Tak, to opłacalna opcja. I nie, nie musi być doskonały.

Zastosowanie takiego filtra jest środkiem technicznym, ale służy również do zakomunikowania, że ​​Small Town News wyraźnie nie przewiduje świadczenie usług Europejczykom lub innym mieszkańcom UE.

Jeśli użytkownik decyduje się na korzystanie z VPN do odwiedzania stron internetowych Small Town News, rozsądnie jest oczekiwać, że byłoby to porównywalne z zakupem drukowanej gazety Small Town News podczas fizycznego pobytu w USA. Powszechną zasadą jest, że o jurysdykcji decydują sądy, a działania strony mogą mieć wpływ na tę decyzję.

ten środek technologiczny nie odfiltrowuje 100% ruchu mieszkańców UE

Jako podmiot przetwarzający dane osobowe niemający siedziby w UE, Small Town News będzie musiał się martwić osoby, których dane dotyczą, wyłącznie w UE ( art. 3 ust. 2):

Niniejsze rozporządzenie ma zastosowanie do przetwarzania danych osobowych podmioty przebywające w Unii przez administratora lub podmiot przetwarzający, którzy nie mają siedziby w Unii

To powiedziawszy, Small Town News nie będzie musiał przejmować się RODO, jeśli chodzi o obsługę mieszkańców UE, którzy obecnie przebywają poza UE.

Z drugiej strony Small Town News będzie musiał dbać o RODO, gdy ktokolwiek w UE (mieszkańcy, a także turyści ze Stanów Zjednoczonych lub powiedzmy z Zimbabwe) odwiedzają stronę internetową:

W szczególności artykuł 3 ust. 2 ma zastosowanie do przetwarzania danych osobowych każdej osoby „w UE”. Obywatelstwo lub miejsce zamieszkania danej osoby nie ma znaczenia. RODO chroni dane osobowe obywateli, mieszkańców, turystów i innych osób odwiedzających UE. Dopóki osoba fizyczna przebywa w UE, wszelkie dane osobowe tej osoby gromadzone przez administratora lub podmiot przetwarzający, który spełnia wymogi art. 3 ust. 2, podlegają RODO. Tam, gdzie ma zastosowanie art. 3 ust. 2, administratorzy lub podmioty przetwarzające muszą wyznaczyć przedstawiciela z siedzibą w UE.

Od tego momentu Small Town News ma dwie opcje (oprócz pełnego przestrzegania RODO):

1. Zablokuj ruch w UE według adresu IP, aby mieszkańcy UE nie mieli do niego dostępu. Jak zauważyłeś, mapowanie geograficzne IP może nie być dokładne, więc nie zapewni 100% ochrony. Ponadto osoby w UE mogą korzystać z VPN / proxy, co nie zaprzecza temu, że nadal przebywają w UE i dlatego podczas ich leczenia musisz przestrzegać RODO; lub
2. Nie oferuj towarów ani usług ludziom w UE i nie monitoruj ich zachowania. Korzystanie z domeny najwyższego poziomu .us , oferowanie sprzedaży w dolarach tylko osobom z adresem w USA i wyłączenie wszelkich analiz użytkowników dla adresów IP spoza USA powinno wystarczyć.

Jeśli Small Town News USA obsługuje tylko strony internetowe, nie trzeba nic robić.

Jeśli nie możesz zidentyfikować osoby na podstawie adresów IP, adresy IP nie są danymi osobowymi.

Bardziej szczegółowo, serwer WWW jest oznaczony jako „firewall / nginx-reverse-proxy” i nawiązywałby połączenie, sprawdzał adres IP (dane osobowe na mocy RODO; patrz Często zadawane pytania Co stanowi Dane osobowe?)

To często zadawane pytania nie wspominają o adresie IP i nie jest to oficjalna witryna internetowa UE - chociaż niektóre strony internetowe UE również wprowadzają w błąd. Ale z RODO:

„dane osobowe” oznaczają wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej („osoba, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można zidentyfikować bezpośrednio lub pośrednio, w szczególności na podstawie identyfikatora, takiego jak imię i nazwisko, numer identyfikacyjny, dane dotyczące lokalizacji, identyfikator internetowy lub jeden lub więcej szczególnych czynników fizycznych, fizjologicznych, tożsamość genetyczna, psychiczna, ekonomiczna, kulturowa lub społeczna tej osoby fizycznej;

Nie mogę zidentyfikować nikogo na podstawie moich dzienników Nginx - jeśli mam tylko dzienniki nginx, adresy IP w nich są nie „dane osobowe”. Imię nie jest danymi osobowymi, jeśli nie mogę zidentyfikować kogoś bezpośrednio lub pośrednio na jego podstawie. Na przykład. Samo „John Smith” nie jest danymi osobowymi, ponieważ istnieje wiele osób o nazwisku John Smith, ale „John Smith, 1 Imagined Street, Unrealtown, Nowhereshire” mogą być danymi osobowymi. Dane osobowe mogą stanowić unikalne imię: Aloysius Reginald Archibald Tarquin Quentin St John Smythe (miejmy nadzieję, że ta osoba nie istnieje). Czy możesz / firma zidentyfikować osobę na podstawie danych, do których masz dostęp? Jeśli możesz, dane są danymi osobowymi.

Jeśli nadal się martwisz, zmniejsz / usuń ryzyko w swoich dziennikach, ustawiając ostatni oktet adresów IPv4 i ostatnich 80 bitów adresów IPv6 na zera i / lub skonfiguruj harmonogram przechowywania. Nie potrzebujesz zapory sieciowej ani filtrowania itp., Aby blokować ludzi w UE.

Pamiętaj również, że istnieje sześć legalnych podstaw przetwarzania danych osobowych. Jednym z nich jest stwierdzenie, że „przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub osobę trzecią”. Czy ochrona firmy przed „złośliwym ruchem” to uzasadniony interes?