Binabago ba ng VPN ang saklaw ng GDPR? Isang checklist, hindi IP test

Karaniwang dumarating ang tanong bilang binabago ba ng paggamit ng VPN ang saklaw ng GDPR. Hindi ito masasagot mula sa isang IP address. Sinusundan ng saklaw ang pagproseso: sino ang may pananagutan, sa anong konteksto at kaninong pag-uugali o alok ang kasangkot. Gawin ang checklist sa ibaba nang sunud-sunod at huminto sa unang aytem na nagpapasya sa tanong para sa iyong gawain.

Binabago ng VPN ang maliwanag na lokasyon ng isang koneksyon. Hindi nito binabago ang controller, ang layunin o ang mga taong pinupuntirya.

Unang pagsusuri: sino ang controller at saan

Pangalanan ang entidad na may pananagutan sa pagproseso at anumang processor na kumikilos para dito. Itala ang establishment na nagpapasya kung bakit at paano hinahawakan ang data. Ito ang katotohanang nakasandal ang natitirang pagsusuri.

Kung ang entidad ay nakaestablo sa EU, magpatuloy sa ikalawang pagsusuri. Kung hindi, pumunta sa ikatlo.

Ikalawang pagsusuri: nakaugnay ba ang pagproseso sa isang establishment sa EU

Sinasaklaw ng Artikulo 3(1) ang pagproseso sa konteksto ng mga gawain ng isang establishment sa EU, kahit ang pagproseso mismo ay nangyayari sa labas ng Unyon. Ang test ay ang ugnayan sa pagitan ng pagproseso at mga gawain ng establishment na iyon.

Ang isang tanggapan sa Europa ay hindi awtomatikong humihila ng bawat operasyon ng isang multinasyunal na kumpanya sa saklaw. Gayundin, ang pagruruta ng trapiko sa isang exit sa labas ng EU ay hindi nag-aalis ng ugnayang iyon. Ang pagsusuri ng establishment ay tungkol sa pagproseso, hindi sa landas ng packet.

Kung naaangkop ang pagsusuring ito, huminto: ang VPN exit ay walang kaugnayan sa saklaw, bagaman maaari itong mahalaga sa iba pang isyu ng paglilipat o seguridad.

Ikatlong pagsusuri: pag-aalok sa o pagmamanman ng mga tao sa Unyon

Kung walang establishment sa EU, naaangkop ang Artikulo 3(2) sa pag-aalok ng mga produkto o serbisyo sa mga tao sa Unyon, o sa pagmamanman ng kanilang pag-uugali doon. Hindi sapat ang pagiging accessible lamang ng isang website. Ang gabay ng EDPB sa Artikulo 3 ay naghahanap ng sadyang pagpupuntirya sa mga tao sa Unyon.

Sa landas na ito, mahalaga ang presensya ng tao sa kaugnay na oras, hindi lamang ang pagkamamamayan o paninirahan. Ang isang ilustratibong bisita sa labas ng EU na tila gumagamit ng IP ng EU ay hindi tumutugon sa elemento ng lokasyon dahil lamang sa katotohanang iyon. Ang mahalaga ay kung ang alok o pagmamanman ay nakatuon sa mga tao sa Unyon. Ang isang pagbisita mula sa tila address ng EU ay mahinang ebidensya sa sarili nito.

Kung wala sa establishment o targeting ang naaangkop, hindi lumikha ng saklaw ang VPN exit. Kung naaangkop ang targeting, hindi ito inalis ng exit.

Ikaapat na pagsusuri: ano ang binabago ng VPN exit at ano ang hindi

Ang ibang exit ay nagbabago ng maliwanag na pinagmulan ng isang koneksyon. Maaari nitong baguhin ang ipinapakita ng isang site, na isang pagpiling pagpapatupad. Hindi nito binabago kung sino ang controller, ano ang layunin ng pagproseso o kung ang alok ay nakatuon sa mga tao sa Unyon.

Ituring ang geolocation bilang limitadong senyales at itala ang kawalan ng katiyakan. Huwag gawing eksepsyon ang isang hindi kilalang lokasyon.

Itago ang talaan

Para sa isang operator ng serbisyo, itala ang responsableng entidad, ang establishment, ang layunin, ang inilaan na audience at anumang pagmamanman. Suriin ang teritoryal na pamantayan kasama ang kwalipikadong payo sa privacy. Para sa isang indibidwal, magsimula sa abiso ng privacy at sa entidad na humahawak ng iyong impormasyon.

Suriin ang mga patakaran sa cookie at pag-iimbak sa device nang hiwalay sa tanong ng Artikulo 3. Huwag ilipat ang isang konklusyon mula sa isang gawaing pagproseso sa bawat patakaran ng pagsubaybay, at huwag pagsamahin ang mga balangkas ng EU at UK sa isang batas na walang pagkakaiba. Dapat sabihin ng talaan kung aling balangkas ang sinuri mo at bakit.