Hoće li EU zabraniti VPN-ove?

Koristili su ga zaposlenici za pristup korporativnim sustavima, novinari za zaštitu svojih izvora, putnici za sigurnije korištenje javnih mreža i korisnici koji nisu željeli da svaka web stranica odmah vidi njihovu IP adresu. No, sada se isti alat našao u vrlo drugačijem političkom kontekstu. U raspravama o online provjeri dobi, VPN-ovi se sve više smatraju problemom, a ne zaštitom.

Potpuna zabrana VPN-ova trenutno nije na stolu kao usvojeni europski zakon, ali je jasno da se u Europi otvara rasprava o ograničavanju korištenja VPN-ova prilikom pristupa sadržaju za koji je uvedena provjera dobi.

Najznačajnija promjena nije to što će Bruxelles preko noći izbrisati VPN aplikacije iz trgovina. Više zabrinjava kako su kreatori politika EU počeli opisivati VPN-ove – kao prepreku zaštiti djece.

Zašto su VPN-ovi odjednom postali politička tema?

Suština problema nije piratstvo ili maskiranje lokacije radi jeftinijih pretplata. Ovaj put, okidač je zaštita djece na internetu. Pod okriljem Zakona o digitalnim uslugama, Europska komisija pripremila je smjernice za zaštitu maloljetnika i prototip aplikacije za provjeru dobi. Cilj je omogućiti korisnicima da dokažu da imaju više od 18 godina, na primjer prilikom pristupa sadržaju za odrasle, bez potrebe da otkriju svoj puni identitet ili točnu dob. Komisija naglašava da bi rješenje trebalo zaštititi privatnost, dati korisnicima kontrolu nad njihovim osobnim podacima i spriječiti praćenje sadržaja koji posjećuju.

Na papiru, ovo je racionalan cilj. Nitko ne bi ozbiljno tvrdio da bi djeci trebalo dopustiti pristup pornografskim stranicama, platformama za klađenje ili drugim uslugama gdje zakon zahtijeva da budu punoljetni. Problem nastaje u provedbi. Ako web stranica provjerava dob korisnika na temelju zemlje iz koje pristupa, VPN može brzo promijeniti sliku. Korisnik se može povezati putem poslužitelja izvan EU-a ili izvan zemlje sa strogim pravilima i sustav ga više ne tretira kao lokalnog korisnika. Istraživačka služba Europskog parlamenta stoga je primijetila da se korištenje VPN-ova znatno povećalo u zemljama u kojima su uvedeni sustavi za provjeru punoljetnosti te je napomenula da neki zagovaraju ograničavanje pristupa VPN uslugama korisnicima iznad određene digitalne dobi.

S ovakvim načinom razmišljanja stvari mogu postati komplicirane. VPN nije samo zaobilaženje propisa. VPN je također sloj sigurnosti. Ako regulator zaobilaženje vidi kao primarni cilj, sigurnosni dio brzo postaje kolateralna šteta.

Što kaže Europska unija?

Mnogi naslovi zvuče kao da EU već priprema zabranu VPN-ova. To je pretjerivanje. Točnije je reći da europske institucije i političari prepoznaju VPN-ove kao prepreku provedbi dobnih ograničenja. Istraživačka služba Europskog parlamenta, u radu o VPN-ovima i zaštiti djece, primijetila je da se VPN-ovi koriste za zaobilaženje metoda online provjere dobi te istaknula raspravu o tome treba li pristup VPN uslugama ograničiti korisnicima starijima od digitalne dobi punoljetstva. Ovo nije zakon, nije zabrana i nije izravna naredba državama članicama, ali je signal u kojem smjeru ide razmišljanje.

Meni se ova promjena čini važnijom od same riječi "zabrana". Zabrana je pravno jasna, politički eksplozivna i tehnički teško provediva. Ograničenje je, s druge strane, teže dosegnuto.

To bi moglo značiti provjeru dobi prije korištenja VPN-a. To bi moglo značiti obveze za pružatelje VPN usluga. To bi moglo značiti blokiranje poznatih VPN poslužitelja od pristupa određenim stranicama. To bi moglo značiti pritisak na trgovine aplikacija. To bi moglo značiti zahtijevanje od platformi da provedu „razumne mjere“ protiv zaobilaženja, bez jasne definicije što je razumno, a što pretjerano.

Zašto bi itko želio ograničiti VPN?

Ako neka država nametne provjeru dobi, a zatim je svaki tinejdžer zaobiđe besplatnom VPN aplikacijom, zakon gubi kredibilitet. Dobna ograničenja funkcioniraju samo ako ih je teško zaobići. Inače se cijela regulativa pretvara u predstavu za odrasle, a djeca brzo nauče koju aplikaciju trebaju instalirati.

