Ustawa VPN w Utah nie weszła dziś w życie: co SB 73 naprawdę oznacza dla użytkowników VPN

Jeśli w tym tygodniu czytałeś prasę technologiczną, widziałeś jakąś wersję tego samego nagłówka: pierwsza amerykańska ustawa wymierzona w korzystanie z VPN wchodzi w życie 3 września. To data, którą Gizmodo umieściło w nagłówku z 31 sierpnia, i data, która przez weekend rozeszła się po forach i mediach społecznościowych. Jest też błędna, i to w dwóch kierunkach naraz.

Ustawa Senatu Utah nr 73 obowiązuje od 6 maja 2026 roku. Jej przepis dotyczący VPN jest prawem od czterech miesięcy. Tym, co miało się skończyć 3 września, nie był stan uśpienia ustawy, lecz sądowy rozejm: obietnica Utah, że nie będzie egzekwować klauzuli VPN wobec jednej firmy, Aylo, operatora Pornhub, dopóki sędzia federalny rozpatruje skargę tej spółki. A ten rozejm został przedłużony 27 sierpnia, tydzień przed publikacją nagłówków. Dla nikogo w Utah z aplikacją VPN w telefonie nic się dziś nie zmieniło.

Oto co mówi ustawa, kogo wiąże, na jakim etapie jest sprawa i co to wszystko oznacza dla osoby korzystającej z VPN.

Czy ustawa VPN w Utah weszła w życie 3 września?

Nie. Zamieszanie bierze się z pomylenia dwóch dokumentów.

Pierwszym jest sama ustawa. SB 73, Online Age Verification Amendments, została zgłoszona przez senatora Calvina Musselmana i reprezentanta Steve’a Eliasona, a podpisana przez gubernatora Spencera Coxa 19 marca 2026 roku. Sekcja 22 uchwalonej ustawy określa datę wejścia w życie: 6 maja 2026 roku, z kilkoma przepisami podatkowymi obowiązującymi od 1 października. Zapis o VPN znajduje się w sekcji 14, która zmienia Utah Code 78B-3-1002, i nosi datę 6 maja jak wszystko inne.

Drugim dokumentem jest wspólne oświadczenie stron złożone w sądzie federalnym 27 kwietnia 2026 roku, pięć dni po tym, jak Aylo wniosło pozew. Wydział Ochrony Konsumentów Utah i Departament Handlu Utah zgodziły się w nim wstrzymać egzekwowanie „przepisu o domniemanej lokalizacji” wobec Aylo i jego spółek powiązanych „do 3 września 2026 roku, czyli 120 dni po dacie, w której przepis miał pierwotnie wejść w życie”. Aylo ze swojej strony zobowiązało się nie zmieniać obecnego geoblokowania w Utah, co oznacza, że Pornhub i strony siostrzane pozostaną zablokowane dla adresów IP z Utah, tak jak od 2023 roku.

Stąd właśnie bierze się data 3 września. Nigdy nie była datą wejścia w życie. Była terminem wygaśnięcia obietnicy nieegzekwowania złożonej jednej stronie postępowania. A według akt sądowych 27 sierpnia strony złożyły kolejne „wspólne oświadczenie o przedłużeniu nieegzekwowania”, które sąd przyjął do wiadomości następnego dnia. Jak podał XBIZ 28 sierpnia, przedłużenie obowiązuje do 22 października 2026 roku lub do chwili, gdy sąd rozstrzygnie wniosek Aylo o zabezpieczenie tymczasowe, w zależności od tego, co nastąpi wcześniej. Oświadczenie uzasadnia dodatkowy czas trwającym w Utah procesem legislacyjnym: „ten okres dalszego wstrzymania pozwala powodom uczestniczyć w procesie stanowienia przepisów bez groźby odpowiedzialności w międzyczasie”.

Prawdziwe zdanie jest więc dłuższe, niż pozwala nagłówek. Klauzula VPN jest prawem i jest nim od maja. Utah obiecało nie stosować jej wobec Aylo do końca października. Wobec każdej innej objętej strony klauzula formalnie obowiązuje od 6 maja, choć nie znaleźliśmy żadnego publicznego zapisu o wszczęciu przez Wydział postępowania egzekucyjnego wobec jakiejkolwiek strony w związku z ruchem VPN.

Czego SB 73 naprawdę wymaga i od kogo?

Utah wymaga weryfikacji wieku na stronach dla dorosłych od 2023 roku. SB 73 przebudowuje ten system: dodaje publiczne egzekwowanie przez Wydział Ochrony Konsumentów obok istniejącego prywatnego prawa do pozwu, dodaje grzywny, tworzy podatek akcyzowy od objętych stron i dodaje dwa akapity o VPN. Te dwa akapity w uchwalonym tekście brzmią następująco.

