Giurisdizioni, Five Eyes e privacy
Ogni azienda segue le leggi del paese in cui ha sede. Queste leggi stabiliscono quali autorità possono richiedere dati, quale procedura devono seguire e se l'azienda può informare gli utenti. Privacy Ratings indica la giurisdizione di ogni azienda nella sua pagina di valutazione, nelle tabelle delle categorie e nelle pagine dei paesi qui sotto.
Gli accordi Eyes
I Five Eyes sono nati con l'accordo UKUSA sulla condivisione dell'intelligence dei segnali. I Nine Eyes e i Fourteen Eyes sono accordi di condivisione più ampi. Le agenzie di intelligence di questi paesi condividono dati tra loro, il che può permettere loro di ricevere informazioni su persone che non potrebbero raccogliere legalmente da sole.
| Accordo | Paesi |
|---|---|
| Five Eyes | Stati Uniti, Regno Unito, Canada, Australia, Nuova Zelanda |
| Nine Eyes | Five Eyes, più Danimarca, Francia, Paesi Bassi e Norvegia |
| Fourteen Eyes | Nine Eyes, più Belgio, Germania, Italia, Spagna e Svezia |
Fonti: accordo UKUSA, whitepaper tecnico di Forward Email (sezione 9.5).
Come le altre guide gestiscono la giurisdizione
- Privacy Guides richiede che i provider VPN abbiano "sede in una giurisdizione in cui non possano essere costretti a effettuare registrazioni segrete" e preferisce provider email in "una giurisdizione con leggi forti a tutela della privacy dell'email", senza nominare paesi. Criteri VPN, criteri email
- That One Privacy Site segnalava in rosso i paesi Five Eyes, in giallo i paesi Nine e Fourteen Eyes e in verde tutti gli altri. Formule della tabella
- Who Has Your Back dell'EFF valutava le aziende in base a come gestiscono le richieste governative: report sulla trasparenza, notifica agli utenti e richiesta di un mandato. Who Has Your Back
Come la gestisce Privacy Ratings
La giurisdizione viene indicata, non valutata. La sola posizione è un segnale debole:
- Proton, in Svizzera e fuori da tutti gli accordi Eyes, ha ottemperato a 8.313 dei 9.301 ordini legali nel suo report annuale più recente. Fonte
- Proton VPN, stessa azienda e stesso paese, non ha ottemperato a nessuno perché non conserva log. Fonte
- Mullvad, in Svezia (Fourteen Eyes), ha superato audit che confermano che i suoi server VPN non conservano dati dei clienti. Fonte
Ciò che un provider può consegnare dipende da quali dati conserva e da chi detiene le chiavi. Per questo i punteggi misurano proprio questo: crittografia, registrazione dei log, audit, report sulla trasparenza e notifica agli utenti. Ogni pagina indica comunque il paese, l'appartenenza agli Eyes, la copertura UE o GDPR e se si applica il CLOUD Act, così i lettori possono valutare la giurisdizione da soli.