Polityki logowania VPN i jurysdykcje prywatności: tabela referencyjna 2026

Niemal każda strona o prywatności VPN mówi te same trzy rzeczy: firma nic nie przechowuje, ma siedzibę w kraju z przyjaznym prawem, a audytor kiedyś to potwierdził. Takie deklaracje są tanie, a dopóki nie nadejdzie nakaz sądowy albo policyjne przeszukanie, nie da się ich sprawdzić. Ta strona to zestawienie, którego szukałem i nie mogłem znaleźć: co faktycznie mówi prawo w każdej jurysdykcji według stanu na wrzesień 2026 roku, z linkiem do ustawy lub wyroku, oraz dziesięć najlepiej udokumentowanych spraw, w których policja przetestowała deklarację logowania VPN, wraz z tym, z czym odeszła.

Krótka wersja jest niewygodna dla całej branży, łącznie z nami. Kraj podany na stronie o firmie okazuje się słabym predyktorem tego, co się dzieje, gdy nadchodzi nakaz. Decyduje obecność lub brak danych identyfikujących w danym dniu.

Co faktycznie obejmuje polityka logowania VPN?

Dwie różne rzeczy nazywa się "logami", a strony o prywatności celowo zacierają tę różnicę. Dane o aktywności to to, co robiłeś przez tunel: strony, zapytania DNS, ruch. Dane o połączeniach to księgowość wokół tunelu: kiedy konto się połączyło, z którym serwerem i ile danych przepłynęło. Dostawca może przechowywać te drugie bez tych pierwszych i większość komercyjnych usług tak robi, bo inaczej trudno egzekwować limity nadużyć pasma i jednoczesnych połączeń.

Pytanie, które zadaje sąd, jest węższe niż oba: czy ta firma może dziś powiązać adres IP widziany o danej godzinie z płacącym klientem? Takie powiązanie może istnieć w rekordzie połączenia, w systemie kont, w dokumentacji operatora płatności albo w narzędziu antyfraudowym. Rzadko znajduje się tam, o czym mówi strona o prywatności.

Stanowisko Le VPN mieści się w jednym zdaniu: przechowujemy logi połączeń, a nie logi aktywności. Celem tego artykułu jest danie Ci narzędzi do sprawdzenia takiego zdania, również naszego.

Które kraje zmuszają dostawców VPN do przechowywania danych?

Tabela zestawia stan retencji w jurysdykcjach, w których zarejestrowana jest większość komercyjnych VPN, plus cztery, które zmieniły rynek, uchwalając wymierzone w niego przepisy. "Obejmuje VPN" oznacza, że obowiązek retencji dotyczy usługi VPN działającej z tego kraju, a nie tylko licencjonowanych operatorów telekomunikacyjnych. Źródłem jest ustawa, wyrok albo oświadczenie samego rządu, wszędzie tam, gdzie takie istnieje.

Przeczytaj trzecią kolumnę, a wzorzec jest jasny. Z 16 jurysdykcji pięć ma obowiązujący obowiązek retencji, pod który mógłby podlegać działający tam VPN. Indie napisały swój przepis z myślą o usługach VPN wprost. Rosja, Francja, Wielka Brytania i Australia napisały swoje z myślą o operatorach, dostawcach hostingu lub "operatorach telekomunikacyjnych", a to definicje na tyle szerokie, by objąć VPN, i jak dotąd rzadko testowane wobec któregokolwiek. Wszędzie indziej nie ma żadnego obowiązku. Ulubione "oazy prywatności" i rzekomo wroga Holandia czy Rumunia siedzą w tym samym rzędzie: brak ustawy o retencji.

Czy lista Five Eyes nadal ma znaczenie?

Mniejsze, niż sugeruje marketing. Five Eyes (Stany Zjednoczone, Wielka Brytania, Kanada, Australia, Nowa Zelandia) to porozumienie o wymianie wywiadu sygnałowego sięgające umowy UKUSA z 1946 roku. Rozszerzenia Nine i Fourteen Eyes pochodzą z dokumentów z czasów Snowdena opisujących grupę "SIGINT Seniors Europe", która dodaje Danię, Francję, Holandię i Norwegię, a następnie Belgię, Niemcy, Włochy, Hiszpanię i Szwecję. Hasło Five Eyes w Wikipedii śledzi dokumenty źródłowe.

Te porozumienia regulują to, jak agencje wywiadowcze dzielą się tym, co już przechwyciły. Nie regulują tego, czy sędzia w mieście Panama albo w Road Town może nakazać firmie wydanie dokumentacji, bo to kwestia krajowej procedury karnej i umów o wzajemnej pomocy prawnej. Panama ma umowę MLAT ze Stanami Zjednoczonymi od 1995 roku; Brytyjskie Wyspy Dziewicze odpowiadają na wnioski za pośrednictwem Wielkiej Brytanii. Druga tabela poniżej pokazuje praktyczny wynik: dwie czyste sprawy z USA pochodzą z kraju Five Eyes, a dwaj dostawcy, którzy przekazali dane identyfikujące w 2017 i 2021 roku, mieli siedziby w Hongkongu i Szwajcarii.

