Storbritannien skrotar planerna på VPN-begränsningar efter egen forskning

Storbritannien backar från att begränsa VPN

Den brittiska regeringen har övergett planerna på att begränsa VPN-användning som en del av sitt arbete för barns onlinesäkerhet, efter att den egna forskningen undergrävt resonemanget bakom idén. Tjänstemän hade föreslagit att begränsa virtuella privata nätverk som ett sätt att hindra minderåriga från att använda dem för att kringgå åldersverifieringssystem kopplade till landets Online Safety Act. Men när regeringen faktiskt undersökte hur unga använder VPN berättade datan en annan historia: barn använder VPN främst för integritetsskydd, inte för att undvika åldersgränser.

Den upptäckten spelade roll. En policy som byggts för att stänga ett kryphål i åldersverifieringen håller inte särskilt bra när bevisen visar att kryphålet inte är den främsta anledningen till att människor använder verktyget ifråga. Istället för att driva igenom en åtgärd som inte skulle lösa problemet den var tänkt att åtgärda, valde den brittiska regeringen att skrota den.

Varför forskningen förändrade kalkylen

Argumenten mot VPN-begränsningar var redan starka innan denna kovändning. Integritetsförespråkare och säkerhetsexperter hade i månader varnat för att begränsning av VPN-åtkomst skulle vara tekniskt svår att genomdriva och skulle skapa fler problem än det löste, eftersom VPN som är baserade utanför Storbritannien ändå inte omfattas av inhemska regler. Beslutsamma användare, inklusive teknikvana tonåringar, skulle sannolikt hitta sätt att kringgå reglerna oavsett vad lagstiftningen sa.

Det som fick regeringen att formellt överge planen var dock inte bara verkställighetsproblemen. Det var regeringens egna data som visade att när barn använder VPN är integritetsskydd den främsta drivkraften, inte undvikande av ålderskontroller. Den distinktionen är viktig för policyutformning. Om VPN-användning bland minderåriga inte främst handlar om att kringgå åldersverifiering, skulle begränsning av VPN inte på ett meningsfullt sätt stärka skydden i Online Safety Act. Det skulle bara göra det svårare för alla, inklusive barn, att skydda sin surfaktivitet, platsdata och personliga information från att spåras online.

Ansvaret flyttas till plattformarna

Med VPN-begränsningarna borta från bordet ligger ansvaret för att upprätthålla ålderskontroller nu helt hos plattformarna själva. Istället för att försöka kontrollera de verktyg människor använder för att komma åt internet, riktar Storbritannien sin regleringsenergi mot de tjänster som barn faktiskt använder. Det innebär att sociala medieplattformar och andra onlinetjänster kommer att behöva bygga och underhålla sina egna åldersverifieringssystem som fungerar oavsett om en användare ansluter via ett VPN eller inte.

Det är ett meningsfullt skifte i strategi. Istället för ett trubbigt instrument riktat mot en mjukvara, faller ansvaret nu på företagen att utforma verifieringssystem robusta nog att hålla under verkliga förhållanden, inklusive det faktum att vissa användare kommer att ansluta bakom ett VPN, från delade enheter eller under oförutsägbara nätverksförhållanden. Att bygga system som på ett tillförlitligt sätt kan verifiera ålder i stor skala, utan att fallera under hög belastning eller skapa flaskhalsar som driver användare mot mindre tillförlitliga tredjepartsverifieringsverktyg, är en icke-trivial ingenjörsutmaning. Plattformar som hanterar verifieringsförfrågningar från miljoner användare kommer sannolikt att behöva infrastrukturmetoder som lastbalansering för att hålla ålderskontrollsystemen responsiva och tillgängliga, snarare än att bli ännu en friktionspunkt eller felkälla som underminerar hela ansträngningen.

Vad detta innebär för dig

Om du använder ett VPN i Storbritannien, oavsett om det är för integritet, säkerhet på offentliga Wi-Fi-nätverk eller helt enkelt för att kontrollera vilken data som delas med de webbplatser du besöker, innebär detta beslut att den användningen förblir orörd av just denna policy. Du behöver inte oroa dig för att VPN-åtkomsten begränsas som en sidoeffekt av landets regler för barnsäkerhet, åtminstone inte enligt detta förslag.

För föräldrar är slutsatsen att ansvaret för åldersverifiering landar på de plattformar dina barn använder, inte på de integritetsverktyg som är tillgängliga för alla. Det är värt att följa, eftersom hur väl plattformar implementerar ålderskontroller, och hur mycket personlig data dessa kontroller kräver, kommer att forma hur skydden faktiskt ser ut i praktiken. Åldersverifieringssystem kräver ofta någon form av identitets- eller åldersbevis, och hur den datan samlas in, lagras och säkras förtjänar granskning när dessa system rullas ut.

Viktiga slutsatser

• Storbritannien har övergivit planerna på att begränsa VPN-användning som en del av genomförandet av Online Safety Act, efter att forskning visat att barn främst använder VPN för integritetsskydd snarare än för att kringgå ålderskontroller.
• Ansvaret för åldersverifiering flyttas nu till plattformarna, som kommer att behöva bygga tillförlitliga verifieringssystem istället för att förlita sig på att begränsa åtkomstverktyg.
• VPN-användare i Storbritannien påverkas inte av nya begränsningar enligt denna specifika plan, även om de bredare onlinesäkerhetsreglerna för plattformar fortsätter att utvecklas.
• Håll ett öga på hur plattformar implementerar åldersverifiering, eftersom de datainsamlingsmetoder de väljer kommer att ha lika stor betydelse som om kontrollerna fungerar.

Denna kovändning är en påminnelse om att policy som bygger på antaganden om hur människor använder teknologi snabbt kan förändras när verklig data kommer in i bilden. I takt med att Storbritanniens regler för onlinesäkerhet fortsätter att ta form, rör sig konversationen bort från att begränsa integritetsverktyg och mot att hålla plattformar ansvariga för hur de verifierar användare – ett skifte som är värt att följa noggrant under de kommande månaderna.