Чи змінює VPN сферу дії GDPR? Контрольний список, а не тест IP

Питання зазвичай звучить так: чи змінює використання VPN охоплення GDPR. На нього не можна відповісти з IP-адреси. Охоплення йде за обробкою: хто відповідальний, у якому контексті та чия поведінка або пропозиція задіяна. Пройдіть контрольний список нижче по порядку і зупиніться на першому пункті, який вирішує питання для вашої діяльності.

VPN змінює видиме місцезнаходження з'єднання. Він не змінює контролера, мету або людей, на яких спрямовано вплив.

Перша перевірка: хто контролер і де

Назвіть організацію, відповідальну за обробку, і будь-якого обробника, що діє від її імені. Зафіксуйте установу, яка визначає, чому і як обробляються дані. Це факт, на якому тримається решта аналізу.

Якщо організація заснована в ЄС, переходьте до другої перевірки. Якщо ні, переходьте до третьої.

Друга перевірка: чи пов'язана обробка з установою в ЄС

Стаття 3(1) охоплює обробку в контексті діяльності установи в ЄС, навіть коли сама обробка відбувається за межами Союзу. Тест — зв'язок між обробкою та діяльністю цієї установи.

Європейський офіс не втягує автоматично в сферу дії кожну операцію міжнародної компанії. Так само маршрутизація трафіку через вихід за межами ЄС не усуває цей зв'язок. Аналіз установи стосується обробки, а не шляху пакета.

Якщо ця перевірка застосовна, зупиніться: вихід через VPN не має значення для охоплення, хоча може бути важливим для інших питань передачі або безпеки.

Третя перевірка: пропозиція або спостереження за людьми в Союзі

Без установи в ЄС стаття 3(2) застосовується до пропозиції товарів чи послуг людям у Союзі або до спостереження за їхньою поведінкою там. Самої доступності веб-сайту недостатньо. Настанови EDPB щодо статті 3 шукають навмисне націлювання на людей у Союзі.

На цьому шляху важлива присутність людини у відповідний момент, а не громадянство чи місце проживання самі по собі. Ілюстративний відвідувач за межами ЄС, який, схоже, використовує IP-адресу ЄС, не виконує ознаку місця лише за цим фактом. Важливо, чи була пропозиція або спостереження спрямовані на людей у Союзі. Один візит із зовні європейської адреси сам по собі є слабким доказом.

Якщо не застосовуються ні установа, ні націлювання, вихід через VPN не створив охоплення. Якщо націлювання застосовується, вихід його не усунув.

Четверта перевірка: що вихід через VPN змінює і що ні

Інший вихід змінює видиме джерело з'єднання. Він може змінити те, що показує сайт, а це вибір реалізації. Він не змінює, хто є контролером, якою є мета обробки і чи була пропозиція спрямована на людей у Союзі.

Розглядайте геолокацію як обмежений сигнал і документуйте невизначеність. Не перетворюйте невідоме місцезнаходження на виняток.

Збережіть запис

Для оператора послуги зафіксуйте відповідальну організацію, установу, мету, передбачувану аудиторію та будь-яке спостереження. Оцінюйте територіальні критерії з кваліфікованою консультацією щодо приватності. Для фізичної особи почніть із повідомлення про приватність і організації, яка обробляє вашу інформацію.

Оцінюйте правила щодо файлів cookie і зберігання на пристрої окремо від питання статті 3. Не переносьте висновок з однієї діяльності обробки на кожне правило відстеження і не зливайте рамки ЄС і Великої Британії в один недиференційований закон. Запис має вказувати, які рамки ви оцінювали і чому.