Comment pouvez-vous bloquer les utilisateurs du RGPD des sites basés aux États-Unis?

Dec 19 2020

(J'ai initialement posé cette question sur Server Fault with GDPR tag, mais en raison d'une réponse minimale, il était conseillé d'essayer de demander ici)

Si je comprends bien, le RGPD est une législation européenne promue comme protégeant la vie privée des citoyens de l'UE et accordant aux citoyens de l'UE le droit de contrôler la façon dont les sites Web utilisent les données / si les sites Web peuvent stocker ces données.

Ma première impression du GDPR est que si un citoyen de l'UE veut des droits GDPR, il ne devrait utiliser que des serveurs résidant dans l'UE qui seraient soumis à la législation GDPR.

Cependant, il semble que la législation de l'UE puisse d'une manière ou d'une autre affecter les serveurs en dehors de l'UE? Je ne suis pas juriste, mais je m'attendrais à ce que chaque nation définisse et applique ses propres lois - qui peuvent ou non être conformes à la législation d'une autre nation. Comment le RGPD est-il même applicable aux serveurs résidant aux États-Unis (ou dans tout autre pays non européen)?

Sur la base de plusieurs articles que j'ai lus en ligne, il semble que les États-Unis autorisent d'une manière ou d'une autre la législation de l'UE au RGPD à être appliquée sur le sol américain.

Comme je ne veux pas faire face aux maux de tête du RGPD, je n'ai apparemment pas d'autre choix que d'empêcher TOUS les citoyens de l'UE (et toute autre personne accédant à mes sites / services depuis l'UE) d'utiliser mes sites Web et services. Je peux pare-feu sur tout l'espace d'adressage IP de l'UE pour attraper la majorité des utilisateurs de l'UE, mais il y a des citoyens de l'UE qui pourraient utiliser un VPN ou accéder à mon site à partir d'un FAI non européen.

Existe-t-il une approche juridique qui peut être utilisée pour bloquer les citoyens de l'UE? Par exemple, "L'accès à ce site ou à ce service en tant que résident de l'UE est illégal" de sorte que si l'on enfreignait la directive légale, l'attente du RGPD serait nulle? Peu m'importe s'ils utilisent mes sites Web et mes services tant qu'ils comprennent que je ne joue pas au jeu GDPR et que tout ce qu'ils soumettent à mes serveurs n'y sera pas soumis.

Réponses

10 amon Dec 19 2020 at 05:19

Cela pourrait être basé sur une mauvaise compréhension du RGPD. Le RGPD s'applique dans trois circonstances:

Art 3 (1): vous (le responsable du traitement) êtes établi / résidez dans l'UE.
Art 3 (2) (a): vous offrez des biens ou des services à des personnes dans l'UE.
Art 3 (2) (b): vous surveillez le comportement des personnes qui se trouvent physiquement dans l'UE.

Ce qui n'est pas un facteur:

quelle citoyenneté ont les visiteurs de votre site (voir le considérant 14).
si votre site est accessible depuis l'UE (voir considérant 23).

L'élément crucial est ce que signifie «offre de biens ou de services». L'EDPB a publié des lignes directrices officielles sur l'interprétation de ce critère de ciblage ( lignes directrices 03/2018 sur le champ d'application territorial du RGPD ). Quelques remarques importantes:

