För tjugofem år sedan satte attackerna den 11 september igång en kedjereaktion inom amerikansk lag och politik som tyst omdefinierade vad övervakning innebär. Som säkerhetsforskaren Bruce Schneier och EFF:s Cindy Cohn nyligen argumenterade i en essä som först publicerades i Lawfare, försköts regeringens tillvägagångssätt från riktad övervakning, som individuella telefonavlyssningar eller pen register-order riktade mot specifika misstänkta, till omfattande massinsamling av data som berör nästan alla. Ett kvarts sekel senare formar denna förskjutning fortfarande samtalet kring massövervakning och VPN:er, och varför så många människor nu betraktar kryptering och integritetsverktyg som grundläggande digital hygien snarare än nischade tekniska frågor.

Hur 9/11 förvandlade riktad övervakning till massinsamling av data

Före 2001 krävde amerikansk övervakningslagstiftning i allmänhet att utredare identifierade ett specifikt mål och visade skäl innan de samlade in den personens kommunikation. Schneier och Cohns essä spårar hur det rättsliga och institutionella svaret efter 9/11 övergav den modellen till förmån för massinsamling: att samla in data först, i massiv skala, och sortera ut relevans senare. Detta var inte en enskild lag eller ett enskilt ögonblick. Det var en gradvis, regeringsövergripande ominriktning som behandlade hela befolkningar, inte bara misstänkta individer, som datakällor.

Motiveringen vid den tiden var brådska och hotdetektering. Men infrastrukturen som byggdes för det syftet försvann inte när den omedelbara krisen var över. Istället normaliserades den. Myndigheter byggde system utformade för att samla in först och filtrera senare, och dessa system har bestått och expanderat under de senaste 25 åren, och till stor del överlevt de specifika omständigheter som motiverade deras skapande.

Vad massövervakningsprogram faktiskt samlar in idag

Den praktiska effekten av denna förskjutning är att vanlig kommunikation och metadata, register över vem som kontaktade vem, när, och ofta var, sveps in i statliga system även när ingen individ är misstänkt för något brott. Enbart metadata kan avslöja enormt mycket: associationsmönster, dagliga rutiner, relationer och beteende. Essäns centrala argument är att efter 25 år har argumentet för att upprätthålla denna nivå av massinsamling inte hållit. Programmen som byggdes i counterterrorismens namn har expanderat långt bortom det ursprungliga syftet, och de ansvarsmekanismer som var tänkta att granska dem har inte hållit jämna steg med insamlingens omfattning.

Detta är bakgrunden mot vilken samtal om VPN:er och övervakning ofta utspelar sig. Det är värt att vara klarsynt här: en VPN krypterar och dirigerar om din internettrafik, vilket kan skydda webbaktiviteter från din internetleverantör och från tillfälliga observatörer på ett nätverk. Det är inte ett verktyg utformat för att besegra massinsamlingsprogram på nationalstatsnivå, och inget integritetsverktyg bör marknadsföras eller förstås på det sättet. Men det gör inte krypteringsverktyg irrelevanta. Det betyder bara att förstå vad de faktiskt gör, och inte gör, spelar större roll än någonsin.

Varför kryptering och VPN:er blev en del av motståndsnarrativet

I takt med att massövervakningsprogram expanderade under de senaste två decennierna blev kryptering en av de få konkreta, individuellt kontrollerbara motåtgärder som finns tillgängliga för vanliga människor. Där rättslig och lagstiftande reform rör sig långsamt, och ofta inte alls, är att kryptera sin egen trafik något du kan göra idag, utan att vänta på kongressen eller domstolarna.

Det är en stor del av varför VPN:er, krypterade meddelandeappar och säkra webbläsare har blivit självklara inslag i integritetsförespråkande under de senaste 25 åren. De löser inte det strukturella problem som Schneier och Cohns essä beskriver, vilket är ett juridiskt och institutionellt problem som kräver juridiska och institutionella lösningar. Men de ger individer en meningsfull grad av kontroll över sina egna dataspår på nätverksnivå. En VPN kan förhindra din lokala ISP från att logga varje webbplats du besöker. Krypterade meddelanden kan förhindra att innehållet i ett meddelande är läsbart under överföring. Dessa är verkliga, påtagliga skydd, även om de verkar på en annan nivå än de massinsamlingsprogram som essän kritiserar.

Vad individer fortfarande kan kontrollera i en tid av massövervakning

Med tanke på att storskalig reform av massövervakningslagstiftning är en långsam, politisk process, är det värt att fokusera på vad individer faktiskt kan hantera dag för dag. Att minska ditt digitala fotavtryck handlar mindre om att uppnå perfekt anonymitet och mer om att stänga av de enklaste, mest tillfälliga formerna av datainsamling: ISP-loggning, okrypterad surfning och onödiga identitetskontroller online.

Ett område där detta ständigt utspelar sig är åldersverifiering, som har blivit vanligt på många plattformar och ofta kräver att användare lämnar över identitetshandlingar eller biometriska data bara för att få tillgång till vanligt innehåll. Att förstå hur åldersverifiering online fungerar är en användbar utgångspunkt för att se hur identitetskontroller och datainsamling i allt högre grad skär varandra med vardaglig surfning, och var du fortfarande har val kring vilken information du delar och med vem.

Vad detta betyder för dig

Debatten om massövervakning är i slutändan en politisk och juridisk fråga, en som kräver lagstiftande tillsyn och offentligt tryck för att lösas. Inget enskilt verktyg, VPN eller annat, kan ersätta den typen av strukturellt ansvarsutkrävande. Men det betyder inte att du är maktlös under tiden. Att använda krypterade verktyg, vara selektiv med vilken identitetsinformation du delar med plattformar, och förstå skillnaden mellan vad en VPN skyddar mot och vad den inte gör, är alla praktiska steg som minskar onödig exponering. Målet är inte total anonymitet; det är att minimera mängden tillfällig, låginsats datainsamling som sker helt enkelt för att du inte tänkte på att förhindra den.

Viktiga slutsatser

25 år efter att 9/11 omformade övervakningslagstiftningen är massinsamling av data fortfarande en levande politisk debatt, inte en avgjord sådan. Massövervakning och VPN:er diskuteras ofta tillsammans, men det är viktigt att förstå en VPN:s verkliga, begränsade omfattning: den skyddar din trafik från lokala observatörer och ISP:er, inte från massinsamlingsprogram på nationalstatsnivå. Att minska ditt eget datafotavtryck, vare sig genom krypterad surfning eller genom att vara eftertänksam kring förfrågningar om identitetsverifiering, förblir en av de få spakar individer kan dra i direkt. Att hålla sig informerad om hur dessa system fungerar, och var deras verkliga gränser ligger, är den mest praktiska formen av integritetsskydd som finns tillgänglig just nu.