Bagaimana Anda dapat memblokir pengguna GDPR dari situs berbasis AS?

Dec 19 2020

(Saya awalnya menanyakan pertanyaan ini di Server Fault dengan tag GDPR, tetapi karena respon yang minim disarankan untuk mencoba bertanya di sini)

Seperti yang saya pahami, GDPR adalah undang-undang Eropa yang dipromosikan sebagai perlindungan privasi warga negara UE dan memberikan hak warga negara UE untuk mengontrol bagaimana situs web menggunakan data / apakah situs web dapat menyimpan data tersebut.

Kesan awal saya tentang GDPR adalah jika warga negara UE menginginkan hak GDPR, mereka hanya boleh menggunakan server yang berada di UE yang akan tunduk pada undang-undang GDPR.

Namun, tampaknya ada anggapan bahwa undang-undang UE entah bagaimana dapat memengaruhi server di luar UE? Saya bukan pengacara, tetapi saya berharap setiap negara mendefinisikan dan menegakkan hukum mereka sendiri - yang mungkin sejalan atau tidak dengan undang-undang negara lain. Bagaimana GDPR bahkan berlaku untuk server yang berada di AS (atau negara non-UE lainnya)?

Berdasarkan beberapa artikel yang saya baca secara online, sepertinya AS mengizinkan undang-undang GDPR UE untuk diberlakukan di wilayah AS.

Karena saya tidak ingin berurusan dengan sakit kepala GDPR, sepertinya saya tidak punya pilihan selain memblokir SEMUA warga negara UE (dan siapa pun yang mengakses situs / layanan saya dari dalam UE) dari menggunakan situs web dan layanan saya. Saya dapat mem-firewall seluruh ruang alamat IP UE untuk menangkap sebagian besar pengguna UE, tetapi ada warga UE yang dapat menggunakan VPN atau mengakses situs saya dari ISP non-UE.

Apakah ada pendekatan hukum yang dapat digunakan untuk memblokir warga negara UE? Misalnya, "Mengakses situs atau layanan ini sebagai penduduk UE adalah ilegal" sehingga jika seseorang melanggar arahan hukum, harapan GDPR akan batal? Saya tidak peduli jika mereka menggunakan situs web dan layanan saya selama mereka mengerti bahwa saya tidak memainkan game GDPR dan apa pun yang mereka kirimkan ke server saya tidak akan tunduk padanya.

Jawaban

10 amon Dec 19 2020 at 05:19

Ini mungkin didasarkan pada kesalahpahaman tentang GDPR. GDPR berlaku dalam tiga keadaan:

Pasal 3 (1): Anda (pengontrol data) didirikan / tinggal di UE.
Pasal 3 (2) (a): Anda menawarkan barang atau jasa kepada orang-orang di UE.
Pasal 3 (2) (b): Anda memantau perilaku orang yang secara fisik berada di UE.

Apa yang bukan merupakan faktor:

kewarganegaraan apa yang dimiliki pengunjung situs Anda (lihat Resital 14).
apakah situs Anda dapat diakses dari UE (lihat Bagian 23).

Bagian terpenting adalah apa arti “menawarkan barang atau jasa”. EDPB telah mengeluarkan pedoman resmi tentang interpretasi kriteria penargetan ini ( pedoman 03/2018 tentang cakupan teritorial GDPR ). Beberapa catatan penting:

Penawaran barang atau jasa tidak harus melibatkan kompensasi apapun. Akses gratis ke situs web juga bisa menjadi layanan.
GDPR berlaku saat menargetkan orang-orang yang saat ini berada di UE. Turis AS di UE dilindungi, sedangkan turis UE di AS tidak.
Momen menawarkan layanan itu penting. Misalnya, orang AS yang menggunakan layanan AS tidak dapat mengklaim perlindungan GDPR terhadap layanan AS saat bepergian ke UE.
Alih-alih melihat pengguna layanan, kita harus melihat pasar target layanan: jika layanan tidak melayani orang-orang di UE, GDPR tidak berlaku.
Pertanyaan esensial adalah apakah penyedia layanan "membayangkan" menawarkan layanan kepada orang-orang di UE. Apakah penyedia layanan bermaksud agar subjek data UE menggunakan layanan?
Pedoman tersebut menyusun daftar indikasi yang tidak lengkap dari hukum kasus, khususnya kasus Pammer dan Alpenhof . Kutipan indikasi bahwa GDPR mungkin berlaku:
- Uni Eropa atau negara anggota disebutkan dalam penawaran layanan
- situs web memiliki pemasaran yang ditargetkan pada audiens UE
- Kegiatan yang dipermasalahkan bersifat internasional, misalnya pariwisata
- menyebutkan detail kontak khusus untuk pasar UE
- menggunakan nama domain tingkat atas yang terkait dengan UE atau negara anggota
- petunjuk perjalanan saat berkunjung dari UE
- menyebutkan klien internasional termasuk orang / perusahaan dari UE
- penggunaan bahasa atau mata uang selain milik Anda
- menawarkan pengiriman barang ke UE

Jadi apakah GDPR berlaku akan bergantung pada pokok bahasan situs web Anda, dan apakah Anda berniat untuk berpartisipasi dalam pasar UE (meskipun hanya online, meskipun layanan Anda gratis).

Jika GDPR akan diterapkan, memblokir orang dari UE akan dipertanyakan. Mungkin juga ilegal, tetapi tidak atas dasar GDPR.

Jika GDPR tidak berlaku, memblokir orang-orang dari UE sudah tidak diperlukan.

Namun, pemblokiran geografis akan menjadi indikasi yang sangat kuat bahwa Anda tidak bermaksud menawarkan layanan Anda kepada orang-orang di UE. Tidak ada kasus hukum yang baik tentang apakah geoblocking diperlukan atau cukup. Saya berasumsi bahwa pemblokiran geografis sudah cukup (bahkan jika dapat dengan mudah dielakkan misalnya dengan VPN), tetapi itu tidak diperlukan sejak awal.

Anda juga dapat menekankan kembali bahwa Anda tidak menargetkan pasar UE saat mempertimbangkan indikasi di atas. Misalnya toko web mungkin menjelaskan bahwa mereka hanya mengirim ke Amerika Utara, tetapi tidak secara internasional.

Sekali lagi: penargetan situs Anda adalah faktor krusial, bukan asal pengunjung Anda. Jadi, meskipun sesekali ada pengunjung UE, itu tidak berarti Anda harus mematuhi GDPR.

4 DaleM Dec 19 2020 at 03:30

Tidak boleh

Pertama, California memiliki undang-undang yang sangat mirip dengan GDPR yang berlaku untuk penduduknya di mana pun mereka berada. Ini berbeda dengan GDPR yang berlaku untuk semua orang di UE di mana pun mereka tinggal. Jadi, penduduk California di Eropa dilindungi oleh kedua undang-undang dan seorang Jerman di Nebraska tidak tercakup oleh keduanya.

Kedua, beberapa undang-undang mengizinkan para pihak untuk setuju untuk mematuhi aturan yang berbeda, misalnya, undang-undang arbitrase mengizinkan para pihak untuk menyerahkan hak mereka untuk menggunakan pengadilan. Yang lain tidak, misalnya, Anda tidak dapat menyetujui dalam kontrak bahwa tidak apa-apa mengemudi melewati lampu merah. GDPR (dan undang-undang California) secara eksplisit menyatakan bahwa Anda tidak dapat mengontrak, setiap upaya untuk melakukannya tidak berlaku (tidak berpengaruh) dan dengan sendirinya merupakan pelanggaran.

Ketiga, bahkan jika Anda dapat dengan andal memblokir semua orang yang kepadanya hukum berlaku, apa yang Anda lakukan ketika keadaan pengguna yang Anda izinkan berubah? Saya orang Australia di Australia jadi saya tidak dilindungi oleh undang-undang (meskipun ada undang-undang privasi Australia yang berlaku untuk saya), jika Anda mengumpulkan data pribadi saya dan, 5 tahun kemudian saya pindah ke Austria, GDPR sekarang berlaku untuk itu data.