Zasada domniemanej lokalizacji, nowy ustęp (3) w 78B-3-1002: „Osobę uznaje się za uzyskującą dostęp do strony internetowej z tego stanu, jeśli osoba ta faktycznie znajduje się w tym stanie, niezależnie od tego, czy korzysta z wirtualnej sieci prywatnej, serwera proxy lub innych środków w celu ukrycia lub zafałszowania swojej lokalizacji geograficznej, tak aby wyglądało, że uzyskuje dostęp do strony z miejsca poza tym stanem”.

Zakaz ułatwiania, nowy ustęp (4): objęta strona „nie może ułatwiać ani zachęcać do korzystania z wirtualnej sieci prywatnej, serwera proxy lub innych środków w celu obejścia wymogów weryfikacji wieku”, w tym poprzez udostępnianie „instrukcji, jak używać wirtualnej sieci prywatnej lub serwera proxy do uzyskania dostępu do strony” lub „środków umożliwiających osobom w tym stanie obejście geoblokowania lub blokady”.

Obie zasady są skierowane do „podmiotu komercyjnego prowadzącego stronę internetową, która zawiera znaczną część materiałów szkodliwych dla nieletnich”. Znaczna część ma swoją liczbę: ponad 33 1/3 procent wszystkich materiałów na stronie. Strona, która pozycjonuje się jako głównie dla dorosłych lub używa domeny o tematyce dla dorosłych, jest domniemywana jako przekraczająca tę granicę.

Kary są wymierzone w ten sam podmiot. Na mocy nowej sekcji 78B-3-1004 dyrektor Wydziału może nałożyć grzywnę administracyjną do 2 500 dolarów za każde naruszenie, a sąd może dodać karę cywilną do 2 500 dolarów za naruszenie, przepadek korzyści, nakazy sądowe i odszkodowanie za rzeczywiste szkody, plus do 5 000 dolarów za naruszenie za zignorowanie nakazu. Sekcja 78B-3-1002(6) zwalnia dostawców usług internetowych, wyszukiwarki i dostawców chmury za samo przenoszenie ruchu, a ustęp (5) zwalnia rzetelne treści informacyjne i pożytku publicznego.

Zwróć uwagę na to, czego brakuje. Nie ma definicji „użytkownika VPN”, nie ma obowiązku nałożonego na dostawcę VPN i nie ma grzywny, wykroczenia ani odpowiedzialności cywilnej dla osoby, która łączy się przez VPN. Wersja do cytowania: ustawa SB 73 w Utah nie reguluje użytkowników VPN; reguluje strony internetowe, uznając, że odwiedzający fizycznie obecny w Utah liczy się jako odwiedzający z Utah niezależnie od tego, jaki adres IP widzi strona.

Czy korzystanie z VPN w Utah jest teraz nielegalne?

Nie, i nie było też 6 maja. Każdy operatywny przepis SB 73 wskazuje podmiot komercyjny jako stronę obciążoną obowiązkiem. Mieszkaniec Salt Lake City, który włącza VPN, by korzystać z hotelowego Wi-Fi, połączyć się z siecią firmową, uniemożliwić dostawcy internetu profilowanie swojego przeglądania albo oglądać domową subskrypcję w podróży, nie zrobił niczego, czego ustawa dotyczy.

Ustawa zmienia natomiast ekspozycję strony internetowej. Przed SB 73 objęta strona mogła argumentować, że odwiedzający przychodzący z holenderskiego lub kanadyjskiego adresu IP był, na jej potrzeby, w Holandii lub Kanadzie. Teraz Utah mówi, że strona ponosi odpowiedzialność, jeśli ten odwiedzający faktycznie był w Utah. Czy strona może to wiedzieć, to kolejne pytanie, i to o nie toczy się cała sprawa.

Skąd strona ma wiedzieć, że jesteś w Utah, jeśli używasz VPN?

W dużej mierze nie może, i dlatego krytyka SB 73 płynie z bardzo różnych stron.

Electronic Frontier Foundation nazwała blokowanie adresów VPN „techniczną zabawą w whack-a-mole, której prawdopodobnie żadna firma nie wygra”, zauważając, że dostawcy VPN nieustannie dodają adresy i nie istnieje żadna kompletna lista blokad. Lia Holland z Fight for the Future, cytowana w maju przez KUER, ujęła to dosadniej: ustalenie, skąd przegląda sieć użytkownik renomowanego VPN, jest „dosłownie niemożliwe z założenia”. NordVPN, zapytany przez Gizmodo, określił ustawę jako „pułapkę odpowiedzialności”, w której „platformy ponoszą realne ryzyko finansowe za niepowodzenie w zadaniu technicznym, którego nikt obecnie nie potrafi wykonać niezawodnie”.

