VPN 会改变 GDPR 的适用范围吗？需要一份清单，而不是 IP 测试

这个问题通常以“使用 VPN 是否会改变 GDPR 的覆盖范围”的形式出现。它无法从 IP 地址得到答案。覆盖范围取决于处理活动：责任在谁、处于何种背景、涉及谁的行为或提供。请按顺序走完下面的清单，并在第一个能为你这项活动定论的条目处停下。

VPN 改变的是连接表面上的位置。它不改变控制者、目的，也不改变被针对的人群。

核查一：控制者是谁、在哪里

指明负责处理的实体，以及任何代其行事的处理者。记录决定数据为何以及如何被处理的机构所在地。后续分析都依托这一事实。

若该实体在欧盟设有机构，继续核查二。若没有，进入核查三。

核查二：处理是否与欧盟机构相关联

第 3(1) 条涵盖在欧盟机构活动背景下进行的处理，即使处理本身发生在欧盟之外。判断标准是处理与该机构活动之间的关联。

欧洲办公室并不会自动把跨国公司的每一项业务都拉入范围。同样，把流量经由欧盟以外的出口转出，也不会消除这种关联。机构分析关注的是处理活动，而不是数据包路径。

若这一核查成立，就到此为止：VPN 出口对覆盖范围无关紧要，尽管它可能影响其他传输或安全问题。

核查三：面向欧盟境内的人提供或进行监测

在没有欧盟机构的情况下，第 3(2) 条适用于向欧盟境内的人提供商品或服务，或监测其在那里的行为。仅网站可以访问是不够的。EDPB 关于第 3 条的指引寻找的是对欧盟境内人群的刻意针对。

在这条路径上，重要的是相关时间点上本人所在的位置，而不只是国籍或居住地。一位身在欧盟之外、看似使用欧盟 IP 的示例访客，仅凭这一事实并不能满足位置要件。关键在于提供或监测是否指向欧盟境内的人。来自看似欧盟地址的单次访问本身只是弱证据。

若机构与指向都不适用，VPN 出口并未创设覆盖范围。若指向适用，出口也没有消除它。

核查四：VPN 出口改变什么、不改变什么

不同的出口改变连接的表面来源。它可能改变网站显示的内容，而这属于实现层面的选择。它不改变控制者是谁、处理目的是什么，也不改变提供是否指向欧盟境内的人。

把地理位置视为有限的信号，并记录其中的不确定性。不要把未知位置变成豁免。

留存记录

对服务运营者而言，记录责任实体、机构所在地、目的、预期受众以及任何监测。用合格的隐私建议评估地域标准。对个人而言，从隐私声明和处理你信息的实体开始。

把 Cookie 和设备存储规则与第 3 条的问题分开评估。不要把某一处理活动的结论照搬到每一条跟踪规则，也不要把欧盟与英国的框架合并成一部门不分化的法律。记录应说明你评估的是哪一套框架以及为什么。