Юрисдикції, Five Eyes і конфіденційність
Кожна компанія дотримується законів країни, у якій вона розташована. Ці закони визначають, які органи можуть вимагати дані, яка процедура для цього потрібна і чи може компанія повідомити користувачів. Privacy Ratings показує юрисдикцію кожної компанії на сторінці її рейтингу, у таблицях категорій і на сторінках країн нижче.
Альянси Eyes
Five Eyes почався з Угоди UKUSA про обмін радіоелектронною розвідкою. Nine Eyes і Fourteen Eyes — ширші домовленості про обмін. Розвідувальні служби цих країн обмінюються даними між собою, що може дати їм змогу отримувати інформацію про людей, яку вони не могли б законно зібрати самі.
| Альянс | Країни |
|---|---|
| Five Eyes | США, Велика Британія, Канада, Австралія, Нова Зеландія |
| Nine Eyes | Five Eyes, а також Данія, Франція, Нідерланди та Норвегія |
| Fourteen Eyes | Nine Eyes, а також Бельгія, Німеччина, Італія, Іспанія та Швеція |
Джерела: Угода UKUSA, технічний документ Forward Email (розділ 9.5).
Як інші посібники враховують юрисдикцію
- Privacy Guides вимагає, щоб VPN-сервіси були «розташовані в юрисдикції, де їх не можуть змусити таємно вести журнали», і надає перевагу поштовим сервісам у «юрисдикції з сильними законами про захист конфіденційності пошти», не називаючи країн. Критерії для VPN, критерії для пошти
- That One Privacy Site позначав країни Five Eyes червоним, країни Nine і Fourteen Eyes — жовтим, а всі інші — зеленим. Формули таблиці
- Who Has Your Back від EFF оцінював компанії за тим, що вони роблять із запитами від держави: звіти про прозорість, повідомлення користувачів і вимога ордерів. Who Has Your Back
Як це робить Privacy Ratings
Юрисдикцію показано, але не оцінено. Саме лише розташування — слабкий сигнал:
- Proton, що розташований у Швейцарії й поза всіма альянсами Eyes, виконав 8 313 із 9 301 правової постанови за даними свого останнього річного звіту. Джерело
- Proton VPN, та сама компанія й та сама країна, не виконав жодної, бо не веде журналів. Джерело
- Mullvad у Швеції, що входить до Fourteen Eyes, пройшов аудити, які підтвердили, що його VPN-сервери не зберігають даних клієнтів. Джерело
Те, що постачальник може передати, залежить від того, які дані він зберігає і в кого ключі. Тож бали вимірюють саме це: шифрування, журналювання, аудити, звіти про прозорість і повідомлення користувачів. На кожній сторінці все одно показано країну, її членство в Eyes, дію законодавства ЄС чи GDPR і чи застосовується CLOUD Act, щоб читачі могли самі зважити юрисдикцію.