Utah's SB 73 VPN-leeftijdsverificatiewet treedt in werking in mei 2026

Utah's Utah VPN-leeftijdsverificatiewet, officieel bekend als de Online Age Verification Amendments (SB 73), trad op 6 mei 2026 in werking, waarmee Utah de eerste Amerikaanse staat werd die het gebruik van VPN's in de context van online leeftijdsverificatie rechtstreeks aanpakt. De wet legt nieuwe verplichtingen op aan websites die aanzienlijke hoeveelheden content voor volwassenen hosten, en de gevolgen reiken ver buiten de grenzen van Utah.

Critici, waaronder de Electronic Frontier Foundation, hebben ernstige bezwaren geuit dat de wet technisch gezien niet handhaafbaar is zoals zij is opgesteld en een reeks onbedoelde gevolgen voor internetgebruikers wereldwijd kan veroorzaken. Dit is wat u moet weten.

Wat SB 73 daadwerkelijk vereist van websites en VPN-gebruikers

De kern van SB 73 vereist dat elke website die substantiële content voor volwassenen host, de leeftijd verifieert van gebruikers die zich fysiek in Utah bevinden voordat toegang wordt verleend. Het cruciale woord is "fysiek." De wet maakt geen uitzondering voor gebruikers die via een VPN verbinding maken om hun werkelijke geografische locatie te verbergen.

In de praktijk betekent dit dat van websites wordt verwacht dat zij de werkelijke fysieke locatie van een gebruiker bepalen, zelfs als het IP-adres van die gebruiker suggereert dat hij verbinding maakt vanuit een locatie buiten Utah. De wet legt de nalevingslast volledig bij de websitebeheerders, niet bij individuele gebruikers, maar creëert aansprakelijkheidsrisico's die de meeste platforms zullen willen vermijden.

Voor gewone VPN-gebruikers is de implicatie direct: louter verbinding maken via een server buiten Utah ontslaat de website onder deze wet niet van haar plicht om uw leeftijd te verifiëren als u zich fysiek in Utah bevindt.

Waarom het handhaven van locatiecontroles bij VPN-verkeer vrijwel onmogelijk is

Hier loopt SB 73 tegen een fundamentele technische muur. Wanneer een gebruiker via een VPN verbinding maakt, wordt zijn werkelijke IP-adres vervangen door het IP-adres van de VPN-server. Websites ontvangen geen betrouwbaar signaal over de fysieke locatie van de gebruiker. Er bestaat geen gestandaardiseerd technisch mechanisme waarmee een website een VPN-verbinding kan doorprikken en de werkelijke geografische locatie van een gebruiker kan bevestigen.

Sommigen hebben gesuggereerd dat signalen op apparaatniveau, zoals GPS-gegevens of tijdzone-instellingen, theoretisch gebruikt zouden kunnen worden. Maar toegang tot die gegevens vereist expliciete toestemming van de gebruiker en is eenvoudig te manipuleren. Het resultaat is dat websites realistisch gezien niet aan het mandaat van SB 73 kunnen voldoen zonder ofwel opdringerige persoonlijke gegevens van elke bezoeker te eisen, ofwel brede aannames te doen die hen blootstellen aan juridisch risico.

Zoals onze eerdere berichtgeving over Utah's SB 73 en de gevolgen voor burgerlijke vrijheden uitvoerig beschreef, werd het wetsvoorstel al ruim voor de aanname bekritiseerd vanwege nalevingslasten die technisch gezien incoherent zijn. De wet vraagt websites in feite een probleem op te lossen dat de huidige internetinfrastructuur niet betrouwbaar kan oplossen.

Het risico van wereldwijde VPN-blokkades en massale invasieve verificatie

Geconfronteerd met dit onoplosbare nalevingsprobleem zullen platforms voor content voor volwassenen waarschijnlijk kiezen uit een beperkte lijst van grove oplossingen. De twee meest waarschijnlijke reacties zijn:

Het wereldwijd blokkeren van al het VPN-verkeer. Als een website geen onderscheid kan maken tussen een Utah-inwoner die een VPN gebruikt en iemand anders die een VPN gebruikt, is de eenvoudigste manier om aansprakelijkheid te beperken het volledig blokkeren van alle bekende VPN-IP-adressen. Dit zou iedere VPN-gebruiker wereldwijd treffen die dat platform bezoekt, niet alleen degenen in Utah.