Definicja warta zapamiętania: jurysdykcja VPN to kraj, którego sądy mogą wydać wiążący nakaz firmie prowadzącej usługę, co nie zawsze jest krajem, w którym stoją serwery, i rzadko krajem, którego flaga widnieje na stronie z cennikiem.

Które przepisy o retencji zmieniają się w 2026 roku?

Trzy sprawy toczą się jednocześnie i wszystkie trzy przeniosłyby dostawców VPN z kolumny "brak obowiązku" do kolumny "obowiązek", jeśli przejdą w obecnym kształcie.

Unia Europejska podejmuje piątą próbę. Dyrektywa o retencji danych z 2006 roku została unieważniona w sprawie Digital Rights Ireland (8 kwietnia 2014); krajowe kopie upadły w sprawach Tele2 i Watson (21 grudnia 2016), La Quadrature du Net (6 października 2020) i SpaceNet (20 września 2022). Trybunał złagodził stanowisko w sprawie La Quadrature du Net II (30 kwietnia 2024), akceptując ogólną retencję adresów IP powiązanych z tożsamością cywilną na potrzeby zwykłej przestępczości. Strategia Komisji ProtectEU z kwietnia 2025 roku obiecała nową inicjatywę, w maju 2025 roku otwarto ocenę skutków, dokument prezydencji Rady z 27 listopada 2025 roku odnotował, że większość państw członkowskich chce minimum rocznej retencji, które prawo krajowe mogłoby przekroczyć, a na nieformalnym spotkaniu w Dublinie 17 lipca 2026 roku ministrowie sprawiedliwości poparli tę zasadę. Tekst legislacyjny wciąż nie był opublikowany, gdy ten artykuł trafił do sieci. Strona Komisji o retencji danych to miejsce, w którym pojawi się najpierw.

Niemcy próbują wyprzedzić Brukselę. Ministerstwo Sprawiedliwości opublikowało projekt 22 grudnia 2025 roku, rząd przyjął go 22 kwietnia 2026 roku, Bundesrat przyjął swoje poprawki 12 czerwca, a Bundestag przeprowadził pierwsze czytanie 24 czerwca 2026 roku, po czym skierował projekt do komisji. Obowiązek jest na papierze wąski (adres IP plus numer portu, 3 miesiące, dostawcy dostępu do internetu), a stowarzyszenie branżowe eco już zapowiedziało, że spodziewa się takiego samego losu jak w przypadku dwóch poprzednich prób. Niemiecki VPN jest dostawcą dostępu w zwykłym znaczeniu tego słowa, więc definicje w ustawie będą miały znaczenie.

Szwajcaria to ten przypadek, który uderzyłby w firmy VPN bezpośrednio. Projekt rewizji rozporządzenia o inwigilacji (VÜPF) ze stycznia 2025 roku proponował traktowanie "pochodnych usług komunikacyjnych" z ponad 5000 użytkowników jak operatorów telekomunikacyjnych: weryfikacja tożsamości, przechowywanie metadanych przez 6 miesięcy, deszyfrowanie na żądanie tam, gdzie dostawca ma klucze. Proton i NymVPN publicznie zapowiedziały, że wyjadą, Threema zapowiedziała walkę z rozporządzeniem, a Proton zaczął przenosić infrastrukturę za granicę. Dwa wnioski parlamentarne we wrześniu 2025 roku zażądały przeredagowania; 11 lutego 2026 roku Rada Federalna opublikowała wyniki konsultacji i zleciła zewnętrzne badanie skutków regulacji przed drugimi konsultacjami, bez wiążącego harmonogramu. Hasło o przyjaznej Szwajcarii na stronie głównej VPN jest, na razie, wciąż prawdziwe, i po raz pierwszy jest warunkowe.

Które deklaracje logowania VPN zostały przetestowane przez policję lub sądy?

To ta część, której żadna tabela jurysdykcji nie zastąpi. Dziesięć spraw z lat 2011 do 2023 jest udokumentowanych na tyle dobrze, by je cytować: pismo sądowe, oświadczenie samego dostawcy albo jedno i drugie. Dostawcy są wymieniani z nazwy, bo sprawy są jawne; chodzi o wzorzec, nie o markę.

Licz to, jak chcesz, a jurysdykcja przegrywa. Cztery z dziesięciu spraw ujawniły dane identyfikujące: jedna w Wielkiej Brytanii, jedna w Stanach Zjednoczonych, jedna w Hongkongu, jedna w Szwajcarii. Sześć nie ujawniło nic: dwie w Stanach Zjednoczonych, po jednej w Szwecji, Szwajcarii, na Brytyjskich Wyspach Dziewiczych i w Kanadzie. Szwajcaria pojawia się po obu stronach bilansu. Obie grupy rozdziela inżynieria i konstrukcja systemu kont: czy adres IP jest kiedykolwiek zapisywany obok identyfikatora konta i na jak długo.

