VPN có thay đổi phạm vi GDPR? Một danh sách kiểm tra, không phải phép thử IP

Câu hỏi thường đến dưới dạng liệu việc dùng VPN có thay đổi phạm vi bao phủ của GDPR. Không thể trả lời từ một địa chỉ IP. Phạm vi đi theo việc xử lý: ai chịu trách nhiệm, trong bối cảnh nào và hành vi hay đề nghị của ai có liên quan. Hãy làm danh sách kiểm tra dưới đây theo thứ tự và dừng ở mục đầu tiên quyết định câu hỏi cho hoạt động của bạn.

VPN thay đổi vị trí biểu kiến của một kết nối. Nó không thay đổi bên kiểm soát, mục đích hay những người bị nhắm tới.

Kiểm tra một: ai là bên kiểm soát và ở đâu

Hãy nêu tên thực thể chịu trách nhiệm xử lý và bất kỳ bên xử lý nào hành động thay mặt thực thể đó. Ghi lại cơ sở quyết định vì sao và như thế nào dữ liệu được xử lý. Đây là sự thật mà phần còn lại của phân tích dựa vào.

Nếu thực thể được thành lập trong EU, hãy tiếp tục bước kiểm tra hai. Nếu không, chuyển sang bước ba.

Kiểm tra hai: việc xử lý có gắn với cơ sở tại EU không

Điều 3(1) bao gồm việc xử lý trong bối cảnh hoạt động của một cơ sở tại EU, ngay cả khi bản thân việc xử lý diễn ra ngoài Liên minh. Phép thử là mối liên hệ giữa việc xử lý và hoạt động của cơ sở đó.

Một văn phòng châu Âu không tự động kéo mọi hoạt động của một công ty đa quốc gia vào phạm vi. Tương tự, việc định tuyến lưu lượng qua một đầu ra ngoài EU không xóa bỏ mối liên hệ đó. Phân tích cơ sở nói về việc xử lý, không phải đường đi của gói tin.

Nếu bước kiểm tra này áp dụng, hãy dừng: đầu ra VPN không liên quan đến phạm vi, dù nó có thể quan trọng với các câu hỏi chuyển dữ liệu hoặc bảo mật khác.

Kiểm tra ba: chào mời hoặc theo dõi người ở trong Liên minh

Không có cơ sở tại EU, Điều 3(2) áp dụng cho việc chào mời hàng hóa hoặc dịch vụ tới người ở trong Liên minh, hoặc theo dõi hành vi của họ tại đó. Chỉ riêng việc một trang web có thể truy cập được là không đủ. Hướng dẫn của EDPB về Điều 3 tìm kiếm sự nhắm mục tiêu có chủ đích vào người ở trong Liên minh.

Trên con đường này, sự hiện diện của người đó vào thời điểm liên quan là điều quan trọng, không chỉ quốc tịch hay nơi cư trú. Một khách truy cập minh họa ở ngoài EU trông như đang dùng IP của EU không đáp ứng yếu tố vị trí chỉ bằng sự thật đó. Điều quan trọng là liệu đề nghị hoặc việc theo dõi có nhắm tới người ở trong Liên minh hay không. Một lần truy cập từ địa chỉ trông như của EU tự nó là bằng chứng yếu.

Nếu cả cơ sở lẫn nhắm mục tiêu đều không áp dụng, đầu ra VPN chưa tạo ra phạm vi. Nếu nhắm mục tiêu áp dụng, đầu ra chưa xóa bỏ nó.

Kiểm tra bốn: đầu ra VPN thay đổi gì và không thay đổi gì

Một đầu ra khác thay đổi nguồn biểu kiến của một kết nối. Nó có thể thay đổi điều một trang hiển thị, đó là một lựa chọn triển khai. Nó không thay đổi ai là bên kiểm soát, mục đích xử lý là gì, hay liệu đề nghị có nhắm tới người ở trong Liên minh.

Coi định vị địa lý là một tín hiệu hạn chế và ghi lại sự không chắc chắn. Đừng biến một vị trí chưa biết thành ngoại lệ.

Giữ hồ sơ

Với một đơn vị vận hành dịch vụ, hãy ghi lại thực thể chịu trách nhiệm, cơ sở, mục đích, đối tượng dự kiến và mọi hoạt động theo dõi. Đánh giá các tiêu chí lãnh thổ với tư vấn riêng tư có chuyên môn. Với một cá nhân, hãy bắt đầu từ thông báo riêng tư và thực thể xử lý thông tin của bạn.

Đánh giá các quy tắc về cookie và lưu trữ trên thiết bị tách biệt khỏi câu hỏi của Điều 3. Đừng chuyển một kết luận từ một hoạt động xử lý sang mọi quy tắc theo dõi, và đừng hợp nhất khung của EU và Vương quốc Anh thành một luật không phân biệt. Hồ sơ phải nêu bạn đã đánh giá khung nào và vì sao.