Jurisdiktioner, Five Eyes och integritet
Varje företag följer lagarna i det land där det är baserat. Dessa lagar avgör vilka myndigheter som kan kräva ut data, vilket förfarande de behöver och om företaget får informera användarna. Privacy Ratings visar varje företags jurisdiktion på dess bedömningssida, i kategoritabellerna och på landsidorna nedan.
Eyes-samarbetena
Five Eyes började med UKUSA-avtalet om utbyte av signalunderrättelser. Nine Eyes och Fourteen Eyes är bredare samarbeten för informationsutbyte. Underrättelsetjänsterna i dessa länder delar data med varandra, vilket kan göra att de får information om personer som de inte lagligt kunde samla in själva.
| Samarbete | Länder |
|---|---|
| Five Eyes | USA, Storbritannien, Kanada, Australien, Nya Zeeland |
| Nine Eyes | Five Eyes samt Danmark, Frankrike, Nederländerna och Norge |
| Fourteen Eyes | Nine Eyes samt Belgien, Tyskland, Italien, Spanien och Sverige |
Källor: UKUSA-avtalet, Forward Emails tekniska whitepaper (avsnitt 9.5).
Hur andra guider hanterar jurisdiktion
- Privacy Guides kräver att VPN-leverantörer är ”based in a jurisdiction where it cannot be forced to do secret logging” (baserade i en jurisdiktion där de inte kan tvingas till hemlig loggning) och föredrar e-postleverantörer i ”a jurisdiction with strong email privacy protection laws” (en jurisdiktion med starka lagar till skydd för e-postintegritet), utan att nämna några länder. VPN-kriterier, e-postkriterier
- That One Privacy Site markerade Five Eyes-länder med rött, Nine och Fourteen Eyes-länder med gult och alla andra med grönt. Formler för tabellen
- EFF:s Who Has Your Back bedömde företag utifrån hur de hanterar myndighetsförfrågningar: transparensrapporter, information till användare och krav på domstolsbeslut. Who Has Your Back
Hur Privacy Ratings hanterar det
Jurisdiktionen visas på varje sida men påverkar inte poängen. Platsen i sig är en svag signal:
- Proton, i Schweiz och utanför alla Eyes-samarbeten, efterkom 8 313 av 9 301 rättsliga beslut i sin senaste årsrapport. Källa
- Proton VPN, samma företag och samma land, efterkom inga eftersom tjänsten inte sparar några loggar. Källa
- Mullvad, i Fourteen Eyes-landet Sverige, har klarat granskningar som bekräftar att dess VPN-servrar inte sparar några kunddata. Källa
Vilka data en leverantör sparar, och vem som har nycklarna, avgör vad den kan lämna ut. Poängen mäter just det: kryptering, loggning, granskningar, transparensrapporter och information till användare. Varje sida visar ändå landet, dess Eyes-medlemskap, om EU eller GDPR gäller och om CLOUD Act är tillämplig, så att du själv kan väga in jurisdiktionen.