GDPR 数据保护审查中 VPN 到底覆盖了什么

云数据库存放个人数据，VPN 限定谁能够访问它，于是有人问：这样配置是否合规。答案是否定的，而且这个问题本身问错了方向。VPN 只是若干技术性访问控制中的一项，一份止步于“流量已加密”的审查，只回答了一个安全问题，却把每一个数据保护问题都留在原处。请按顺序完成下面的检查，而且要在网络规则存在之前就开始。

检查 1：先描述隧道之前的处理

写下处理目的、真正需要的个人数据类别、获准使用它们的人员，以及拟定的保存期限。确定你所依据的合法性基础，以及个人行使权利时走的那条路径。一个受限的 IP 网段无法回答上述任何一项。

注意，个人数据的范围比一份显而易见的标识符清单更宽。加密或假名化的记录，只要仍有可能被重新识别，就仍然是个人数据，所以一个塞满哈希标识符的数据库并不会自动脱离适用范围。

检查 2：写明角色

先确定谁决定处理、谁代表该方行事，然后审查双方之间的条款：书面指示、保密义务、安全承诺以及获准的次级处理者。对典型的云服务安排来说，这就是控制者与处理者之间的协议，而欧盟委员会的应用指引解释了这些角色以及所需的约束性文件。

网络拓扑图通常一项都不写，这正是只问 VPN 会卡住的原因。角色决定了由谁回应权利请求。角色也决定了出问题时由谁负责。在写下第一条防火墙规则之前，先把这两个方框画出来。

检查 3：画出数据实际所在的位置

列出主存储、副本、备份以及管理访问路径。备份是最常见的遗漏，而加密隧道并不改变快照存放在哪里。

把任何跨境传输问题放回它自己的框架里评估。VPN 的出口国家是一个路由事实，而不是关于服务商在哪里处理数据的陈述。团队经常更换隧道的出口区域，并以为改变了传输。他们真正改变的，是流量看起来来自哪个地址。

检查 4：说明每项控制达成了什么

IP 允许清单限制哪些网络来源可以连接。VPN 保护一条既定路径，并能减少直接暴露。两者都不应该让网关后面的每个人拥有相同的数据库权限，因为隧道认证的是一条路径，而不是一个人。

使用个人身份认证与基于角色的访问控制，并在人员岗位变动时撤销访问。然后，把加密与密钥保管、补丁、恢复和事件处置与网络控制放在一起审查，用安全指引所采用的、与风险相称的措辞，而不是一份固定的清单。

检查 5：保留证据

保留处理说明、服务协议、访问决定、风险评估以及具名的责任人。正是证据让一套设计在一年之后仍然可以被审查。

有两项判断值得给出明确答案，而不是想当然。当处理很可能导致高风险时，需要进行数据保护影响评估；而数据保护官只在特定情形下才是强制的。两者都不会因为把数据存入云端而自动产生，也不会因此被排除。

完成的审查说了什么

一份有用的审查会说明 VPN 为何存在、它不覆盖什么、哪些义务落在它之外。那是一份简短的文件，而且远比“流量已加密”的说法更站得住脚。

让负责的隐私与安全专家评估整套安排，而不是只为隧道签字。