Jak możesz zablokować użytkowników RODO z witryn w USA?

Dec 19 2020

(Pierwotnie zadałem to pytanie w sprawie błędu serwera z tagiem RODO, ale ze względu na minimalną odpowiedź radzono spróbować zadać tutaj)

Jak rozumiem, RODO to europejskie prawodawstwo promowane w celu ochrony prywatności obywateli UE i przyznania obywatelom UE prawa do kontrolowania, w jaki sposób strony internetowe wykorzystują dane / czy strony internetowe mogą przechowywać te dane.

Moje początkowe wrażenie na temat RODO jest takie, że jeśli obywatel UE chce praw RODO, powinien korzystać tylko z serwerów znajdujących się w UE, które podlegałyby przepisom RODO.

Jednak najwyraźniej istnieje pogląd, że prawodawstwo UE może w jakiś sposób wpłynąć na serwery spoza UE? Nie jestem prawnikiem, ale spodziewałbym się, że każdy naród definiuje i egzekwuje własne prawa - które mogą, ale nie muszą, być zgodne z ustawodawstwem innego kraju. W jaki sposób RODO ma zastosowanie nawet do serwerów znajdujących się w USA (lub w jakimkolwiek innym kraju spoza UE)?

Na podstawie kilku artykułów, które przeczytałem w Internecie, wydaje się, że Stany Zjednoczone w jakiś sposób pozwalają na egzekwowanie unijnego prawodawstwa RODO na terytorium USA.

Ponieważ nie chcę mieć do czynienia z bólami głowy związanymi z RODO, najwyraźniej nie mam innego wyboru, jak zablokować WSZYSTKIM obywatelom UE (i każdemu innemu dostępowi do moich witryn / usług z UE) korzystania z moich witryn i usług. Mogę zaporować całą przestrzeń adresową IP w UE, aby złapać większość użytkowników z UE, ale są obywatele UE, którzy mogą korzystać z VPN lub w inny sposób uzyskiwać dostęp do mojej witryny od dostawcy usług internetowych spoza UE.

Czy istnieje podejście prawne, które można zastosować do blokowania obywateli UE? Np. „Dostęp do tej witryny lub usługi jako mieszkaniec UE jest nielegalny”, co oznacza, że ​​w przypadku naruszenia dyrektywy prawnej oczekiwanie RODO byłoby nieważne? Nie obchodzi mnie, czy korzystają z moich witryn i usług, o ile rozumieją, że nie gram w grę RODO i wszystko, co przesyłają na moje serwery, nie będzie jej podlegać.

Odpowiedzi

10 amon Dec 19 2020 at 05:19

Może to wynikać z niezrozumienia RODO. RODO ma zastosowanie w trzech okolicznościach:

  • Art. 3 (1): Ty (administrator danych) masz siedzibę / mieszkasz w UE.
  • Art. 3 ust. 2 lit. a): oferujesz towary lub usługi ludziom w UE.
  • Art. 3 ust. 2 lit. b): monitorujesz zachowanie osób fizycznie przebywających w UE.

Co nie jest czynnikiem:

  • jakie obywatelstwo mają odwiedzający Twoją witrynę (zob. motyw 14).
  • czy do Twojej witryny można wejść z UE (zob. motyw 23).

Najważniejsze jest to, co oznacza „oferowanie towarów lub usług”. EROD wydała oficjalne wytyczne dotyczące interpretacji tego kryterium ukierunkowania ( wytyczne 03/2018 dotyczące terytorialnego zakresu RODO ). Kilka ważnych uwag:

