MeitY stawia dostawców VPN pod ścianą

Indyjskie Ministerstwo Elektroniki i Technologii Informacyjnych (MeitY) wydało formalne zalecenie skierowane do dostawców usług VPN oraz pośredników internetowych, ostrzegając ich, że umożliwianie dostępu do zakazanych platform bukmacherskich i predykcyjnych może pozbawić ich kluczowych zabezpieczeń prawnych. Zalecenie wskazuje wprost na platformy takie jak Polymarket, które indyjskie władze klasyfikują jako nielegalne serwisy bukmacherskie lub predykcyjne, i sygnalizuje, że rząd monitoruje sposób, w jaki VPN-y są wykorzystywane do obchodzenia krajowych zakazów.

Sedno ostrzeżenia MeitY koncentruje się na artykule 79 indyjskiej Ustawy o technologiach informacyjnych, który przyznaje pośrednikom — w tym dostawcom VPN — tzw. „bezpieczną przystań" chroniącą ich przed odpowiedzialnością prawną za treści przesyłane za pośrednictwem ich usług. Ochrona ta jest jednak warunkowa. Wymaga od pośredników zachowania należytej staranności oraz przestrzegania dyrektyw rządowych. MeitY daje teraz wyraźnie do zrozumienia, że dostawcy, którzy świadomie umożliwiają użytkownikom dostęp do zablokowanych platform, ryzykują całkowitą utratę tej ochrony.

Czym naprawdę jest bezpieczna przystań z artykułu 79

Przepisy o bezpiecznej przystani to fundamentalna koncepcja w prawie internetowym na całym świecie. Pozwalają one platformom, sieciom i dostawcom usług działać bez ponoszenia odpowiedzialności za każde działanie podejmowane przez ich użytkowników — pod warunkiem że ci dostawcy przestrzegają określonych zasad i odpowiednio reagują na wezwania prawne.

W przypadku Indii artykuł 79 Ustawy o IT chroni dostawcę VPN przed ściganiem prawnym tylko dlatego, że jeden z jego użytkowników odwiedził zablokowaną stronę internetową. W chwili, gdy uzna się, że dostawca nie dopełnił obowiązków należytej staranności, ochrona ta przestaje obowiązywać. Zalecenie MeitY to w istocie ostrzał ostrzegawczy: kontynuowanie działalności bez odpowiednich mechanizmów kontrolnych może skutkować prawnym narażeniem.

Zalecenie wskazuje również, że użytkownicy łączą VPN-y ze stabilnymi kryptowalutami (stablecoinami), aby obejść zarówno ograniczenia treści, jak i monitoring finansowy, który w przeciwnym razie wykryłby transakcje do zakazanych platform. Ta dwuwarstwowa metoda obchodzenia zakazów wydaje się być przyczyną bardziej agresywnej postawy rządu.

Szerszy konflikt: narzędzia prywatności a egzekwowanie prawa przez rząd

VPN-y funkcjonują w skomplikowanej przestrzeni prawnej i etycznej w wielu krajach. Służą całkowicie legalnym celom — chronią dziennikarzy, aktywistów, pracowników zdalnych i zwykłych użytkowników przed inwigilacją i narażeniem danych. Jednocześnie każde narzędzie, które może ukryć aktywność użytkownika w sieci, może być również używane do uzyskiwania dostępu do treści, które rząd zdecydował się zablokować.

Indie od kilku lat zaostrzają przepisy dotyczące dostawców VPN. W 2022 roku indyjski Zespół Reagowania na Incydenty Komputerowe (CERT-In) wprowadził obowiązkowe wymogi dotyczące przechowywania danych, zobowiązując dostawców VPN do rejestrowania aktywności użytkowników i przechowywania jej przez pięć lat. Kilku głównych dostawców zareagowało wycofaniem swoich fizycznych serwerów z Indii, zamiast stosować się do tych wymogów. Najnowsze zalecenie MeitY kontynuuje ten kierunek regulacyjny, skłaniając dostawców do większej odpowiedzialności za to, co umożliwia ich infrastruktura.