Przyczyny techniczne nie budzą kontrowersji. Geolokalizacja IP to komercyjne wnioskowanie oparte na danych o routingu i rejestrach, a nie pomiar tego, gdzie stoi urządzenie, i na poziomie stanu bywa rutynowo błędna nawet dla zwykłych połączeń. Wykrywanie VPN i proxy opiera się na listach znanych adresów wyjściowych, które nie nadążają za rzeczywistością. A te same sygnały, które wskazują konsumencki VPN, wskazują też sieci firmowe, sieci uniwersyteckie, operatorów komórkowych kierujących ruch przez bramy poza stanem oraz funkcje prywatności wbudowane w popularne przeglądarki. Strona, która blokuje wszystko, co wygląda jak VPN, blokuje dużą część uprawnionych odwiedzających, w Utah i wszędzie indziej.

To argument Aylo w jednym zdaniu: jedynym sposobem, by mieć pewność zgodności z prawem w Utah, jest weryfikacja wieku wszystkich i wszędzie, co według słów firmy przed sądem odstraszyłoby do 80 procent jej klientów, albo blokowanie każdego, kto mógłby przypuszczalnie być w Utah. Odpowiedź senatora Musselmana, cytowana przez KUER, brzmi, że „SB 73 dotyczy odpowiedzialności” i że strony mogą weryfikować wiek lub potwierdzać lokalizację, „zachowując jednocześnie opcje szyfrowania dla użytkowników”.

Własna odpowiedź Utah nadchodzi w drodze przepisów wykonawczych. SB 73 upoważnia Wydział do ustalenia w drodze rozporządzenia standardów weryfikacji wieku, z bezpieczną przystanią dla stron, które je spełniają. Proponowane przez Wydział przepisy R152-78B są otwarte na uwagi publiczne do 1 października i mają wejść w życie 8 października, a według XBIZ obejmują standardy dotyczące „zaciemniania geolokalizacji”. To, czego te standardy będą wymagać od strony, zdecyduje, czy klauzula domniemanej lokalizacji jest wykonalnym celem zgodności, czy niemożliwym.

O co chodzi w pozwie Aylo i kiedy sędzia wyda orzeczenie?

Aylo Freesites i Aylo Group wniosły pozew 22 kwietnia 2026 roku do Sądu Okręgowego Stanów Zjednoczonych dla Okręgu Utah, sprawa 2:26-cv-00340, przeciwko Wydziałowi Ochrony Konsumentów, jego dyrektor Katie Hass, Departamentowi Handlu i jego dyrektor wykonawczej Margaret Busse. Sprawę prowadzi sędzia David Barlow. Pozew jest wymierzony konkretnie w przepis o domniemanej lokalizacji i argumentuje, jak podaje Deseret News, że klauzula „przekształca to, co nominalnie jest regulacją Utah, w faktyczny globalny nakaz”, z naruszeniem konstytucyjnych ograniczeń stanowej regulacji handlu międzystanowego i zagranicznego.

Aylo nie kwestionuje weryfikacji wieku jako takiej. Sąd Najwyższy rozstrzygnął tę kwestię w czerwcu 2025 roku w sprawie Free Speech Coalition przeciwko Paxtonowi, utrzymując w mocy teksańską ustawę o weryfikacji wieku. Roszczenie Aylo jest węższe: stan może wymagać kontroli wieku dla swoich mieszkańców, ale nie może obciążać zagranicznej firmy odpowiedzialnością za odwiedzających, których nie ma jak niezawodnie umiejscowić w tym stanie.

Dotychczasowa chronologia, według akt sądowych i pism stron:

Nie ogłoszono daty orzeczenia w sprawie zabezpieczenia. Protokół rozprawy z 30 lipca został złożony 27 sierpnia, a strony uzasadniły przedłużenie tym, by przepisy wykonawcze zdążyły wejść w życie, zanim sprawa ruszy dalej. Kolejnych prawdziwych wiadomości spodziewaj się w październiku, nie we wrześniu.

Które inne stany kopiują podejście Utah?