Rasprava o VPN-ovima također je u tijeku u Velikoj Britaniji, koja je već implementirala sustave za provjeru dobi, i u američkoj saveznoj državi Utah. Obje su zabilježile ogroman porast korištenja VPN-a od uvođenja provjere dobi.

EU će imati vrlo teško vrijeme u pronalaženju rješenja koje zadovoljava zahtjeve odraslih, ušutkava korisnike koji su prvenstveno zabrinuti za privatnost na internetu, a istovremeno isto rješenje čini neprobojnim za djecu.

Provjera dobi ima problem s pouzdanošću

Europska komisija opisuje svoje rješenje kao rješenje prilagođeno privatnosti. Omogućilo bi korisnicima da dokažu da su stariji od 18 godina bez otkrivanja više osobnih podataka nego što je potrebno. Rješenje bi bilo interoperabilno s budućim europskim digitalnim novčanicima, a države članice bi ga mogle prilagoditi svojim potrebama bez promjene zaštite privatnosti.

Ovo je dobar cilj, ali ne uklanja sve brige. Provjera dobi ne odnosi se samo na ono što sustav obećava, već i na to tko njime upravlja, kako se provjerava njegova sigurnost, koji su pružatelji usluga uključeni, koliko se dugo podaci čuvaju, postoje li zapisnici pristupa i što se događa kada dođe do zlouporabe. S tehnologijama identiteta, pogreške su rijetko male. Ako korisnik vjeruje sustavu da će sam dokazati dob, a sustav kasnije postane šira karta za pristup internetu, sama priroda anonimnog pregledavanja se mijenja.

Stoga je rasprava o VPN-ovima zapravo rasprava o tome koliko će identiteta biti potrebno za normalno korištenje weba u budućnosti.

Potpuna zabrana bila bi tehnički i politički problematična

Zabrana VPN-ova u EU bila bi izuzetno teška za provedbu. Prije svega, zato što VPN-ovi nisu jedinstven proizvod. Postoje komercijalne aplikacije, VPN sustavi za poduzeća, privatni poslužitelji, rješenja za korporativne mreže, sigurnosne značajke preglednika i protokoli koji se ne mogu lako razlikovati od legitimnog šifriranog prometa. Blokiranje poznatih VPN adresa je moguće, ali pružatelji usluga ih mogu promijeniti. Dubinsko skeniranje prometa otvara nove probleme s privatnošću i sigurnošću. Zabrana aplikacija iz trgovina ne zaustavlja instalacije iz drugih izvora, ali također više utječe na obične korisnike nego na tehnički potkovane.

Politički, potpuna zabrana bila bi još teža. Europska unija voli se prikazivati kao mjesto temeljnih prava, zaštite podataka i digitalne privatnosti. VPN-ovi se često koriste za zaštitu upravo tih vrijednosti. Kad bi EU krenula putem opće zabrane, bilo bi teško objasniti razliku između zaštite djece i općenitog ograničavanja alata za privatnost.

"VPN da ili ne?" je krivo pitanje

Rasprava je često previše pojednostavljena. S jedne strane su oni koji žele zaštititi djecu, a s druge strane su oni koji brane VPN-ove. Ovo je loš okvir. Zaštita djece je legitiman zadatak. Privatnost je također legitimno pravo. Pitanje nije koja bi vrijednost trebala biti važnija od druge, već je li moguće izgraditi sustav koji neće uništiti cijeli sigurnosni ekosustav zbog jednog problema.

Kad bih morao odabrati pravo pitanje, postavio bih ga drugačije: Kako spriječiti maloljetnike da pristupaju sadržaju koji im nije prikladan bez stvaranja infrastrukture za masovnu provjeru identiteta i ograničavanja alata za privatnost? Ovo je pitanje teže, ali iskrenije.

EU zasad ne zabranjuje VPN-ove. Ali rasprava o njima više nije periferna. Kada se VPN-ovi u službenim razgovorima pojave kao „rupa u zakonu“ koju treba zatvoriti, korisnici s pravom postaju oprezni. Ne zato što će sutra svaka VPN aplikacija biti zabranjena, već zato što se internet može mijenjati u slojevima. Prvo, provjera dobi za sadržaj za odrasle. Zatim zahtjevi protiv zaobilaženja. Zatim ograničenja alata koji omogućuju ta zaobilaženja. Zatim nova područja gdje se mora dokazati nešto osim dobi.

Nadam se da će Europa pronaći put koji neće voditi u digitalni totalitarizam, ali trenutni signali su sve samo ne ohrabrujući.