Політики логування VPN і юрисдикції приватності: довідкова таблиця 2026 року

Майже кожна сторінка приватності VPN каже одні й ті самі три речі: компанія нічого не зберігає, вона зареєстрована десь із дружніми законами, і аудитор колись із цим погодився. Такі заяви нічого не коштують і, доки не надійде судовий наказ чи не прийде поліція з обшуком, їх неможливо перевірити. Ця сторінка - довідник, який я хотів знайти і не зміг: що насправді говорить закон у кожній юрисдикції станом на вересень 2026 року, з посиланням на статут чи рішення суду, і десять найкраще задокументованих випадків, коли поліція перевіряла заяву VPN щодо логування, з тим, що вона забрала з собою.

Коротка версія незручна для всієї індустрії, включно з нами. Країна на сторінці "про нас" виявляється слабким предиктором того, що станеться, коли надійде наказ. Вирішує наявність або відсутність ідентифікаційних даних того самого дня.

Що насправді охоплює політика логування VPN?

Дві різні речі називають "логами", і сторінки приватності навмисно їх змішують. Дані про активність - це те, що ви робили через тунель: сайти, DNS-запити, трафік. Дані про підключення - це облік довкола тунелю: коли акаунт підключився, до якого сервера і скільки даних пройшло. Провайдер може зберігати друге і не зберігати першого, і більшість комерційних сервісів так і роблять, бо інакше важко контролювати зловживання пропускною здатністю та ліміти одночасних підключень.

Питання, яке ставить суд, вужче за обидва: чи може ця компанія сьогодні пов'язати IP-адресу, побачену в певний час, із платним клієнтом? Такий зв'язок може існувати в записі про підключення, в системі акаунтів, у записах платіжного процесора або в інструменті запобігання шахрайству. Він рідко живе там, про що говорить сторінка приватності.

Власна позиція Le VPN вміщується в одне речення: ми зберігаємо логи підключень, але не логи активності. Мета цієї статті - дати вам інструменти для перевірки такого речення, включно з нашим.

Які країни змушують VPN-провайдерів зберігати дані?

Таблиця збирає позицію щодо зберігання даних у юрисдикціях, де зареєстрована більшість комерційних VPN, плюс чотири, які змінили ринок, законодавчо виступивши проти нього. "Стосується VPN" означає, що обов'язок зберігання застосовується до VPN-сервісу, який працює з цієї країни, а не лише до ліцензованих телеком-операторів. Джерела - статут, рішення суду або власна заява уряду, де така існує.

Прочитайте третю колонку зверху вниз, і закономірність очевидна. З 16 юрисдикцій п'ять мають чинний обов'язок зберігання, під який може підпасти VPN, що там працює. Індія прописала своє правило для VPN-сервісів прямо. Росія, Франція, Велика Британія та Австралія написали свої для операторів, хостинг-провайдерів або "телекомунікаційних операторів", і ці визначення досить широкі, щоб дотягнутися до VPN, але досі рідко перевірялися на ньому. Скрізь інде обов'язку немає взагалі. Улюблені країни-"гавані приватності" та нібито ворожі Нідерланди чи Румунія стоять в одному ряду: статуту про зберігання немає.

Чи має ще значення список "П'яти очей"?

Менше, ніж підказує маркетинг. "П'ять очей" (Сполучені Штати, Велика Британія, Канада, Австралія, Нова Зеландія) - це домовленість про обмін радіоелектронною розвідкою, що бере початок від угоди UKUSA 1946 року. Розширення до "Дев'яти" та "Чотирнадцяти очей" походять із документів епохи Сноудена, які описують групу "SIGINT Seniors Europe": вона додає Данію, Францію, Нідерланди та Норвегію, а потім Бельгію, Німеччину, Італію, Іспанію та Швецію. Стаття Wikipedia про "П'ять очей" відстежує первинні документи.

Ці угоди регулюють те, як розвідувальні агентства діляться вже перехопленим. Вони не регулюють те, чи може суддя в Панама-Сіті або Род-Тауні наказати компанії надати записи, а це питання національного кримінального процесу та договорів про взаємну правову допомогу. Панама має MLAT зі Сполученими Штатами з 1995 року; Британські Віргінські острови відповідають на запити через Велику Британію. Друга таблиця нижче показує практичний результат: два чисті американські випадки походять із країни "П'яти очей", а два провайдери, які надали ідентифікаційні дані у 2017 та 2021 роках, базувалися в Гонконгу та Швейцарії.