Weryfikacja wieku na stronach dla dorosłych jest już w Stanach Zjednoczonych normą. Age Verification Providers Association naliczyło co najmniej 25 stanów, które uchwaliły takie ustawy według stanu na luty 2026 roku, a zestawienia aktualizowane latem podają liczbę jeszcze wyższą. Utah było drugim stanem, z ustawą, która weszła w życie 3 maja 2023 roku i skłoniła Pornhub do zablokowania całego stanu dwa dni wcześniej. Google Trends pokazało, że wyszukiwania hasła VPN w Utah wystrzeliły do szczytowej popularności we wczesnych godzinach 2 maja 2023 roku, jak wtedy donosił Newsweek. Ten epizod, bardziej niż cokolwiek innego, wyjaśnia, dlaczego ustawa z 2026 roku w ogóle wspomina o VPN.

Kopiowanie klauzuli VPN to inna sprawa. Ustawodawcy w Michigan zaproponowali w 2025 roku pójście znacznie dalej, z projektem, który wymagałby od dostawców internetu całkowitego blokowania ruchu VPN; utknął on w komisji. Projekt ustawy o weryfikacji wieku w Wisconsin pierwotnie zawierał zapis o VPN, który usunięto w lutym 2026 roku, zanim gubernator zawetował ustawę w kwietniu. Pozew Aylo stwierdza, że żaden stan nie uchwalił wcześniej klauzuli domniemanej lokalizacji, a my nie znaleźliśmy żadnej innej uchwalonej ustawy w USA, która wymienia VPN. Legislatury, które podobno obserwują sprawę, czekają, czy klauzula domniemanej lokalizacji przetrwa wniosek o zabezpieczenie, zanim napiszą własne. W tym sensie Utah jest sprawą testową: wynik w sądzie sędziego Barlowa będzie czytany w dwóch tuzinach innych stolic.

Co powinien zrobić ze swoim VPN ktoś mieszkający w Utah?

Nic, w tym sensie, że nie spadł na Ciebie żaden obowiązek i żaden nie jest proponowany. Kilka praktycznych uwag jednak, bo skutki uboczne takich ustaw odczuwają zwykli użytkownicy, a nie strony, w które są wymierzone.

1. Zostaw VPN włączony do tego, do czego służy. Szyfrowanie w publicznym Wi-Fi, stabilny adres IP do logowań bankowych i służbowych oraz bariera między Twoim przeglądaniem a dostawcą internetu pozostają nietknięte. Jeśli chcesz pobliski punkt wyjścia, Le VPN prowadzi serwer w Salt Lake City obok innych lokalizacji w USA, więc połączenie z Utah może pozostać w Utah.
2. Spodziewaj się, że więcej stron będzie kwestionować ruch VPN, wszędzie. Racjonalną reakcją na zasadę odpowiedzialności bez niezawodnego wykrywania jest nadmierne blokowanie. Jeśli strona, która nie ma nic wspólnego z Utah, zaczyna odrzucać Twoje połączenie VPN, to rozprzestrzeniający się odruch zgodności z przepisami, a nie znak, że Twój VPN robi coś złego. Zwykle wystarczy zmiana serwera.
3. Nie traktuj ustawy jak zagadki do rozwiązania. SB 73 zakazuje objętym stronom uczenia odwiedzających, jak omijać kontrole wieku, i ten artykuł nie zrobi tego za nie. Weryfikacja wieku dla treści dla dorosłych jest zgodna z konstytucją i zostanie na stałe; otwarte pytanie w Utah dotyczy tylko tego, kto ponosi ciężar, gdy narzędzia nie potrafią ustalić, gdzie ktoś jest.
4. Obserwuj październik, nie wrzesień. Termin uwag do przepisów to 1 października, przepisy mogą wejść w życie 8 października, a rozejm egzekucyjny z Aylo kończy się 22 października, chyba że sąd orzeknie wcześniej. Każde z tych wydarzeń może zmienić praktyczny obraz sytuacji i żadne z nich nie miało miejsca w tym tygodniu.

Jeśli chcesz szerszej mapy tego, gdzie VPN jest ograniczany, a gdzie po prostu regulowany, obejmuje ją nasz przewodnik po legalności VPN w 2026 roku, kraj po kraju, a nasza strona o Stanach Zjednoczonych wymienia lokalizacje serwerów w USA. Jako europejską paralelę: francuski regulator przeszedł w zeszłym roku bardzo podobną batalię o kontrole wieku na stronach dla dorosłych; opisaliśmy, jak to się rozegrało, łącznie z tą samą dynamiką nadmiernego blokowania, którą Utah teraz importuje.

Krótka wersja do przekazania każdemu, kto prześle Ci ten nagłówek: ustawa VPN w Utah jest prawdziwa, obowiązuje od maja, reguluje strony internetowe, a nie ludzi, a następna data, która ma znaczenie, to 22 października.