Khu vực pháp lý, Five Eyes và quyền riêng tư
Mọi công ty đều tuân theo luật của quốc gia nơi công ty đặt trụ sở. Những luật đó quyết định cơ quan nào có thể yêu cầu dữ liệu, cần quy trình gì, và công ty có được thông báo cho người dùng hay không. Privacy Ratings hiển thị khu vực pháp lý của mỗi công ty trên trang đánh giá, trong bảng danh mục và trên các trang quốc gia bên dưới.
Các thỏa thuận Eyes
Five Eyes bắt nguồn từ Hiệp định UKUSA về chia sẻ tình báo tín hiệu. Nine Eyes và Fourteen Eyes là các thỏa thuận chia sẻ rộng hơn. Cơ quan tình báo ở các quốc gia này chia sẻ dữ liệu với nhau, điều có thể giúp họ nhận được thông tin về những người mà họ không thể tự thu thập một cách hợp pháp.
| Thỏa thuận | Quốc gia |
|---|---|
| Five Eyes | Hoa Kỳ, Vương quốc Anh, Canada, Úc, New Zealand |
| Nine Eyes | Five Eyes, cùng với Đan Mạch, Pháp, Hà Lan và Na Uy |
| Fourteen Eyes | Nine Eyes, cùng với Bỉ, Đức, Ý, Tây Ban Nha và Thụy Điển |
Nguồn: Hiệp định UKUSA, sách trắng kỹ thuật của Forward Email (mục 9.5).
Cách các hướng dẫn khác xử lý khu vực pháp lý
- Privacy Guides yêu cầu nhà cung cấp VPN phải "có trụ sở tại một khu vực pháp lý nơi họ không thể bị buộc phải bí mật lưu nhật ký", và ưu tiên nhà cung cấp email ở "một khu vực pháp lý có luật bảo vệ quyền riêng tư email mạnh mẽ", mà không nêu tên quốc gia. Tiêu chí VPN, tiêu chí email
- That One Privacy Site đánh dấu các quốc gia Five Eyes màu đỏ, các quốc gia Nine và Fourteen Eyes màu vàng, và tất cả các quốc gia còn lại màu xanh lá. Công thức của bảng
- Who Has Your Back của EFF đánh giá các công ty dựa trên cách họ xử lý yêu cầu từ chính phủ: báo cáo minh bạch, thông báo cho người dùng và yêu cầu có lệnh khám xét. Who Has Your Back
Cách Privacy Ratings xử lý
Khu vực pháp lý được hiển thị, không được tính điểm. Chỉ riêng vị trí là một tín hiệu yếu:
- Proton, ở Thụy Sĩ và nằm ngoài mọi thỏa thuận Eyes, đã tuân thủ 8.313 trong số 9.301 lệnh pháp lý trong báo cáo thường niên gần nhất. Nguồn
- Proton VPN, cùng công ty và cùng quốc gia, không tuân thủ lệnh nào vì không lưu nhật ký. Nguồn
- Mullvad, ở Thụy Điển thuộc Fourteen Eyes, đã vượt qua các cuộc kiểm toán xác nhận máy chủ VPN của họ không lưu dữ liệu khách hàng. Nguồn
Những gì nhà cung cấp có thể giao nộp phụ thuộc vào dữ liệu họ lưu giữ và ai nắm giữ khóa. Vì vậy, điểm số đo lường chính điều đó: mã hóa, lưu nhật ký, kiểm toán, báo cáo minh bạch và thông báo cho người dùng. Mỗi trang vẫn hiển thị quốc gia, tư cách thành viên Eyes, phạm vi áp dụng của EU hoặc GDPR, và việc CLOUD Act có áp dụng hay không, để người đọc tự cân nhắc về khu vực pháp lý.