VPN-ek és kormányzati megfigyelés: Amit a felhasználóknak tudniuk kell
A VPN-eket széles körben ajánlják adatvédelmi eszközként, köztük maguk az amerikai szövetségi ügynökségek is. Ezért meglepő lehet, hogy demokrata törvényhozók most komoly kérdéseket vetnek fel azzal kapcsolatban, hogy egy VPN használata – különösen olyané, amely külföldi szervereken keresztül irányítja a forgalmat – véletlenül kiteheti-e az amerikai felhasználókat a külföldi hírszerzési megfigyelési törvény (FISA) 702. szakasza szerinti, bírói engedély nélküli kormányzati megfigyelésnek. Ahhoz, hogy megalapozott adatvédelmi döntéseket hozhassunk, elengedhetetlen megérteni, mit tesz valójában a 702. szakasz, és hogyan befolyásolja a VPN joghatósága a kitettséget.
Mi a FISA 702. szakasza, és miért fontos?
A FISA 702. szakasza egy olyan amerikai törvény, amely felhatalmazza a hírszerző ügynökségeket arra, hogy az Egyesült Államokon kívül tartózkodó, nem amerikai személyek kommunikációját egyedi bírói engedély nélkül gyűjtsék össze. A cél külföldi hírszerzési adatok megszerzése. A probléma az, hogy az amerikai felhasználók adatai is bekerülhetnek ebbe a gyűjtésbe, ha kommunikációjuk külföldi infrastruktúrán halad át, vagy külföldi feleket érint.
Amikor egy VPN az internetes forgalmat az Egyesült Államokon kívül található szerveren keresztül irányítja, az adatok technikailag külföldi infrastruktúrán haladnak keresztül. Attól függően, hogy hol helyezkedik el az adott szerver, milyen joghatóság alá tartozik a VPN-szolgáltató, és hogyan reagál a jogi megkeresésekre, a forgalom elméletileg a 702. szakasz szerinti adatgyűjtési programok hatálya alá eshet. A törvényhozók most azt kérdezik, hogy ez nem egy olyan kiskaput teremt-e, amely az adatvédelemre törekvő amerikaiakat nagyobb megfigyelési kockázatnak teszi ki – nem kevesebbnek.
Ez nem egy elméleti szélsőséges eset. Ez egy szerkezeti kérdés arról, hogyan hat kölcsön egymásra a megfigyelési jog és a VPN-architektúra, és egyértelmű választ érdemel.
A VPN joghatóságának szerepe az adatvédelemben
Nem minden VPN egyforma, és a joghatóság az egyik legfontosabb változó, amelyet meg kell érteni. Az Egyesült Államokban bejegyzett VPN-szolgáltató az amerikai jog hatálya alá tartozik, beleértve a FISA-végzéseket és a nemzetbiztonsági leveleket is, amelyek adatkiadásra kötelezhetik, és olyan hallgatási parancsot tartalmazhatnak, amely megakadályozza, hogy a szolgáltató akár értesítse is a felhasználókat.
Az Egyesült Államok jogi hatályán kívül eső országokban működő szolgáltatókra más szabályok vonatkoznak. Svájcnak például erős alkotmányos adatvédelmi garanciái vannak, és nem tagja az Five Eyes, Nine Eyes vagy Fourteen Eyes hírszerzési együttműködési szövetségeknek. Egy svájci székhelyű VPN-szolgáltatót nem lehet ugyanolyan módon amerikai bírósági végzéssel adatkiadásra kötelezni, mint egy amerikai vállalatot.
A hide.me Malajziában rendelkezik székhellyel, és szigorú naplózásmentes szabályzat szerint működik, ami azt jelenti, hogy nincs tárolt adat a felhasználói tevékenységről, a kapcsolódási időbélyegekről, az IP-címekről vagy a böngészési előzményekről – akkor sem adható ki semmi, ha jogi megkeresés érkezne. A joghatóság számít, de ugyanígy számít az is, hogy egyáltalán milyen adatok léteznek. Egy olyan szolgáltatónak, amely nem gyűjt naplókat, nincs mit átadnia, függetlenül attól, melyik kormány kérdez.
