VPN GDPR kapsamını değiştirir mi? Bir kontrol listesi, IP testi değil

Soru genellikle VPN kullanmanın GDPR kapsamını değiştirip değiştirmediği biçiminde gelir. IP adresinden yanıtlanamaz. Kapsam işlemeyi izler: kim sorumlu, hangi bağlamda ve kimin davranışı veya teklifi söz konusu. Aşağıdaki kontrol listesini sırayla uygulayın ve faaliyetiniz için soruyu belirleyen ilk maddede durun.

VPN bir bağlantının görünen konumunu değiştirir. Veri sorumlusunu, amacı veya hedeflenen kişileri değiştirmez.

Birinci kontrol: veri sorumlusu kim ve nerede

İşlemeden sorumlu kuruluşu ve onun adına hareket eden herhangi bir işleyiciyi adlandırın. Verilerin neden ve nasıl işlendiğini belirleyen yerleşimi kaydedin. Analizin geri kalanı bu olguya dayanır.

Kuruluş AB'de yerleşikse ikinci kontrole geçin. Değilse üçüncüye gidin.

İkinci kontrol: işleme AB yerleşimine bağlı mı

Madde 3(1), işlemenin kendisi Birlik dışında gerçekleşse bile, AB'deki bir yerleşimin faaliyetleri bağlamında yapılan işlemeyi kapsar. Test, işleme ile o yerleşimin faaliyetleri arasındaki bağdır.

Bir Avrupa ofisi, çok uluslu bir şirketin her işlemini otomatik olarak kapsama çekmez. Aynı şekilde, trafiğin AB dışındaki bir çıkıştan yönlendirilmesi bu bağı ortadan kaldırmaz. Yerleşim analizi işlemeyle ilgilidir, paketin yoluyla değil.

Bu kontrol geçerliyse durun: VPN çıkışı kapsam için önemsizdir, ancak diğer aktarım veya güvenlik soruları için önemli olabilir.

Üçüncü kontrol: Birlik'teki kişilere sunma veya izleme

AB'de yerleşim yoksa, Madde 3(2) Birlik'teki kişilere mal veya hizmet sunmaya ya da oradaki davranışlarının izlenmesine uygulanır. Bir web sitesine yalnızca erişilebilir olması yeterli değildir. EDPB'nin Madde 3 hakkındaki rehberi Birlik'teki kişilere yönelik kasıtlı bir hedefleme arar.

Bu yolda, ilgili anda kişinin bulunması önemlidir, yalnızca vatandaşlık veya ikamet değil. AB dışında olup AB IP'si kullanıyor gibi görünen örnek bir ziyaretçi, yalnızca bu olguyla konum unsurunu karşılamaz. Önemli olan, teklifin veya izlemenin Birlik'teki kişilere yönelik olup olmadığıdır. Görünüşte AB adresinden tek bir ziyaret, kendi başına zayıf bir kanıttır.

Ne yerleşim ne de hedefleme geçerliyse, VPN çıkışı kapsam yaratmamıştır. Hedefleme geçerliyse, çıkış onu ortadan kaldırmamıştır.

Dördüncü kontrol: VPN çıkışının değiştirdiği ve değiştirmediği şeyler

Farklı bir çıkış, bir bağlantının görünen kaynağını değiştirir. Bir sitenin ne gösterdiğini değiştirebilir, bu bir uygulama tercihidir. Veri sorumlusunun kim olduğunu, işleme amacının ne olduğunu veya teklifin Birlik'teki kişilere yönelik olup olmadığını değiştirmez.

Coğrafi konumu sınırlı bir sinyal olarak görün ve belirsizliği belgeleyin. Bilinmeyen bir konumu muafiyete dönüştürmeyin.

Kaydı saklayın

Bir hizmet işletmecisi için sorumlu kuruluşu, yerleşimi, amacı, hedeflenen kitleyi ve her türlü izlemeyi kaydedin. Bölgesel ölçütleri nitelikli gizlilik danışmanlığıyla değerlendirin. Bir birey için gizlilik bildirimi ve bilgilerinizi işleyen kuruluşla başlayın.

Çerez ve cihazda depolama kurallarını Madde 3 sorusundan ayrı değerlendirin. Bir işleme faaliyetinden çıkan sonucu her izleme kuralına aktarmayın ve AB ile Birleşik Krallık çerçevelerini tek bir ayrıştırılmamış hukukta birleştirmeyin. Kayıt, hangi çerçeveyi değerlendirdiğinizi ve nedenini söylemelidir.