Ali bo EU prepovedala VPN-je?

Uporabljali so ga zaposleni za dostop do službenih sistemov, novinarji za zaščito virov, popotniki za varnejšo uporabo javnih omrežij in uporabniki, ki niso želeli, da vsaka spletna stran takoj vidi njihov IP naslov. Zdaj pa se je isti pripomoček znašel v precej drugačnem političnem kontekstu. V razpravah o preverjanju starosti na spletu se VPN vse pogosteje pojavlja kot težava, ne kot zaščita.

Popolna prepoved VPN-jev trenutno ni na mizi kot sprejet evropski zakon, je pa jasno, da se v Evropi odpira razprava o omejevanju uporabe VPN-jev pri dostopu do vsebin, za katere se uvaja preverjanje starosti.

Najpomembnejši premik ni v tem, da bi Bruselj čez noč izbrisal VPN aplikacije iz trgovin. Bolj zaskrbljujoče je, kako so EU odločevalci začeli opisovati VPN – kot ovira za zaščito otrok.

Zakaj so VPN-ji nenadoma postali politična tema?

Jedro zgodbe ni piratstvo ali prikrivanje lokacije zaradi cenejših naročnin. Tokrat je sprožilec zaščita otrok na spletu. Evropska komisija je pod okriljem Akta o digitalnih storitvah pripravila smernice za zaščito mladoletnikov in prototip aplikacije za preverjanje starosti. Namen je, da bi uporabnik lahko dokazal, da je starejši od 18 let, denimo pri dostopu do vsebin za odrasle, ne da bi moral razkriti svojo celotno identiteto ali natančno starost. Komisija poudarja, da naj bi rešitev varovala zasebnost, uporabniku pustila nadzor nad osebnimi podatki in onemogočala sledenje vsebinam, ki jih posameznik obiskuje.

Na papirju je to racionalen cilj. Nihče resen ne bo trdil, da otroci brez omejitev sodijo na pornografske strani, stavniške platforme ali druge storitve, kjer zakon zahteva polnoletnost. Težava nastane pri izvedbi. Če spletna stran preverja starost uporabnika glede na državo, iz katere dostopa, lahko VPN hitro spremeni sliko. Uporabnik se lahko poveže prek strežnika zunaj EU ali zunaj države, kjer veljajo stroga pravila, in sistem ga ne obravnava več kot lokalnega uporabnika. Evropska parlamentarna raziskovalna služba je zato opozorila, da se je uporaba VPN-jev izrazito povečala v državah, kjer so bili uvedeni zakonski sistemi preverjanja starosti, in zapisala, da nekateri zagovarjajo omejitev dostopa do VPN storitev na uporabnike nad določeno digitalno starostjo.

Pri tej miselnosti se stvari lahko zapletejo. VPN ni namenjen samo obvodu pravil. VPN je tudi varnostni sloj. Če zakonodajalec vidi predvsem obvod, varnostni del hitro postane stranska škoda.

Kaj pravi Evropska unija?

Veliko naslovnic zveni, kot da EU že pripravlja prepoved VPN-jev. To je pretirano. Bolj natančno je reči, da evropske institucije in politiki prepoznavajo VPN kot oviro pri izvajanju starostnih omejitev. Evropska parlamentarna raziskovalna služba je v dokumentu o VPN-jih in zaščiti otrok zapisala, da so VPN-ji uporabljeni za obhod spletnih metod preverjanja starosti, in izpostavila razpravo o tem, ali bi moral biti dostop do VPN storitev omejen na uporabnike nad digitalno starostjo polnoletnosti. To ni zakon, ni prepoved in ni neposreden ukaz državam članicam, je pa signal, kam se pomika razmišljanje.

Meni se zdi ta premik pomembnejši od same besede »prepoved«. Prepoved je pravno jasna, politično eksplozivna in tehnično težko izvedljiva. Omejevanje pa je bolj izmuzljivo.

Lahko pomeni starostno preverjanje pred uporabo VPN-ja. Lahko pomeni obveznosti za ponudnike VPN storitev. Lahko pomeni blokiranje znanih VPN strežnikov pri dostopu do določenih strani. Lahko pomeni pritisk na trgovine z aplikacijami. Lahko pomeni zahteve, da platforme uvedejo »razumne ukrepe« proti obhodom, brez natančnega pojasnila, kaj je še razumno in kaj že prekomerno.

Zakaj bi sploh kdo želel omejiti VPN?

Če država uvede preverjanje starosti, nato pa ga vsak najstnik obide z brezplačno VPN aplikacijo, zakon izgubi verodostojnost. Starostna zapora deluje samo, če jo je težko prelisičiti. V nasprotnem primeru se celotna regulacija spremeni v predstavo za odrasle, otroci pa se hitro naučijo, katero aplikacijo morajo namestiti.

