Indiens MeitY sætter VPN-udbydere under pres

Indiens ministerium for elektronik og informationsteknologi (MeitY) har udsendt en formel vejledning til VPN-udbydere og online-mellemmænd, hvori de advares om, at det at lette adgangen til forbudte betting- og forudsigelsesplatforme kan koste dem afgørende juridiske beskyttelser. Vejledningen nævner specifikt platforme som Polymarket, som de indiske myndigheder klassificerer som ulovlige betting- eller forudsigelsestjenester, og signalerer, at regeringen holder øje med, hvordan VPN'er bruges til at omgå indenlandske forbud.

Kernen i MeitY's advarsel drejer sig om paragraf 79 i Indiens lov om informationsteknologi, som giver mellemmænd — herunder VPN-udbydere — en "sikker havn" fra juridisk ansvar for indhold, der transmitteres via deres tjenester. Denne beskyttelse er dog betinget. Den kræver, at mellemmænd udviser rettidig omhu og overholder regeringsdirektiver. MeitY gør nu klart, at udbydere, der bevidst tillader brugere at nå blokerede platforme, risikerer at miste dette skjold fuldstændigt.

Hvad sikker havn under paragraf 79 egentlig betyder

Bestemmelser om sikker havn er et grundlæggende koncept i internetlovgivning verden over. De giver platforme, netværk og tjenesteudbydere mulighed for at operere uden at blive holdt ansvarlige for enhver handling foretaget af deres brugere, så længe disse udbydere følger visse regler og reagerer hensigtsmæssigt på juridiske påbud.

I Indiens tilfælde er det paragraf 79 i IT-loven, der forhindrer, at en VPN-udbyder kan retsforfølges blot fordi én af dens brugere har besøgt en begrænset hjemmeside. I det øjeblik en udbyder vurderes at have svigtet sine forpligtelser om rettidig omhu, bortfalder denne beskyttelse. MeitY's vejledning er i bund og grund et varselsskud: fortsæt med at operere uden tilstrækkelige kontroller, og du risikerer at stå juridisk eksponeret.

Vejledningen fremhæver også, at brugere har kombineret VPN'er med stablecoins for at omgå både indholdsbegrænsningerne og den finansielle overvågning, der ellers ville markere transaktioner til forbudte platforme. Denne dobbeltlagede omgåelse ser ud til at have udløst regeringens mere aggressive holdning.

Den bredere spænding: Privatlivsværktøjer over for statslig håndhævelse

VPN'er befinder sig i et kompliceret juridisk og etisk rum i mange lande. De tjener helt legitime formål ved at beskytte journalister, aktivister, fjernarbejdere og almindelige brugere mod overvågning og eksponering af data. Samtidig kan ethvert værktøj, der kan skjule en brugers onlineaktivitet, også bruges til at tilgå indhold, som en regering har besluttet at blokere.

Indien har i flere år strammet reglerne for VPN-udbydere. I 2022 indførte landets Computer Emergency Response Team (CERT-In) obligatoriske krav om dataopbevaring for VPN-udbydere, der forpligter dem til at logge brugeraktivitet og opbevare den i fem år. Flere store udbydere reagerede ved at trække deres fysiske servere ud af Indien frem for at efterkomme kravene. MeitY's seneste vejledning fortsætter denne regulatoriske udvikling og presser udbydere i retning af større ansvarlighed for, hvad deres infrastruktur muliggør.

Dette skaber et reelt dilemma for udbyderne. At operere i Indien betyder at overholde regler, der af natur er i konflikt med de løfter om privatliv, som VPN'er er bygget op omkring. At nægte at efterkomme kravene betyder enten at forlade markedet helt eller at operere under markant forhøjet juridisk risiko.

Den præcedens, dette sætter, har betydning ud over Indiens grænser. Regeringer i andre jurisdiktioner, der følger dette område, kan se MeitY's tilgang som en brugbar model: frem for at forbyde VPN'er direkte, bruges eksisterende rammer for mellemmænds ansvar til at presse udbydere til selv at overvåge deres brugere.

Hvad dette betyder for dig

Hvis du er VPN-bruger i Indien, er MeitY's vejledning ikke en direkte advarsel til dig som enkeltperson. Den er rettet mod udbyderne. De efterfølgende konsekvenser er dog reelle. Udbydere, der vælger at efterkomme kravene, kan begynde at begrænse adgangen til visse kategorier af sider, logge mere brugerdata eller forlade det indiske marked helt. Brugere, der er afhængige af VPN'er til legitime privatlivsformål, kan opleve, at deres valgmuligheder indsnævres.

For brugere, der tilgår platforme, som indisk lovgivning klassificerer som ulovlige betting-tjenester, ligger den juridiske risiko primært hos dem selv — ikke kun hos VPN-udbyderen. Brugen af en VPN giver ikke juridisk immunitet over for indenlandsk lovgivning, og MeitY's vejledning understreger, at regeringen betragter VPN-assisteret adgang til forbudte platforme som et overholdelsesbrud i hele kæden.

Vejledningen er også en påmindelse om, at den juridiske status for VPN-brug varierer betydeligt fra land til land og fra brugstilfælde til brugstilfælde. Det, der er et beskyttet privatlivsværktøj i én sammenhæng, kan blive en juridisk byrde i en anden, afhængigt af hvad du bruger det til, og hvor du befinder dig.

Vigtigste pointer

  • MeitY har advaret VPN-udbydere om, at det at lette adgangen til forbudte betting-platforme kan resultere i tab af beskyttelse under sikker havn-bestemmelserne i Indiens IT-lov.
  • Sikker havn under paragraf 79 er betinget af rettidig omhu; det er ikke et automatisk skjold for alle udbydere.
  • Indiens tilgang afspejler en bredere regulatorisk tendens til at bruge rammer for mellemmænds ansvar til at presse VPN-udbydere frem for at forbyde dem direkte.
  • VPN-brugere i Indien bør forstå, at brugen af en VPN til at tilgå indhold, der er forbudt under indisk lovgivning, indebærer en personlig juridisk risiko, uanset udbyderens egen overholdelse af reglerne.
  • Hvis du bruger en VPN til legitime privatlivsformål, bør du følge med i, hvordan din udbyder reagerer på regulatorisk pres i de markeder, hvor du opererer.

Regeringer forstår i stigende grad, at det er vanskeligt at kontrollere adgangen til VPN'er direkte. At kontrollere udbyderne via rammer for juridisk ansvar er betydeligt mere opnåeligt, og Indiens seneste skridt demonstrerer præcis, hvordan dette pres udøves. For enhver, der bruger eller driver VPN-tjenester på regulerede markeder, er det ikke længere valgfrit at holde sig informeret om det juridiske miljø.