Intian MeitY asettaa VPN-palveluntarjoajat valvonnan alle

Intian elektroniikka- ja tietotekniikkaministeriö (MeitY) on antanut virallisen ohjeistuksen VPN-palveluntarjoajille ja verkkoyhteisöille varoittaen, että kiellettyjen vedonlyönti- ja ennustamisalustojen käytön mahdollistaminen voi maksaa niille kriittiset oikeussuojat. Ohjeistuksessa mainitaan erityisesti sellaiset alustat kuin Polymarket, jonka Intian viranomaiset luokittelevat laittomaksi vedonlyönti- tai ennustamispalveluksi. Samalla se viestii, että hallitus seuraa tarkasti, miten VPN-yhteyksiä käytetään kansallisten kieltojen kiertämiseen.

MeitY:n varoituksen ydin liittyy Intian tietotekniikkalain (Information Technology Act) pykälään 79, joka myöntää välittäjille — mukaan lukien VPN-palveluntarjoajat — niin sanotun "turvasataman" suojan oikeudelliselta vastuulta palveluidensa kautta välitetystä sisällöstä. Tämä suoja on kuitenkin ehdollinen: se edellyttää, että välittäjät noudattavat asianmukaista huolellisuutta ja hallituksen määräyksiä. MeitY tekee nyt selväksi, että palveluntarjoajat, jotka tietoisesti sallivat käyttäjien pääsyn estolistalla oleville alustoille, voivat menettää tämän suojan kokonaan.

Mitä pykälän 79 turvasatamasuoja todella tarkoittaa

Turvasatamasäännökset ovat keskeinen käsite internet-lainsäädännössä kaikkialla maailmassa. Ne mahdollistavat alustojen, verkkojen ja palveluntarjoajien toiminnan ilman, että niitä pidetään vastuullisina käyttäjiensä jokaisesta toimesta — kunhan nämä palveluntarjoajat noudattavat tiettyjä sääntöjä ja reagoivat asianmukaisesti oikeusilmoituksiin.

Intiassa IT-lain pykälä 79 on se säännös, joka estää VPN-palveluntarjoajan syytteeseenpanon pelkästään siksi, että yksi sen käyttäjistä on vieraillut rajoitetulla verkkosivustolla. Heti kun palveluntarjoajan katsotaan laiminlyöneen huolellisuusvelvollisuutensa, tämä suoja häviää. MeitY:n ohjeistus on käytännössä varoituslaukaus: jatkakaa toimintaa ilman riittäviä valvontatoimia, ja saatatte joutua oikeudelliseen vastuuseen.

Ohjeistuksessa tuodaan myös esille, että käyttäjät ovat yhdistäneet VPN-palvelut vakaakolikoihin (stablecoins) kiertääkseen sekä sisältörajoitukset että rahoitusvalvonnan, joka muuten merkitsisi kielletyille alustoille tehdyt tapahtumat. Tämä kaksitasoinen kiertäminen näyttää olevan syy hallituksen aiempaa tiukempaan asenteeseen.

Laajempi jännite: yksityisyystyökalut vs. viranomaisten toimeenpano

VPN-yhteydet elävät monissa maissa oikeudellisesti ja eettisesti monimutkaisessa tilassa. Ne palvelevat täysin laillisia tarkoituksia suojaten toimittajia, aktivisteja, etätyöntekijöitä ja tavallisia käyttäjiä valvonnalta ja tietovuodoilta. Samaan aikaan mikä tahansa työkalu, joka voi peittää käyttäjän verkkotoiminnan, voidaan käyttää myös sellaisen sisällön saavuttamiseen, jonka hallitus on päättänyt estää.

Intia on tiukentanut VPN-palveluntarjoajia koskevia sääntöjään useiden vuosien ajan. Vuonna 2022 maan tietotekniikan hätävalmiusryhmä (CERT-In) otti käyttöön pakolliset tietojen säilyttämisvaatimukset VPN-palveluntarjoajille velvoittaen ne kirjaamaan käyttäjätoimintaa ja säilyttämään se viiden vuoden ajan. Useat suuret palveluntarjoajat reagoivat poistamalla fyysiset palvelimensa Intiasta sen sijaan, että olisivat noudattaneet vaatimuksia. MeitY:n tuorein ohjeistus jatkaa tätä sääntelykehitystä painostaen palveluntarjoajia ottamaan enemmän vastuuta siitä, mitä niiden infrastruktuuri mahdollistaa.