Sprawa Protona zasługuje na drugie spojrzenie, bo pokazuje kształt przyszłości. Proton nie miał nic zapisanego i nie miało to znaczenia. Szwajcarskie władze nakazały firmie rozpocząć zbieranie adresu IP jednego użytkownika na przyszłość, a szwajcarskie prawo zobowiązało ją do posłuszeństwa. Przepisy o retencji dotyczą przeszłości; ukierunkowane nakazy rejestrowania dotyczą przyszłości i żadna jurysdykcja z pierwszej tabeli ich nie zakazuje.

Co dowodzą audyty i serwery działające tylko w pamięci RAM, a czego nie?

Od 2018 roku więksi dostawcy płacą Deloitte, PwC, KPMG lub Cure53 za okresowe raporty poświadczające, a od około 2019 roku wielu przeszło na serwery bezdyskowe, które uruchamiają się z podpisanego obrazu i trzymają stan wyłącznie w pamięci. Obie zmiany to realne ulepszenia. Obie są też węższe niż komunikaty prasowe.

Audyt to opinia o konfiguracji w dniach, w których audytor ją oglądał, o zakresie ustalonym przez dostawcę, który za niego zapłacił. Przeczytaj sekcję o zakresie: większość obejmuje serwery VPN i wyłącza systemy kont, rozliczeń i antyfraudowe, gdzie zwykle mieszka powiązanie IP z klientem. Serwery działające tylko w pamięci RAM odpowiadają na konkretne zagrożenie, czyli przejętą maszynę, i odpowiadają dobrze: czyste wyniki Mullvad i ExpressVPN zawdzięczają więcej tej konstrukcji niż szwedzkiemu czy karaibskiemu prawu. Nie mówią nic o ukierunkowanym nakazie rejestrowania jednego konta od jutra.

Trzy pytania, które przetrwają to wszystko, są proste. Czy adres IP kiedykolwiek leży obok identyfikatora konta gdziekolwiek w systemach firmy? Jeśli tak, na jak długo? I czy firmie można nakazać stworzenie takiego powiązania dla jednego użytkownika na żądanie? Dostawca, którego strona o prywatności odpowiada na te trzy pytania wprost, powiedział Ci więcej niż jakakolwiek odznaka jurysdykcji.

Jak przeczytać politykę prywatności VPN w dziesięć minut

Znajdź podmiot prawny. Polityka prywatności lub regulamin wymieni firmę i prawo właściwe; jeśli różnią się od flagi na stronie głównej, wygrywa klauzula prawa właściwego. Sprawdź ten kraj w pierwszej tabeli.

Wyszukaj w polityce "IP". Każda polityka, która w ogóle wspomina o adresach IP, mówi albo że są przechowywane (na jak długo?), skracane, albo nigdy nie zapisywane. Milczenie w tej kwestii też jest odpowiedzią.

Sprawdź ślad płatności. Płatności kartą i PayPal identyfikują Cię wobec operatora płatności niezależnie od praktyki samego VPN; gotówka i kryptowaluty nie. Dlatego nakaz przeszukania u Mullvad od początku był skazany na niepowodzenie.

Poszukaj raportu przejrzystości lub warrant canary i sprawdź daty. Raport, który przestał być aktualizowany dwa lata temu, to raport, który się skończył.

Zapytaj, co dzieje się z ukierunkowanym nakazem. Uczciwa odpowiedź, w każdej jurysdykcji z pierwszej tabeli, brzmi: "musielibyśmy zastosować się do ważnego nakazu rozpoczęcia rejestrowania jednego konta". Polityka, która mówi inaczej, opisuje kraj, który nie istnieje.

Następnie zastosuj te same pięć testów do stron w tym serwisie. Firma Le VPN została założona w Paryżu, we Francji, w listopadzie 2010 roku i przechowuje logi połączeń, a nie logi aktywności. Strony o prywatności online i szyfrowaniu to miejsce, od którego warto zacząć czytanie. Techniczną stronę pozostawania w ukryciu, gdy połączenie się zrywa, wyjaśnia artykuł o kill switchu; warstwę tożsamości poza tunelem opisuje przewodnik po anonimowej tożsamości.

Jak ta tabela będzie wyglądać za rok

Trzy z powyższych wierszy noszą datę z 2026 roku i do 2027 roku będą wymagać przepisania. Jeśli Bundestag uchwali ustawę o retencji adresów IP, Niemcy przechodzą na "tak" i każdy tamtejszy dostawca dostępu, VPN włącznie, zaczyna przechowywać 3 miesiące przydziałów adresów. Jeśli Komisja opublikuje swoją propozycję z minimum rocznej retencji, wiersze Holandii i Rumunii, czyste od 2015 i 2014 roku, wracają do gry w całej UE, łącznie z Francją. A jeśli drugie konsultacje w Szwajcarii utrzymają próg 5000 użytkowników, kraj goszczący najczęściej cytowane firmy prywatnościowe w Europie stanie się pierwszym, który napisze obowiązek retencji specjalnie dla nich.

Nic z tego nie zmienia lekcji z drugiej tabeli. Prawo decyduje o tym, co firma musi przechowywać. Inżynieria decyduje o tym, co ma w chwili nadejścia nakazu. Oceń to drugie, zanim zaufasz pierwszemu.