Mit jelent ez az Ön számára?
Ha Ön egy Egyesült Államokban élő VPN-felhasználó, az alábbiak a gyakorlati tanulságok ebből a folyamatban lévő szakpolitikai vitából:
Fontos, hogy hol van bejegyezve a VPN-szolgáltatója. Az Egyesült Államokban bejegyzett szolgáltató FISA-végzések hatálya alá esik. Egy olyan országban székhellyel rendelkező szolgáltató, amelynek nincs kölcsönös jogsegélyegyezménye az Egyesült Államokkal, vagy erős belső adatvédelmi törvénye van, magasabb fokú strukturális védelmet nyújt.
A szerver helye és a szolgáltató helye két különböző dolog. Egy Németországban szervereket üzemeltető, amerikai székhelyű VPN-vállalat még mindig egy, az amerikai jog hatálya alá tartozó amerikai cég. Ne tévessze össze a szerver földrajzi elhelyezkedését a szolgáltató joghatóságával.
A naplózásmentes szabályzatok csak akkor jelentősek, ha azokat függetlenül ellenőrizték. Keressen olyan szolgáltatókat, amelyek harmadik feles ellenőrzésen estek át a naplózásmentességi állításaikkal kapcsolatban. Az adatvédelmi tájékoztatóba foglalt szabályzatok nem azonosak az architekturálisan kikényszerített adatminimalizálással.
A 702. szakasz külföldi személyeket céloz, de a gyűjtés széles körű. Ha az adatai külföldi infrastruktúrán haladnak át, véletlenszerűen összegyűjthetők. A megoldás nem a VPN-ek kerülése; hanem egy olyan VPN-szolgáltató választása, amelynek jogi struktúrája és adatkezelési gyakorlata korlátozza a kitettséget.
A törvényhozók, akik ezeket a kérdéseket felvetik, szolgálatot tesznek a felhasználóknak. Egészséges és régóta esedékes, hogy alapos vizsgálat alá vonják, hogyan hat kölcsön a megfigyelési jog és a fogyasztói adatvédelmi eszközök. Ennek arra kellene ösztönöznie a VPN-szolgáltatókat, hogy átláthatóbbak legyenek – nem kevésbé.
Olyan VPN kiválasztása, amelynek adatvédelmi architektúrája valóban tartós
A kongresszusi vizsgálat alapüzenete nem az, hogy a VPN-ek rosszak. A szövetségi ügynökségek még mindig ajánlják őket, és joggal: egy jól megválasztott VPN érdemben javítja az adatvédelmi helyzetét. Az üzenet az, hogy a választott VPN részletei fontosabbak, mint amennyire a legtöbb felhasználó gondolja.
Az adatvédelem nem olyan tulajdonság, amelyet vakon el lehet hinni. Meg kell érteni, hogy hol van bejegyezve a szolgáltató, milyen adatokat tárol, auditálták-e a naplózásmentes szabályzatát, és hogyan reagál a jogi megkeresésekre. Ezek nem elvont technikai kérdések; ezek azok a gyakorlati szempontok, amelyek meghatározzák, hogy a VPN-je valóban védi-e Önt, vagy csupán máshova helyezi át a kitettségét.
A hide.me-t arra az elvre építettük, hogy a VPN-szolgáltatónak strukturálisan képtelennek kell lennie az adatvédelem veszélyeztetésére – nem csupán szerződéses alapon visszatartónak. Ellenőrzött naplózásmentes szabályzattal, adatvédelmet tiszteletben tartó joghatóságokban lévő szerverekkel és hírszerzési együttműködési szövetségekkel való affiliáció nélkül a hide.me pontosan a 702. szakasz által képviselt jogi ellenőrzéssel szemben is helytállónak lett tervezve. Ha többet szeretne megtudni arról, hogyan védi az adatait az átvitel során a titkosítás és a VPN-protokollok, a [VPN-titkosításról szóló útmutatónk](#) jó kiindulópontot jelent.
Az a beszélgetés, amelyet a törvényhozók most folytatnak, minden VPN-felhasználónak folytatnia kellene.