Tämä asettaa palveluntarjoajat todellisen dilemman eteen. Toimiminen Intiassa tarkoittaa sellaisten sääntöjen noudattamista, jotka ovat lähtökohtaisesti ristiriidassa niiden yksityisyyslupauksien kanssa, joille VPN-palvelut rakentuvat. Noudattamatta jättäminen tarkoittaa joko markkinoilta poistumista kokonaan tai toimimista huomattavasti korkeammalla oikeudellisella riskillä.

Tällä ennakkotapauksella on merkitystä myös Intian rajojen ulkopuolella. Muiden maiden hallitukset, jotka seuraavat tätä kehitystä, saattavat nähdä MeitY:n lähestymistavan toimivana mallina: sen sijaan että VPN-yhteydet kiellettäisiin suoraan, käytetään olemassa olevia välittäjävastuun kehyksiä painostamaan palveluntarjoajia valvomaan omia käyttäjiään.

Mitä tämä tarkoittaa sinulle

Jos olet VPN-käyttäjä Intiassa, MeitY:n ohjeistus ei ole suora varoitus sinulle yksilönä. Se on osoitettu palveluntarjoajille. Välilliset vaikutukset ovat kuitenkin todelliset. Palveluntarjoajat, jotka päättävät noudattaa ohjeistusta, saattavat alkaa rajoittaa pääsyä tietyille sivustokategorioille, kirjata enemmän käyttäjätietoja tai poistua Intian markkinoilta kokonaan. Käyttäjät, jotka luottavat VPN-yhteyksiin laillisen yksityisyyden suojaamisessa, saattavat huomata vaihtoehtojen kaventuvan.

Käyttäjien, jotka käyttävät alustoja, jotka Intian laki luokittelee laittomiksi vedonlyöntipalveluiksi, oikeudellinen riski kohdistuu ensisijaisesti heihin itseensä — ei pelkästään VPN-palveluntarjoajaan. VPN-yhteyden käyttäminen ei myönnä oikeudellista koskemattomuutta kansallisen lain edessä, ja MeitY:n ohjeistus vahvistaa, että hallitus pitää VPN-avusteista pääsyä kielletyille alustoille vaatimustenmukaisuuden laiminlyöntinä koko ketjussa.

Ohjeistus muistuttaa myös siitä, että VPN-käytön oikeudellinen asema vaihtelee merkittävästi maan ja käyttötarkoituksen mukaan. Se, mikä on suojattu yksityisyystyökalu yhdessä tilanteessa, voi muodostua vastuukysymykseksi toisessa — riippuen siitä, mihin sitä käytetään ja missä sijaitsee.

Keskeiset huomiot

  • MeitY on varoittanut VPN-palveluntarjoajia siitä, että kiellettyjen vedonlyöntialustojen käytön mahdollistaminen voi johtaa Intian IT-lain mukaisen turvasatamasuojan menettämiseen.
  • Pykälän 79 mukainen turvasatamasuoja on ehdollinen huolellisuusvelvollisuuden noudattamiselle; se ei ole automaattinen suoja kaikille palveluntarjoajille.
  • Intian lähestymistapa heijastaa laajempaa sääntelytrendiä, jossa välittäjävastuun kehyksiä käytetään VPN-palveluntarjoajien painostamiseen suoran kieltämisen sijaan.
  • VPN-käyttäjien Intiassa tulee ymmärtää, että VPN-yhteyden käyttäminen Intian lailla kielletyn sisällön saavuttamiseen aiheuttaa henkilökohtaisen oikeudellisen riskin riippumatta palveluntarjoajan omasta vaatimustenmukaisuustilanteesta.
  • Jos käytät VPN-yhteyttä laillisiin yksityisyystarkoituksiin, seuraa miten palveluntarjoajasi reagoi sääntelypaineisiin niillä markkinoilla, joilla toimit.

Hallitukset ymmärtävät yhä paremmin, että VPN-yhteyksien suoran valvonnan käytännön toteutus on vaikeaa. Palveluntarjoajien ohjaaminen oikeudellisen vastuun kehyksien avulla on huomattavasti helpommin saavutettavissa, ja Intian tuorein toimi osoittaa täsmälleen, miten tätä painetta sovelletaan. Kaikille, jotka käyttävät tai operoivat VPN-palveluita säännellyillä markkinoilla, oikeudellisen ympäristön seuraaminen ei ole enää valinnaista.