Đọc chính sách quyền riêng tư của VPN một cách tỉnh táo

Danh sách kiểm tra nhanh

Chính sách cho biết gì, không chứng minh được gì

Cam kết công khai và mức nhất quán

Chính sách là cam kết công khai của nhà cung cấp. Nghĩa vụ có thể khác nhau theo nơi người đọc sinh sống, nơi doanh nghiệp đăng ký và nơi xử lý dữ liệu. Văn bản cần mô tả loại dữ liệu, mục đích, thời hạn và bên nhận theo quy định áp dụng. Nó cũng giúp phát hiện mâu thuẫn: dịch vụ hứa ‘không lưu log’ nhưng vẫn nói thu IP hoặc siêu dữ liệu mà không giải thích mục đích là dấu hiệu cần hỏi thêm.

Những điều chính sách không thể chứng minh

Nó không chứng minh không tồn tại nhật ký tạm, dữ liệu ghi vào đĩa ngoài ý muốn, quy trình nội bộ đúng hay cấu hình mạng ổn định. Thiếu kiểm toán độc lập, sự cố được ghi nhận hoặc hạ tầng có thể kiểm tra, việc không thu thập vẫn chỉ là lời tuyên bố.

Thu thập, xử lý, lưu trữ là ba việc khác nhau

VPN phải nhận IP của người dùng khi thiết lập kết nối để định tuyến lưu lượng. Việc nhận dữ liệu về mặt kỹ thuật không đồng nghĩa với lưu lại. Chính sách không lưu nhật ký đáng tin nên giải thích dữ liệu tạm nào cần dùng, dữ liệu nào không được ghi bền vững và khi nào xóa.

Nhật ký bên ngoài khó thấy

Dữ liệu có thể nằm ngoài hệ thống VPN trực tiếp quản lý: nhật ký chống DDoS của đơn vị đặt máy chủ, tường lửa, hệ thống phát hiện hoặc ngăn chặn xâm nhập và giám sát mạng. Nên xem thời gian lưu và quyền truy cập nếu có thông tin. Chính sách cũng chỉ phản ánh một thời điểm và có thể thay đổi.

Các mục cần đọc theo thứ tự

‘Dữ liệu chúng tôi thu thập’: thực tế là gì?

Cần phân biệt ba nhóm:

• Dữ liệu ứng dụng: phiên bản, hệ điều hành, ngôn ngữ, báo cáo sự cố nếu đồng ý và thông tin cần cho hỗ trợ.
• Nhật ký sử dụng: lịch sử truy cập, truy vấn DNS, cổng, giao thức, đích kết nối và mã định danh lâu dài. Việc không lưu phải được nói rõ.
• Nhật ký kết nối: IP nguồn, thời điểm, thời lượng, máy chủ đã dùng và lượng dữ liệu truyền.

Các cụm ‘siêu dữ liệu kỹ thuật’, ‘chẩn đoán ẩn danh’, ‘chống lạm dụng’ hoặc ‘cải thiện hiệu năng’ không tự chúng là vấn đề. Nhưng chính sách phải nói dữ liệu nào được dùng, thu bằng cách nào, giữ bao lâu và có thể liên hệ với tài khoản hay không.

‘Dữ liệu chúng tôi không thu thập’

Một mục rõ ràng nên đề cập IP nguồn, thời điểm, truy vấn DNS, hoạt động và khả năng liên kết phiên với người dùng. Thiếu mục này không chứng minh hãng có thu thập, nhưng khiến lời hứa không lưu nhật ký khó kiểm chứng hơn.

Chia sẻ với bên thứ ba

Bên thứ ba là một phần của chuỗi xử lý và cần được nhận diện. Cụm ‘đối tác đáng tin cậy’ không cho biết ai nhận dữ liệu nào. Đơn vị hoạt động toàn cầu có thể chịu luật ở nơi khác với người đọc hoặc nhà cung cấp VPN.

Đơn vị xử lý thanh toán. Stripe, PayPal, Adyen hoặc BTCPay có thể nhận email tài khoản, thông tin giao dịch và mã tài khoản VPN. Đây không phải nhật ký duyệt web, nhưng có thể liên kết danh tính với thuê bao.