L'offre de biens ou de services ne doit impliquer aucune compensation. L'accès gratuit à un site Web peut également être un service.
Le RGPD s'applique lors du ciblage des personnes actuellement dans l'UE. Les touristes américains dans l'UE sont protégés, les touristes européens aux États-Unis ne le sont pas.
Le moment d'offrir le service compte. Par exemple, une personne américaine utilisant un service américain ne peut pas prétendre à la protection GDPR contre le service américain lors d'un voyage vers l'UE.
Au lieu de regarder les utilisateurs du service, nous devrions nous pencher sur le marché cible du service: si le service ne s'adresse pas aux personnes dans l'UE, le RGPD ne s'applique pas.
La question essentielle est de savoir si le fournisseur du service «envisage» d'offrir des services aux citoyens de l'UE. Le fournisseur de services a-t-il l'intention que les personnes concernées de l'UE utilisent le service?
Les lignes directrices rassemblent une liste non exhaustive d'indications tirées de la jurisprudence, en particulier l' affaire Pammer et Alpenhof . Un extrait d'indications que le RGPD pourrait s'appliquer:
- l'UE ou les États membres sont mentionnés dans l'offre de services
- le site Web a un marketing ciblé sur un public de l'UE
- l'activité en cause est de nature internationale, par exemple le tourisme
- mentionnant des coordonnées spéciales pour le marché de l'UE
- en utilisant un nom de domaine de premier niveau associé à l'UE ou aux États membres
- les instructions de voyage lors d'une visite depuis l'UE
- mentions d'une clientèle internationale comprenant des personnes / entreprises de l'UE
- utilisation d'une langue ou d'une devise autre que la vôtre
- offrir la livraison de marchandises vers l'UE

Ainsi, l'application du RGPD dépendra de l'objet de votre site Web et de votre intention de participer au marché de l'UE (même si ce n'est qu'en ligne, même si votre service est gratuit).

Si le RGPD devait s'appliquer, alors bloquer des personnes de l'UE serait discutable. Cela peut également être illégal, mais pas pour des raisons GDPR.

Si le RGPD ne s'applique pas, alors bloquer des personnes de l'UE est déjà inutile.

Cependant, le géoblocage serait une très forte indication que vous n'avez pas l'intention d'offrir vos services à des personnes dans l'UE. Il n'y a pas de bonne jurisprudence sur la question de savoir si le géoblocage est nécessaire ou suffisant. Je suppose que le géoblocage est suffisant (même s'il peut être facilement contourné par exemple avec un VPN), mais qu'il n'est pas nécessaire en premier lieu.

Vous pouvez également souligner à nouveau que vous ne ciblez pas le marché de l'UE lorsque vous examinez les indications ci-dessus. Par exemple, une boutique en ligne pourrait préciser qu'elle expédie uniquement en Amérique du Nord, mais pas à l'étranger.

Encore une fois: votre ciblage de votre site Web est le facteur crucial, pas l'origine de vos visiteurs. Donc, même s'il y a un visiteur occasionnel dans l'UE, cela ne signifie pas que vous devez vous conformer au RGPD.

4 DaleM Dec 19 2020 at 03:30

Tu ne peux pas

Premièrement, la Californie a une loi très similaire au RGPD qui s'applique à ses résidents où qu'ils se trouvent. Ceci est différent du RGPD qui s'applique à toutes les personnes dans l'UE, peu importe où elles résident. Ainsi, un résident californien en Europe est couvert par les deux lois et un Allemand du Nebraska n'est couvert par aucune des deux.

Deuxièmement, certaines lois permettent aux parties d'accepter de se conformer à des règles différentes, par exemple, les lois sur l'arbitrage permettent aux parties de renoncer à leur droit de recourir aux tribunaux. D'autres ne le font pas, par exemple, vous ne pouvez pas convenir dans un contrat qu'il est acceptable de passer les feux rouges. Le RGPD (et la loi californienne) sont explicites que vous ne pouvez pas sous-traiter, toute tentative de le faire est tout simplement nulle (sans effet) et constitue en soi une infraction.

Troisièmement, même si vous pouviez bloquer de manière fiable toutes les personnes auxquelles les lois s'appliquent, que faites-vous lorsque la situation de l'utilisateur que vous avez autorisée change? Je suis australien en Australie, donc je ne suis couvert par aucune loi (bien qu'il y ait des lois australiennes sur la confidentialité qui s'appliquent à moi), si vous collectez mes données personnelles et, 5 ans plus tard, je déménage en Autriche, le RGPD s'applique désormais Les données.