Визначення, яке варто запам'ятати: юрисдикція VPN - це країна, чиї суди можуть примусити компанію, яка керує сервісом, і це не завжди країна, де стоять сервери, і рідко країна, чий прапор красується на сторінці з цінами.

Які закони про зберігання даних змінюються у 2026 році?

Одночасно відкриті три справи, і всі три перемістили б VPN-провайдерів із колонки "обов'язку немає" в колонку "обов'язок є", якщо їх ухвалять у поточній редакції.

Європейський Союз робить п'яту спробу. Директиву про зберігання даних 2006 року анулювали у справі Digital Rights Ireland (8 квітня 2014 року); національні копії впали у справах Tele2 і Watson (21 грудня 2016 року), La Quadrature du Net (6 жовтня 2020 року) та SpaceNet (20 вересня 2022 року). Суд пом'якшив позицію у справі La Quadrature du Net II (30 квітня 2024 року), допустивши загальне зберігання IP-адрес, прив'язаних до цивільної ідентичності, для звичайних злочинів. Стратегія Комісії ProtectEU від квітня 2025 року пообіцяла нову ініціативу, оцінку впливу відкрили в травні 2025 року, документ головування в Раді від 27 листопада 2025 року зафіксував, що більшість держав-членів хочуть мінімального строку зберігання один рік, який національне право може перевищувати, а на неформальній зустрічі в Дубліні 17 липня 2026 року міністри юстиції підтримали принцип. Текст законопроєкту ще не був опублікований, коли ця стаття вийшла. Сторінка Комісії про зберігання даних - це місце, де він з'явиться першим.

Німеччина намагається випередити Брюссель. Міністерство юстиції опублікувало проєкт 22 грудня 2025 року, кабінет ухвалив його 22 квітня 2026 року, Бундесрат ухвалив свої поправки 12 червня, а Бундестаг провів перше читання 24 червня 2026 року, після чого передав його до комітету. На папері обов'язок вузький (IP-адреса плюс номер порту, 3 місяці, провайдери доступу до інтернету), і галузева асоціація eco вже заявила, що очікує такої самої долі, як у двох попередніх спроб. Німецький VPN - це провайдер доступу у звичайному значенні слова, тож визначення в законопроєкті матимуть значення.

Швейцарія - та, що вдарила б по VPN-компаніях безпосередньо. Проєкт перегляду постанови про стеження (VÜPF) від січня 2025 року пропонував ставитися до "похідних комунікаційних сервісів" із понад 5 000 користувачів як до телеком-операторів: перевіряти особу, зберігати метадані 6 місяців, розшифровувати на запит там, де провайдер тримає ключі. Proton і NymVPN публічно заявили, що підуть, Threema сказала, що оскаржуватиме постанову, а Proton почав виводити інфраструктуру. Дві парламентські ініціативи у вересні 2025 року вимагали переписати документ; 11 лютого 2026 року Федеральна рада опублікувала результати консультації та замовила зовнішнє дослідження регуляторного впливу перед другою консультацією, без зобов'язального графіка. Рядок про дружню Швейцарію на головній сторінці VPN поки що лишається правдивим, і вперше він став умовним.

Які заяви VPN щодо логування перевіряли поліція чи суди?

Це та частина, яку не замінить жодна таблиця юрисдикцій. Десять випадків між 2011 і 2023 роками задокументовані достатньо добре, щоб їх цитувати: судовий документ, власна заява провайдера або обидва. Провайдери названі, бо ці справи публічні; сенс у закономірності, а не в бренді.

Рахуйте як завгодно, і юрисдикція програє. Чотири з десяти видали ідентифікаційні дані: один у Великій Британії, один у Сполучених Штатах, один у Гонконгу, один у Швейцарії. Шість не видали нічого: два у Сполучених Штатах, по одному у Швеції, Швейцарії, на Британських Віргінських островах і в Канаді. Швейцарія з'являється по обидва боки балансу. Дві групи розділяє інженерія та дизайн акаунтів: чи записується IP-адреса колись поруч з ідентифікатором акаунта, і на який строк.

