Jurysdykcje, Five Eyes i prywatność
Każda firma przestrzega prawa kraju, w którym ma siedzibę. To prawo decyduje, które organy mogą żądać danych, jakiej procedury potrzebują i czy firma może poinformować użytkowników. Privacy Ratings pokazuje jurysdykcję każdej firmy na stronie jej oceny, w tabelach kategorii i na stronach krajów poniżej.
Układy Eyes
Five Eyes zaczęło się od porozumienia UKUSA o wymianie informacji z wywiadu elektronicznego. Nine Eyes i Fourteen Eyes to szersze układy wymiany. Agencje wywiadowcze tych krajów wymieniają się danymi, co może pozwolić im otrzymywać informacje o osobach, których same nie mogłyby legalnie zbierać.
| Układ | Kraje |
|---|---|
| Five Eyes | Stany Zjednoczone, Wielka Brytania, Kanada, Australia, Nowa Zelandia |
| Nine Eyes | Five Eyes oraz Dania, Francja, Holandia i Norwegia |
| Fourteen Eyes | Nine Eyes oraz Belgia, Niemcy, Włochy, Hiszpania i Szwecja |
Źródła: Porozumienie UKUSA, dokument techniczny Forward Email (sekcja 9.5).
Jak jurysdykcję traktują inne poradniki
- Privacy Guides wymaga, aby dostawcy VPN mieli siedzibę „w jurysdykcji, w której nie można ich zmusić do tajnego logowania”, i preferuje dostawców poczty w „jurysdykcji z silnymi przepisami chroniącymi prywatność poczty”, nie wymieniając krajów. Kryteria VPN, kryteria poczty
- That One Privacy Site oznaczał kraje Five Eyes na czerwono, kraje Nine i Fourteen Eyes na żółto, a wszystkie pozostałe na zielono. Formuły tabeli
- Who Has Your Back organizacji EFF oceniał firmy według tego, co robią z żądaniami władz: raporty przejrzystości, powiadamianie użytkowników i wymóg nakazów. Who Has Your Back
Jak traktuje ją Privacy Ratings
Jurysdykcja jest pokazywana, a nie punktowana. Sama lokalizacja to słaby sygnał:
- Proton, w Szwajcarii i poza wszystkimi układami Eyes, zastosował się do 8313 z 9301 nakazów prawnych według najnowszego rocznego raportu. Źródło
- Proton VPN, ta sama firma i ten sam kraj, nie zastosował się do żadnego, ponieważ nie przechowuje logów. Źródło
- Mullvad, w Szwecji należącej do Fourteen Eyes, przeszedł audyty potwierdzające, że jego serwery VPN nie przechowują danych klientów. Źródło
To, co dostawca może przekazać, zależy od tego, jakie dane przechowuje i kto ma klucze. Dlatego wyniki mierzą właśnie to: szyfrowanie, logowanie, audyty, raporty przejrzystości i powiadamianie użytkowników. Każda strona nadal pokazuje kraj, jego członkostwo w Eyes, objęcie UE lub RODO oraz to, czy ma zastosowanie CLOUD Act, aby czytelnicy mogli sami ocenić znaczenie jurysdykcji.