  • Oferta towarów lub usług nie musi wiązać się z żadną rekompensatą. Bezpłatnym dostępem do strony internetowej może być również usługa.
  • RODO ma zastosowanie do osób obecnie przebywających w UE. Turyści z USA w UE są chronieni, turyści z UE w USA nie.
  • Chwila zaoferowania usługi ma znaczenie. Np. Osoba z USA korzystająca z usługi w USA nie może ubiegać się o ochronę RODO przed usługą w USA podczas podróży do UE.
  • Zamiast patrzeć na użytkowników usługi, powinniśmy spojrzeć na rynek docelowy usługi: jeśli usługa nie jest przeznaczona dla osób w UE, RODO nie ma zastosowania.
  • Zasadnicze pytanie brzmi, czy usługodawca „przewiduje” oferowanie usług mieszkańcom UE. Czy usługodawca zamierza, aby osoby, których dane dotyczą z UE, korzystały z usługi?
  • Wytyczne zawierają niewyczerpującą listę wskazówek z orzecznictwa, w szczególności ze sprawy Pammer i Alpenhof . Fragment wskazań, które mogą mieć zastosowanie RODO:
    • w ofercie usług są wymienione UE lub państwa członkowskie
    • witryna ma działania marketingowe skierowane do odbiorców w UE
    • przedmiotowa działalność ma charakter międzynarodowy, np. turystyka
    • wymieniając specjalne dane kontaktowe dla rynku UE
    • używając nazwy domeny najwyższego poziomu powiązanej z UE lub państwami członkowskimi
    • instrukcje dotyczące podróży podczas wizyty z UE
    • wzmianki o klientach międzynarodowych, w tym o osobach / firmach z UE
    • użycie języka lub waluty innej niż Twoja
    • oferujący dostawę towarów do UE

Zatem to, czy RODO ma zastosowanie, będzie zależało od tematyki Twojej strony internetowej i od tego, czy zamierzasz uczestniczyć w rynku UE (nawet jeśli tylko online, nawet jeśli Twoja usługa jest bezpłatna).

Gdyby obowiązywało RODO, blokowanie osób z UE byłoby wątpliwe. Może to być również nielegalne, ale nie na podstawie RODO.

Jeśli RODO nie ma zastosowania, to blokowanie osób z UE jest już niepotrzebne.

Jednak geoblokowanie byłoby bardzo mocną wskazówką, że nie zamierzasz oferować swoich usług mieszkańcom UE. Nie ma dobrego orzecznictwa dotyczącego tego, czy geoblokowanie jest konieczne lub wystarczające. Wychodzę z założenia, że ​​geoblokowanie jest wystarczające (nawet jeśli można je łatwo obejść np. Za pomocą VPN), ale przede wszystkim nie jest to konieczne.

Możesz również ponownie podkreślić, że nie kierujesz swoich działań na rynek UE, biorąc pod uwagę powyższe wskazania. Na przykład sklep internetowy może wyjaśnić, że wysyłają tylko do Ameryki Północnej, ale nie za granicę.

Ponownie: kierowanie na witrynę jest kluczowym czynnikiem, a nie pochodzenie odwiedzających. Więc nawet jeśli okazjonalnie odwiedza UE, nie oznacza to, że musisz przestrzegać RODO.

4 DaleM Dec 19 2020 at 03:30

Nie możesz

Po pierwsze, Kalifornia ma prawo bardzo podobne do RODO, które ma zastosowanie do jej mieszkańców bez względu na to, gdzie się znajdują. Różni się to od RODO, które ma zastosowanie do wszystkich osób w UE bez względu na ich miejsce zamieszkania. Tak więc mieszkaniec Kalifornii w Europie podlega obu prawom, a Niemiec w Nebrasce nie jest nimi objęty.

Po drugie, niektóre przepisy pozwalają stronom zgodzić się na przestrzeganie różnych zasad, na przykład przepisy dotyczące arbitrażu pozwalają stronom zrzec się prawa do korzystania z sądów. Inni nie, na przykład, nie możesz uzgodnić w umowie, że można jeździć na czerwonych światłach. RODO (i prawo Kalifornii) wyraźnie mówią, że nie możesz się wypowiedzieć, każda próba zrobienia tego jest po prostu nieważna (bez skutku) i sama w sobie jest przestępstwem.

Po trzecie, nawet gdybyś mógł niezawodnie zablokować wszystkich, do których mają zastosowanie przepisy, co robisz, gdy okoliczności użytkownika, na którego zezwoliłeś, ulegną zmianie? Jestem Australijczykiem mieszkającym w Australii, więc żadne prawo mnie nie obejmuje (chociaż obowiązują mnie australijskie przepisy dotyczące prywatności), jeśli zbierasz moje dane osobowe, a 5 lat później przeprowadzę się do Austrii, RODO ma teraz do tego zastosowanie dane.

Jak mówisz „technologia znacznie się poprawiła” - tak samo jest z ochroną prywatności.