Razprava o VPN-jih poteka tudi v Združenem kraljestvu, kjer so že uvedli sisteme za preverjanje starosti, in ameriški zvezni državi Utah. V obeh primerih so po uvedbi preverjanja starosti zabeležili ogromno rast uporabe VPN-jev.

EU bo zelo težko našla rešitev, s katero bodo zadovoljili zahteve odraslih, utišali uporabnike, katere predvsem skrbi zasebnost na spletu, in hkrati isto rešitev naredili nezlomljivo za otroke.

Starostno preverjanje ima težavo z zaupanjem

Evropska komisija svojo rešitev opisuje kot zasebnostno naravnano. Uporabnik naj bi lahko dokazal, da je starejši od 18 let, ne da bi razkril več osebnih podatkov, kot je potrebno. Rešitev naj bi bila interoperabilna z bodočimi evropskimi digitalnimi denarnicami, države članice pa naj bi jo lahko prilagodile svojim potrebam, ne da bi spreminjale njene zasebnostne zaščite.

To je dober cilj, vendar ne odpravi vseh pomislekov. Pri starostnem preverjanju ni pomembno samo, kaj sistem obljubi, ampak kdo ga upravlja, kako se preverja njegova varnost, kateri ponudniki sodelujejo, kako dolgo se hranijo podatki, ali obstajajo dnevniki dostopov in kaj se zgodi, ko pride do zlorabe. Pri tehnologijah identitete je napaka redko majhna. Če uporabnik zaupa sistemu, da bo dokazal samo starost, sistem pa kasneje postane širša vstopnica za dostop do interneta, se spremeni sama narava anonimnega brskanja.

Zato je razprava o VPN-jih v resnici razprava o tem, koliko identitete bo v prihodnje potrebne za običajno uporabo spleta.

Popolna prepoved bi bila tehnično in politično problematična

Prepoved VPN-jev v EU bi bila izredno težko izvedljiva. Najprej zato, ker VPN ni enoten izdelek. Obstajajo komercialne aplikacije, poslovni VPN sistemi, lastni zasebni strežniki, omrežne rešitve v podjetjih, varnostne funkcije v brskalnikih in protokoli, ki jih ni mogoče preprosto ločiti od legitimnega šifriranega prometa. Blokiranje znanih VPN naslovov je mogoče, a ponudniki jih lahko menjajo. Globinsko pregledovanje prometa odpira nove težave z zasebnostjo in varnostjo. Prepoved aplikacij v trgovinah ne ustavi namestitve iz drugih virov, hkrati pa prizadene običajne uporabnike bolj kot tehnično spretne.

Politično bi bila popolna prepoved še težja. Evropska unija se rada predstavlja kot prostor temeljnih pravic, varstva podatkov in digitalne zasebnosti. VPN-ji se pogosto uporabljajo prav za varovanje teh vrednot. Če bi EU šla po poti splošne prepovedi, bi težko razložila razliko med zaščito otrok in splošnim omejevanjem orodij za zasebnost.

»VPN da ali ne?« je napačno vprašanje

Razprava je pogosto postavljena preveč preprosto. Na eni strani naj bi bili tisti, ki želijo zaščititi otroke, na drugi pa tisti, ki branijo VPN-je. To je slab okvir. Zaščita otrok je legitimna naloga. Tudi zasebnost je legitimna pravica. Vprašanje ni, katera vrednota naj povozi drugo, ampak ali je mogoče zgraditi sistem, ki ne bo zaradi ene težave razgradil celotnega varnostnega ekosistema.

Če bi moral izbrati pravo vprašanje, bi ga postavil drugače: kako preprečiti mladoletnikom dostop do vsebin, ki zanje niso primerne, ne da bi pri tem ustvarili infrastrukturo za množično preverjanje identitete in omejevanje zasebnostnih orodij? To vprašanje je težje, a bolj pošteno.

EU za zdaj ne prepoveduje VPN-jev. A razprava o njih ni več obrobna. Ko se VPN v uradnih pogovorih pojavi kot »luknja«, ki jo je treba zapreti, uporabniki upravičeno postanejo pozorni. Ne zato, ker bi bila jutri onemogočena vsaka VPN aplikacija, ampak zato, ker se lahko internet spremeni po plasteh. Najprej preverjanje starosti za vsebine za odrasle. Nato zahteve proti obvodom. Nato omejitve za orodja, ki te obvode omogočajo. Nato nova področja, kjer je treba dokazovati še kaj drugega kot starost.

Upam, da bo Evropa našla pot, ki ne vodi v digitalni totalitarizem, vendar so trenutni signali vse prej kot spodbudni.