Đơn vị đặt máy chủ. Chính sách nên nói máy chủ do hãng sở hữu hay thuê, ai kiểm soát, có chỉ dùng RAM không và đặt ở đâu. Trung tâm dữ liệu có thể tạo nhật ký riêng ngoài tầm kiểm soát trực tiếp của VPN.

Hỗ trợ và phân tích. Công cụ hỗ trợ xử lý phiếu yêu cầu, email và mã tài khoản. Công cụ phân tích trang web có thể nhận IP truy cập trang, cookie và nhật ký HTTP. Cần phân biệt chúng với lưu lượng trong đường hầm VPN.

Thời gian lưu

Chính sách có thể kiểm tra được phải ghi thời hạn theo từng nhóm. Thời gian giữ chứng từ thanh toán tùy quốc gia; báo cáo lỗi có thể giữ vài ngày hoặc vài tuần. Cam kết không lưu nhật ký VPN nên chỉ rõ không lưu bền vững. Ghi chung ‘chừng nào còn cần thiết’ thì không đủ để kiểm chứng.

Yêu cầu từ cơ quan nhà nước

Cần tách luật nơi người dùng ở, thẩm quyền nơi hãng đăng ký và quy định nơi đặt máy chủ. Bốn điểm giúp đánh giá phản ứng của VPN:

• Báo cáo minh bạch: số lượng, loại yêu cầu và kết quả.
• Quy trình phản đối: cách xử lý yêu cầu quá rộng hoặc thiếu căn cứ.
• Thông báo cho người dùng: chỉ khi thủ tục cho phép.
• Dữ liệu thực sự có: chỉ có thể cung cấp những gì đã được giữ.

Cụm chung chung như ‘hợp tác đầy đủ’ không giải thích được loại dữ liệu có thể chuyển giao.

Thẩm quyền, Việt Nam và các liên minh 5/9/14 Eyes

Hãy phân biệt nơi bạn sinh sống, nơi công ty VPN đăng ký và nơi đặt máy chủ. Tại Việt Nam, chọn máy chủ trong nước không làm thay đổi thẩm quyền của công ty nước ngoài; chọn máy chủ châu Âu cũng không tự chuyển toàn bộ quyền và nghĩa vụ của người dùng sang luật châu Âu. Quy định bảo vệ dữ liệu cá nhân và thủ tục tại Việt Nam cần được xem xét cùng các quy định áp dụng ở những nơi khác. Nếu cần quyết định về quyền pháp lý cụ thể, hãy kiểm tra văn bản hiện hành và tư vấn chuyên môn.

Các nhóm 5/9/14 Eyes liên quan đến chia sẻ tình báo giữa một số nước, không được lập riêng để nhắm vào VPN. Công ty ở quốc gia tham gia vẫn có thể theo đuổi chính sách nghiêm ngặt nếu hạ tầng và kiểm toán hỗ trợ lời hứa không lưu log. Ngược lại, đặt trụ sở ngoài nhóm không bảo đảm gì. Hãy xét cùng lúc chính sách, hạ tầng, kiểm toán, minh bạch và lịch sử hoạt động.

Một chính sách rõ ràng cho thấy gì

Văn bản cụ thể cho thấy mức cẩn trọng về pháp lý, sự nhất quán của cam kết và cách hãng công bố các bên thứ ba. Dấu hiệu tốt gồm ngôn ngữ ít quảng cáo, tách dữ liệu ứng dụng, kết nối và sử dụng; nêu tên bên nhận, thời hạn bằng con số, báo cáo minh bạch và ngày cập nhật gần đây.

Dù vậy, không văn bản nào mô tả hết hành vi thực tế của mạng khi quá tải, các thành phần của đơn vị đặt máy chủ, cơ chế chống lạm dụng nội bộ hay cấu hình đang chạy. Việc đó cần kiểm toán bên ngoài, sự cố có tài liệu hoặc hạ tầng có thể kiểm tra.

Một tín hiệu, không phải bảo đảm

Chính sách chi tiết chưa phải bằng chứng; chính sách mơ hồ cũng chưa phải lời buộc tội. Tuy vậy, sự kết hợp giữa văn bản rõ ràng, kiểm toán, hạ tầng được kiểm soát, báo cáo minh bạch và thẩm quyền được giải thích hợp lý khiến cam kết không lưu nhật ký đáng tin hơn. Hãy xem chính sách như điểm bắt đầu và đối chiếu kiểm toán độc lập với cách đánh giá VPN.