Справа Proton заслуговує на другий погляд, бо це обрис майбутнього. У Proton нічого не зберігалося, і це не мало значення. Швейцарська влада наказала компанії почати збирати IP-адресу одного користувача надалі, і швейцарський закон зобов'язав її підкоритися. Закони про зберігання стосуються минулого; цільові накази про логування стосуються майбутнього, і жодна юрисдикція з першої таблиці їх не забороняє.

Що доводять аудити й сервери лише на RAM, а чого ні?

З 2018 року більші провайдери платять Deloitte, PwC, KPMG або Cure53 за періодичні звіти із запевнення, а приблизно з 2019 року багато хто перейшов на бездискові сервери, які завантажуються з підписаного образу і тримають стан лише в пам'яті. Обидва кроки - справжні покращення. Обидва також вужчі за пресрелізи.

Аудит - це думка про конфігурацію в ті дні, коли аудитор дивився, з обсягом, визначеним провайдером, який за нього заплатив. Читайте розділ про обсяг: більшість охоплює VPN-сервери й виключає системи акаунтів, білінгу та антифроду, де зазвичай і живе зв'язок між IP і клієнтом. Сервери лише на RAM відповідають на конкретну загрозу, вилучену машину, і відповідають добре: чисті результати Mullvad і ExpressVPN завдячують більше цьому дизайну, ніж шведському чи карибському праву. Вони нічого не кажуть про цільовий наказ логувати один акаунт із завтрашнього дня.

Три запитання, які переживають усе це, прості. Чи лежить IP-адреса колись поруч з ідентифікатором акаунта десь у системах компанії? Якщо так, то як довго? І чи можна наказати компанії створити такий зв'язок для одного користувача на запит? Провайдер, чия сторінка приватності відповідає на ці три запитання прямо, сказав вам більше, ніж будь-який значок юрисдикції.

Як прочитати політику приватності VPN за десять хвилин

Знайдіть юридичну особу. Політика приватності або умови назвуть компанію та застосовне право; якщо вони відрізняються від прапора на головній сторінці, перемагає пункт про застосовне право. Знайдіть цю країну в першій таблиці.

Пошукайте в політиці "IP". Кожна політика, яка взагалі згадує IP-адреси, каже або що вони зберігаються (як довго?), або скорочуються, або ніколи не записуються. Мовчання з цього приводу - теж відповідь.

Перевірте платіжний слід. Платежі карткою та PayPal ідентифікують вас для платіжного процесора незалежно від практики самого VPN; готівка і криптовалюта - ні. Саме тому ордер на обшук у Mullvad був приречений із самого початку.

Пошукайте звіт про прозорість або warrant canary і перевірте дати. Звіт, який перестав оновлюватися два роки тому, - це звіт, який зупинився.

Запитайте, що станеться з цільовим наказом. Чесна відповідь у кожній юрисдикції з першої таблиці: "нам довелося б виконати дійсний наказ почати логувати один акаунт". Політика, яка каже інакше, описує країну, якої не існує.

Потім застосуйте ті самі п'ять перевірок до сторінок цього сайту. Компанія Le VPN заснована в Парижі, Франція, у листопаді 2010 року і зберігає логи підключень, але не логи активності. Сторінки про онлайн-приватність та шифрування - це те, з чого варто почати читати. Про технічний бік того, як лишатися прихованим, коли з'єднання обривається, читайте в поясненні kill switch; про рівень ідентичності поза тунелем - у посібнику з анонімної ідентичності.

Як ця таблиця виглядатиме наступного року

Три рядки вище містять дату у 2026 році і потребуватимуть переписування до 2027-го. Якщо Бундестаг ухвалить законопроєкт про зберігання IP, Німеччина переходить у "так", і кожен провайдер доступу там, включно з VPN, починає зберігати 3 місяці призначень адрес. Якщо Комісія опублікує свою пропозицію з мінімальним строком один рік, рядки Нідерландів і Румунії, чисті з 2015 і 2014 років, знову стають актуальними для всього ЄС, включно з Францією. А якщо друга консультація у Швейцарії збереже поріг у 5 000 користувачів, країна, де розташовані найцитованіші компанії з приватності в Європі, стане першою, хто пропише обов'язок зберігання саме для них.

Ніщо з цього не змінює уроку другої таблиці. Закони вирішують, що компанія мусить зберігати. Інженерія вирішує, що в неї є, коли надходить наказ. Судіть про друге, перш ніж довіряти першому.