Australische eSafety-commissaris wil dat platforms VPN's blokkeren

Documenten die The Guardian via de Wet openbaarheid van bestuur heeft verkregen, onthullen dat de Australische eSafety-commissaris verwacht dat dienstverleners actief VPN's en andere omwegen blokkeren waarmee gebruikers leeftijdsgebonden content en socialmedia-verboden kunnen omzeilen. Volgens de documenten "moeten dienstverleners redelijke maatregelen nemen om omwegen zoals VPN's te voorkomen, dus eSafety zal hiernaar kijken bij de beoordeling van de naleving van de codes."

Simpel gezegd vraagt de toezichthouder platforms niet alleen om de leeftijd te verifiëren bij het aanmaken van een account. Men wil dat bedrijven de technische middelen opsporen en uitschakelen — met VPN's voorop — die het mogelijk maken om te doen alsof je vanaf een andere locatie inlogt, of als een volledig ander persoon. Dit is tot nu toe het duidelijkste signaal dat de bredere Australische aanpak rond leeftijdsverificatie, die we hebben besproken in de context van de Australische leeftijdsverificatiewet, zich uitbreidt om de hulpmiddelen aan te pakken die mensen gebruiken om die verificatie te omzeilen.

Waarom deze aanpak niet standhoudt

Het kernprobleem is technisch van aard, niet politiek. VPN's werken door het verkeer van een gebruiker te versleutelen en via een server elders te leiden, waardoor de verbinding lijkt alsof deze vanaf een andere locatie komt. Dat is dezelfde basisfunctie die dagelijks door miljoenen mensen wordt gebruikt om volledig legitieme redenen: externe toegang tot een werkcomputer, veilig bankieren op openbare wifi, of simpelweg om het surfgedrag privé te houden voor een internetprovider.

Er is geen betrouwbare manier voor een platform om een VPN-verbinding die wordt gebruikt om een leeftijdscontrole te omzeilen te onderscheiden van een VPN-verbinding die wordt gebruikt door een werknemer die toegang zoekt tot een bedrijfsnetwerk, of door een privacybewuste gebruiker die zijn gegevens beschermt. Het breed blokkeren van VPN-verkeer betekent het blokkeren van een enorm scala aan alledaagse, legale activiteiten naast het beperkte gedrag dat de toezichthouders daadwerkelijk willen stoppen. Dit is dezelfde technische barrière waar streamingdiensten een decennium geleden tegenaan liepen toen ze probeerden geo-blocking-omwegen te bestrijden: VPN-aanbieders passen zich sneller aan dan er blokkadelijsten kunnen worden opgebouwd, en de wapenwedloop is zelden in het voordeel van de partij die de toegang probeert te blokkeren.

Er is ook een schaalprobleem. Commerciële VPN-aanbieders beheren enorme, voortdurend wisselende pools van IP-adressen, juist om detectie voor te blijven. Zelfs goed gefinancierde platforms met toegewijde antifraudeteams hebben historisch gezien moeite gehad om het tempo bij te houden. Van elk socialmediabedrijf en elke aanbieder van inhoud voor volwassenen in Australië verwachten dat zij dat niveau van detectie-infrastructuur voor onbepaalde tijd onderhouden, is een zware opgave die het risico met zich meebrengt dat kleinere platforms naar botte, overmatig brede blokkeringsmaatregelen grijpen die veel meer onschuldige gebruikers treffen dan de beoogde doelwitten.

De privacy-afweging waar niemand om heeft gevraagd

Naast de technische obstakels is er een privacy-dimensie die meer aandacht verdient dan ze nu krijgt. Platforms vragen om VPN-gebruik te detecteren, betekent platforms vragen om actief een categorie verkeer te monitoren en te markeren waar veel mensen juist op vertrouwen om hun privacy te beschermen. Dat creëert een ongemakkelijke prikkelstructuur: hoe effectiever een platform wordt in het identificeren van VPN-verbindingen, hoe beter het in staat wordt om gebruikers te volgen en te profileren die het volste wettelijke recht hebben om privé te browsen.

Australiërs hebben de afgelopen jaren goede redenen gehad om wantrouwig te zijn over hoeveel persoonlijke gegevens bedrijven verzamelen en hoe goed ze die beschermen. Incidenten zoals de dreiging van de Origin Energy-hacker om miljoenen klantdossiers te lekken herinneren ons eraan dat hoe meer gegevens een organisatie over haar gebruikers bewaart, inclusief gedragssignalen zoals VPN-gebruikspatronen, hoe groter het doelwit wordt als die gegevens ooit worden gelekt of misbruikt. Een beleid dat platforms aanzet tot het bouwen van geavanceerdere gebruikersvolgsystemen, in naam van kinderveiligheid, zou uiteindelijk nieuwe privacyrisico's kunnen creëren die het oorspronkelijke beleidsdoel overleven.

Wat dit voor jou betekent

Als je een Australische internetgebruiker bent, betekent deze ontwikkeling niet dat VPN's van de ene op de andere dag zullen verdwijnen of illegaal worden. VPN's blijven legaal in Australië en worden breed gebruikt voor legitieme veiligheids- en privacydoeleinden. Wat het wel betekent, is dat sommige platforms mogelijk gaan experimenteren met agressievere detectie en blokkering van VPN-verkeer, wat af en toe tot verstoringen kan leiden, zelfs voor gebruikers die helemaal niet van plan zijn leeftijdscontroles te omzeilen. Het is de moeite waard om te begrijpen hoe jouw VPN-provider omgaat met detectie-tegenmaatregelen, en je ervan bewust te zijn dat het wisselen van servers of wegvallende verbindingen op bepaalde sites vaker kunnen voorkomen naarmate platforms zich aanpassen aan de druk om te voldoen.

Het is ook een goed moment om aandacht te besteden aan hoe leeftijdsverificatie en identiteitscontrolesystemen worden geïmplementeerd op de sites die je gebruikt. Hoe meer platforms leunen op invasieve detectiemethoden om toezichthouders tevreden te stellen, hoe meer persoonlijke gegevens ze uiteindelijk kunnen verzamelen, of dat nu device fingerprinting, IP-geschiedenis of gedragsanalyse is. Privacybeleid lezen en selectief zijn in welke platforms je vertrouwt met identiteitsverificatie is een redelijke, eenvoudige waarborg.

Belangrijkste punten

  • De FOI-documenten van de eSafety-commissaris tonen een duidelijke verwachting dat platforms VPN-omwegen blokkeren, en niet alleen de leeftijd bij aanmelding verifiëren.
  • Technisch gezien is er geen betrouwbare manier om legitiem VPN-gebruik te scheiden van het omzeilen van leeftijdscontroles, wat betekent dat brede blokkering onschuldige gebruikers dreigt te treffen.
  • Het bouwen van VPN-detectie-infrastructuur kan platforms richting invasievere gebruikerstracking duwen, wat zijn eigen privacy-afwegingen met zich meebrengt.
  • Australiërs moeten op de hoogte blijven van hoe de sites die ze gebruiken omgaan met leeftijdsverificatie en voorzichtig zijn met de persoonlijke gegevens die deze systemen verzamelen.

Het debat over de Australische VPN-aanpak is in wezen een debat over de vraag of privacyhulpmiddelen moeten worden behandeld als mazen die moeten worden gedicht, of als legitieme beschermingen die moeten worden behouden. Naarmate dit beleid zich ontwikkelt, zal die spanning niet verdwijnen.