Indias MeitY varsler VPN-leverandører

Indias departement for elektronikk og informasjonsteknologi (MeitY) har utstedt en formell rådgivning til VPN-leverandører og nettbaserte mellommenn, og advarer dem om at det å legge til rette for tilgang til forbudte spille- og prediksjonsplattformer kan koste dem kritisk juridisk beskyttelse. Rådgivningen retter seg spesifikt mot plattformer som Polymarket, som indiske myndigheter klassifiserer som ulovlige spille- eller prediksjonstajenester, og signaliserer at myndighetene følger nøye med på hvordan VPN-er brukes til å omgå innenlandske forbud.

Kjernen i MeitYs advarsel dreier seg om paragraf 79 i Indias lov om informasjonsteknologi, som gir mellommenn – inkludert VPN-leverandører – et såkalt «safe harbor»-vern mot juridisk ansvar for innhold som overføres gjennom deres tjenester. Denne beskyttelsen er imidlertid betinget. Den krever at mellommenn utviser tilbørlig aktsomhet og overholder myndighetsdirektiver. MeitY gjør det nå klart at leverandører som bevisst lar brukere nå blokkerte plattformer, risikerer å miste dette vernet fullstendig.

Hva «safe harbor» etter paragraf 79 faktisk innebærer

«Safe harbor»-bestemmelser er et grunnleggende konsept i internettlovgivningen verden over. De lar plattformer, nettverk og tjenesteleverandører operere uten å holdes ansvarlige for hver enkelt handling utført av brukerne, så lenge leverandørene følger visse regler og reagerer hensiktsmessig på juridiske varsler.

I Indias tilfelle er det paragraf 79 i IT-loven som hindrer at en VPN-leverandør kan straffeforfølges bare fordi én av brukerne besøkte et begrenset nettsted. I det øyeblikket en leverandør anses å ha sviktet sine aktsomhetsforpliktelser, forsvinner denne beskyttelsen. MeitYs rådgivning er i realiteten et advarselsskudd: fortsett å operere uten tilstrekkelige kontroller, og du risikerer å bli rettslig eksponert.

Rådgivningen påpeker også at brukere har kombinert VPN-er med stablecoins for å omgå både innholdsbegrensningene og den finansielle overvåkingen som ellers ville ha flagget transaksjoner til forbudte plattformer. Denne dobbellagede omgåelsen ser ut til å ha utløst myndighetenes mer aggressive holdning.

Den større spenningen: Personvernverktøy mot myndighetsovervåking

VPN-er befinner seg i et komplisert juridisk og etisk rom i mange land. De tjener helt legitime formål og beskytter journalister, aktivister, fjernarbeidere og vanlige brukere mot overvåking og dataeksponering. Samtidig kan ethvert verktøy som kan skjule en brukers nettaktivitet, også brukes til å nå innhold som en regjering har besluttet å blokkere.

India har strammet inn reglene for VPN-leverandører i flere år. I 2022 innførte landets dataresponsgruppe (CERT-In) obligatoriske krav om datalagring for VPN-leverandører, som pålegger dem å logge brukeraktivitet og lagre den i fem år. Flere store leverandører responderte med å trekke sine fysiske servere ut av India fremfor å etterkomme kravene. MeitYs siste rådgivning viderefører denne regulatoriske utviklingen og presser leverandørene mot større ansvarliggjøring for hva infrastrukturen deres muliggjør.

Dette skaper et reelt dilemma for leverandørene. Å operere i India betyr å overholde regler som i sin natur er i konflikt med personvernløftene som VPN-er er bygget rundt. Å nekte å etterkomme kravene betyr enten å forlate markedet helt eller å operere under betydelig forhøyet juridisk risiko.

Presedenset dette setter, har betydning utover Indias grenser. Myndigheter i andre jurisdiksjoner som følger med på dette området, kan se MeitYs tilnærming som en gjennomførbar modell: i stedet for å forby VPN-er direkte, brukes eksisterende rammeverk for mellommannsansvar til å presse leverandørene til å overvåke sine egne brukere.

Hva dette betyr for deg

Hvis du er VPN-bruker i India, er MeitYs rådgivning ikke en direkte advarsel til deg som enkeltperson. Den er rettet mot leverandørene. De indirekte konsekvensene er likevel reelle. Leverandører som velger å etterleve kravene, kan begynne å begrense tilgangen til visse kategorier av nettsteder, logge mer brukerdata eller forlate det indiske markedet helt. Brukere som er avhengige av VPN-er for legitime personvernformål, kan oppleve at valgmulighetene blir stadig færre.

For brukere som benytter plattformer som indisk lov klassifiserer som ulovlige spilltjenester, er den juridiske risikoen primært deres – ikke bare VPN-leverandørens. Bruk av VPN gir ingen juridisk immunitet fra nasjonal lovgivning, og MeitYs rådgivning understreker at myndighetene ser på VPN-assistert tilgang til forbudte plattformer som et etterlevelsesbrudd i hele kjeden.

Rådgivningen er også en påminnelse om at den juridiske statusen for VPN-bruk varierer betydelig fra land til land og fra brukstilfelle til brukstilfelle. Det som er et beskyttet personvernverktøy i én sammenheng, kan bli en juridisk risiko i en annen, avhengig av hva du bruker det til og hvor du befinner deg.

Viktige punkter

  • MeitY har advart VPN-leverandører om at det å legge til rette for tilgang til forbudte spillplattformer kan medføre tap av «safe harbor»-beskyttelse etter Indias IT-lov.
  • «Safe harbor» etter paragraf 79 er betinget av aktsomhet; det er ikke et automatisk vern for alle leverandører.
  • Indias tilnærming gjenspeiler en bredere regulatorisk trend der rammeverk for mellommannsansvar brukes til å presse VPN-leverandører, fremfor å forby dem direkte.
  • VPN-brukere i India bør forstå at bruk av VPN for å få tilgang til innhold som er forbudt etter indisk lov, medfører personlig juridisk risiko, uavhengig av leverandørens egen etterlevingsstatus.
  • Hvis du bruker VPN til legitime personvernformål, bør du følge med på hvordan leverandøren din responderer på regulatorisk press i markedene der du opererer.

Myndigheter forstår i stadig større grad at det er vanskelig å kontrollere tilgangen til VPN-er direkte. Å kontrollere leverandørene gjennom rammeverk for juridisk ansvar er betydelig mer gjennomførbart, og Indias siste trekk demonstrerer nøyaktig hvordan slikt press utøves. For alle som bruker eller drifter VPN-tjenester i regulerte markeder, er det å holde seg informert om det juridiske miljøet ikke lenger valgfritt.