Stawia to dostawców przed prawdziwym dylematem. Działanie w Indiach oznacza przestrzeganie przepisów, które z założenia pozostają w sprzeczności z obietnicami prywatności, na których opierają się VPN-y. Odmowa przestrzegania przepisów oznacza całkowite wyjście z rynku lub działanie przy znacznie podwyższonym ryzyku prawnym.

Precedens, który to stwarza, ma znaczenie wykraczające poza granice Indii. Rządy innych jurysdykcji obserwujące tę przestrzeń mogą uznać podejście MeitY za skuteczny model: zamiast wprost zakazywać VPN-ów, należy wykorzystywać istniejące ramy odpowiedzialności pośredników, aby wywierać presję na dostawców, by sami kontrolowali swoich użytkowników.

Co to oznacza dla Ciebie

Jeśli jesteś użytkownikiem VPN w Indiach, zalecenie MeitY nie jest bezpośrednim ostrzeżeniem skierowanym do Ciebie jako osoby fizycznej. Jest adresowane do dostawców. Jednak skutki pośrednie są realne. Dostawcy, którzy zdecydują się na przestrzeganie przepisów, mogą zacząć ograniczać dostęp do określonych kategorii stron, rejestrować więcej danych użytkowników lub całkowicie wycofać się z indyjskiego rynku. Użytkownicy, którzy korzystają z VPN-ów w legalnych celach związanych z prywatnością, mogą odkryć, że ich możliwości się zawężają.

Dla użytkowników uzyskujących dostęp do platform, które indyjskie prawo klasyfikuje jako nielegalne serwisy bukmacherskie, ryzyko prawne spoczywa przede wszystkim na nich, a nie tylko na dostawcy VPN. Korzystanie z VPN nie zapewnia prawnej immunizacji od krajowego prawa, a zalecenie MeitY potwierdza, że rząd postrzega dostęp za pomocą VPN do zakazanych platform jako naruszenie przepisów w całym łańcuchu.

Zalecenie jest również przypomnieniem, że status prawny korzystania z VPN różni się znacznie w zależności od kraju i przypadku użycia. To, co w jednym kontekście jest chronionym narzędziem prywatności, może w innym stać się źródłem odpowiedzialności — w zależności od tego, do czego go używasz i gdzie się znajdujesz.

Kluczowe wnioski

  • MeitY ostrzegło dostawców VPN, że umożliwianie dostępu do zakazanych platform bukmacherskich może skutkować utratą ochrony w ramach bezpiecznej przystani przewidzianej w indyjskiej Ustawie o IT.
  • Ochrona w ramach artykułu 79 jest uzależniona od należytej staranności — nie jest automatyczną tarczą dla wszystkich dostawców.
  • Podejście Indii odzwierciedla szerszy trend regulacyjny polegający na wykorzystaniu ram odpowiedzialności pośredników do wywierania presji na dostawców VPN, zamiast ich bezpośredniego zakazywania.
  • Użytkownicy VPN w Indiach powinni mieć świadomość, że korzystanie z VPN w celu uzyskania dostępu do treści zakazanych na mocy prawa indyjskiego wiąże się z osobistym ryzykiem prawnym, niezależnie od własnego statusu zgodności dostawcy.
  • Jeśli korzystasz z VPN w legalnych celach związanych z prywatnością, śledź, w jaki sposób Twój dostawca reaguje na presję regulacyjną na rynkach, na których działasz.

Rządy coraz lepiej rozumieją, że bezpośrednia kontrola dostępu do VPN-ów jest trudna. Kontrolowanie dostawców poprzez ramy odpowiedzialności prawnej jest znacznie bardziej osiągalne, a najnowsze działania Indii pokazują dokładnie, jak ta presja jest stosowana. Dla każdego, kto korzysta z usług VPN lub je obsługuje na regulowanych rynkach, bycie na bieżąco z otoczeniem prawnym przestało być opcjonalne.