Het opleggen van invasieve leeftijdsverificatie aan alle bezoekers. Als alternatief kunnen platforms besluiten om voor elke gebruiker leeftijdsverificatie te vereisen, ongeacht locatie, en de Utah-nalevingsvereiste te gebruiken als reden om universele identiteitscontroles in te voeren. Dit kan betekenen dat gebruikers een door de overheid uitgegeven identiteitsbewijs moeten uploaden of zich moeten onderwerpen aan biometrische controles om toegang te krijgen tot legale content.

Beide uitkomsten zijn disproportionele reacties op een staatswet, maar ze weerspiegelen de realiteit dat websites locatiespecifieke regels niet chirurgisch kunnen handhaven wanneer VPN's in het spel zijn. Miljoenen gebruikers in andere staten en landen zouden de prijs betalen voor de beleidskeuze van Utah.

Wat deze wet signaleert voor VPN-regelgeving in andere staten

Utah handelt niet geïsoleerd. Verschillende andere staten hebben leeftijdsverificatiewetten voor content voor volwassenen aangenomen of overwegen dit, en SB 73 is opmerkelijk omdat het de eerste wet is die expliciet omgaat met VPN-omzeiling. De aanname ervan signaleert dat wetgevers in andere staten dit voorbeeld kunnen volgen door anti-VPN-taal op te nemen in hun eigen wetsvoorstellen.

Dit creëert een gefragmenteerde regelgevingsomgeving waarin websites verschillende regels in verschillende staten moeten navigeren, die elk mogelijk verschillende technische reacties vereisen. Voor VPN-gebruikers is de zorg dat wat begint als een nicherechtsvraag in Utah een sjabloon kan worden dat bredere VPN-beperkingen rechtvaardigt in verband met leeftijdsverificatie, contentfiltering of andere beleidsdoelen.

Het patroon is van belang omdat de rechtvaardiging die hier wordt gebruikt — dat VPN's legitieme regelhandhaving belemmeren — op vrijwel elke contentregulering kan worden toegepast. Zodra die logica in één context wordt geaccepteerd, wordt het eenvoudiger om haar uit te breiden.

Wat dit voor u betekent

Als u een VPN gebruikt voor privacy, beveiliging of algemeen browsen, criminaliseert SB 73 uw VPN-gebruik niet rechtstreeks. De wet richt zich op websitebeheerders, niet op individuele gebruikers. De indirecte gevolgen kunnen echter uw toegang tot legale content beperken en platforms ertoe aanzetten over te stappen op meer invasieve identiteitsverificatiesystemen die iedereen treffen.

Dit kunt u nu doen:

  • Blijf op de hoogte van reacties van platforms. Let op aankondigingen van grote contentplatforms over wijzigingen in hun toegangsbeleid, met name rond het blokkeren van VPN's of nieuwe vereisten voor identiteitsverificatie.
  • Ken uw rechten. Leeftijdsverificatiewetten die het indienen van een overheidsidentiteitsbewijs of biometrische gegevens vereisen, brengen hun eigen privacyrisico's met zich mee. Het is belangrijk om te weten welke gegevens een platform verzamelt en hoe het die opslaat voordat u iets overhandigt.
  • Houd soortgelijke wetgeving in uw staat in de gaten. Wetsvoorstellen gebaseerd op SB 73 worden in andere staten overwogen, en ze vroegtijdig volgen geeft u de tijd om met uw vertegenwoordigers in gesprek te gaan voordat wetten worden aangenomen.
  • Lees de gedetailleerde analyse van burgerlijke vrijheden. De volledige uiteenzetting van de gevolgen van SB 73 voor digitale rechten, inclusief het potentieel om VPN-beperkingen te normaliseren, wordt uitgebreid behandeld in ons eerdere artikel over Utah's SB 73 als bedreiging voor VPN's en digitale rechten.

Utah's SB 73 is nu wet, maar de volledige impact hangt af van hoe platforms reageren en of rechtbanken de wet uiteindelijk handhaven. De komende maanden zullen uitwijzen of websites naleven, terugvechten of VPN-gebruikers simpelweg volledig blokkeren. Hoe dan ook is dit een wet die nauwlettend in de gaten gehouden moet worden.