข้อง ให้ทำตามรายการตรวจสอบด้านล่างตามลำดับ และหยุดที่ข้อแรกที่ชี้ขาดคำถามสำหรับกิจกรรมของคุณ

VPN เปลี่ยนตำแหน่งที่ปรากฏของการเชื่อมต่อ แต่ไม่เปลี่ยนผู้ควบคุม วัตถุประสงค์ หรือบุคคลที่ถูกกำหนดเป้าหมาย

การตรวจข้อหนึ่ง: ผู้ควบคุมคือใครและอยู่ที่ใด

ระบุหน่วยงานที่รับผิดชอบการประมวลผลและผู้ประมวลผลที่ดำเนินการในนามของหน่วยงานนั้น บันทึกฐานสถานประกอบที่กำหนดว่าเหตุใดและอย่างไรข้อมูลจึงถูกจัดการ ข้อเท็จจริงนี้เป็นที่ยึดของบทวิเคราะห์ที่เหลือ

หากหน่วยงานตั้งอยู่ใน EU ให้ไปต่อที่การตรวจข้อสอง หากไม่ใช่ ให้ไปที่ข้อสาม

การตรวจข้อสอง: การประมวลผลผูกกับฐานสถานประกอบใน EU หรือไม่

มาตรา 3(1) ครอบคลุมการประมวลผลในบริบทของกิจกรรมของฐานสถานประกอบใน EU แม้การประมวลผลนั้นจะเกิดขึ้นนอกสหภาพก็ตาม เกณฑ์คือความเชื่อมโยงระหว่างการประมวลผลกับกิจกรรมของฐานสถานประกอบนั้น

สำนักงานในยุโรปไม่ได้ดึงทุกปฏิบัติการของบริษัทข้ามชาติเข้าสู่ขอบเขตโดยอัตโนมัติ เช่นเดียวกัน การส่งทราฟฟิกผ่านทางออกนอก EU ไม่ได้ลบความเชื่อมโยงนั้น บทวิเคราะห์ฐานสถานประกอบเป็นเรื่องการประมวลผล ไม่ใช่เส้นทางของแพ็กเก็ต.

หากการตรวจนี้ใช้บังคับ ให้หยุด ทางออกของ VPN ไม่เกี่ยวกับความครอบคลุม แม้อาจสำคัญต่อคำถามเรื่องการโอนหรือความปลอดภัยอื่น

การตรวจข้อสาม: การเสนอหรือการตรวจสอบบุคคลในสหภาพ

เมื่อไม่มีฐานสถานประกอบใน EU มาตรา 3(2) ใช้กับการเสนอสินค้าหรือบริการแก่บุคคลในสหภาพ หรือการตรวจสอบพฤติกรรมของพวกเขาที่นั่น การเข้าถึงเว็บไซต์ได้เพียงอย่างเดียวไม่เพียงพอ แนวทางของ EDPB เกี่ยวกับมาตรา 3 มองหาการกำหนดเป้าหมายต่อบุคคลในสหภาพอย่างจงใจ

ในเส้นทางนี้ การปรากฏตัวของบุคคลในเวลาที่เกี่ยวข้องมีความสำคัญ ไม่ใช่สัญชาติหรือถิ่นที่อยู่เพียงอย่างเดียว ผู้เยี่ยมชมเชิงตัวอย่างนอก EU ที่ดูเหมือนใช้ IP ของ EU ไม่ได้ทำให้องค์ประกอบด้านสถานที่ครบถ้วนจากข้อเท็จจริงนั้นเพียงอย่างเดียว สิ่งสำคัญคือข้อเสนอหรือการตรวจสอบมุ่งไปที่บุคคลในสหภาพหรือไม่ การเยี่ยมชมครั้งเดียวจากที่อยู่ที่ดูเป็น EU เป็นหลักฐานที่อ่อนเอง

หากทั้งฐานสถานประกอบและการกำหนดเป้าหมายไม่ใช้บังคับ ทางออกของ VPN ยังไม่ได้สร้างความครอบคลุม หากการกำหนดเป้าหมายใช้บังคับ ทางออกก็ยังไม่ได้ลบมัน

การตรวจข้อสี่: ทางออกของ VPN เปลี่ยนอะไรและไม่เปลี่ยนอะไร

ทางออกที่ต่างไปเปลี่ยนแหล่งที่ปรากฏของการเชื่อมต่อ อาจเปลี่ยนสิ่งที่เว็บไซต์แสดง ซึ่งเป็นการเลือกในการนำไปใช้ ไม่เปลี่ยนว่าผู้ควบคุมคือใคร วัตถุประสงค์ของการประมวลผลคืออะไร หรือข้อเสนอมุ่งไปที่บุคคลในสหภาพหรือไม่

มองการระบุตำแหน่งทางภูมิศาสตร์เป็นสัญญาณที่จำกัด และบันทึกความไม่แน่นอน อย่าเปลี่ยนตำแหน่งที่ไม่รู้จักให้เป็นการยกเว้น

เก็บบันทึกไว้

สำหรับผู้ให้บริการ ให้บันทึกหน่วยงานที่รับผิดชอบ ฐานสถานประกอบ วัตถุประสงค์ กลุ่มเป้าหมายที่ตั้งใจ และการตรวจสอบใด ๆ ประเมินเกณฑ์ด้านอาณาเขตด้วยคำแนะนำด้านความเป็นส่วนตัวที่มีคุณสมบัติ สำหรับบุคคล ให้เริ่มจากประกาศความเป็นส่วนตัวและหน่วยงานที่จัดการข้อมูลของคุณ

ประเมินกฎเกี่ยวกับคุกกี้และการจัดเก็บบนอุปกรณ์แยกจากคำถามของมาตรา 3 อย่าถ่ายทอดข้อสรุปจากกิจกรรมการประมวลผลหนึ่งไปยังทุกกฎการติดตาม และอย่ารวมกรอบของ EU และสหราชอาณาจักรเป็นกฎหมายเดียวที่ไม่แยกแยะ บันทึกควรระบุว่าคุณประเมินกรอบใดและเพราะเหตุใด