Jurisdiction — юрисдикция VPN-сервиса

Определение

Jurisdiction VPN-сервиса — государство, в законах которого зарегистрирована компания, владеющая сервисом, и которое юридически имеет право запрашивать данные пользователей. Не путать с «где находятся серверы» (это network-jurisdiction отдельных нод) — речь именно про корпоративную регистрацию владельца.

Юрисдикция определяет три критичных вопроса:

1. Какие данные обязан хранить VPN по местным законам?
2. Какие запросы от каких государств обязан исполнять?
3. Может ли быть выдан gag order, запрещающий уведомить пользователя?

Категории юрисдикций

Privacy-friendly

Страны без обязательного data retention для VPN-сервисов, с сильным защитой privacy в конституции:

• Швейцария — ProtonVPN. Сильный закон о банковской тайне, аналогичные принципы применимы и к коммуникациям.
• Панама — NordVPN. Нет mandatory retention; запросы исполняются только по местному суду.
• Британские Виргинские острова — ExpressVPN. Offshore-jurisdiction, нет mandatory retention.
• Румыния — CyberGhost. Конституционный суд в 2014 отменил local implementation EU Data Retention Directive.

Risky (Eye-alliance)

• Великобритания — Investigatory Powers Act 2016. Mandatory communications data retention 12 месяцев. Gag orders стандартны.
• США — National Security Letters, FISA Section 702. Gag orders стандартны.
• Канада, Австралия, Новая Зеландия — части Five Eyes. Похожие законы.
• Германия, Франция — части 14 Eyes. Сильные local retention laws.

Hostile to VPN

• Россия — закон 276-ФЗ (2017): VPN обязаны подключаться к ФГИС и блокировать запрещённый контент. Российский VPN, не подключённый к ФГИС, подлежит блокировке.
• Китай — VPN-сервисы нелегальны без государственной лицензии. Серверы внутри Китая никаких privacy-обязательств не имеют.
• Иран, Турция, Беларусь — переменчивая среда, формально часто легально, фактически — постоянное давление.

Юрисдикция vs физическое расположение серверов

Сервер VPN в Швеции может принадлежать компании, зарегистрированной в Панаме. Какая юрисдикция применима к данным на сервере?

Обе.

• Местный сервер (Швеция) подпадает под местные законы (mandatory retention, рейды, ордера). Поэтому Mullvad держит инфраструктуру так, чтобы серверы не могли быть полезны — RAM-only, без локальных state-данных.
• Сама компания (Панама) подпадает под законы своей юрисдикции. Запрос от ФБР в Панаму проходит через MLAT (Mutual Legal Assistance Treaty) и обычно отбивается.

Поэтому корпоративная юрисдикция важнее физического расположения отдельных нод.

Какой подход правильный

1. Юрисдикция — privacy-friendly (не в 14 Eyes).
2. No-logs policy + независимый аудит.
3. Инфраструктура такая, что физические рейды не дают данных — RAM-only servers, diskless deployment, на серверах сразу никакой state.
4. Crypto-payments для разрыва связи аккаунт ↔ реальная личность.
5. Открытые transparency-отчёты — публикация количества полученных запросов и того, что компания не передавала ничего полезного.

Mullvad и ProtonVPN — почти образцово на 2026.

Что у российских VPN

Из крупных коммерческих VPN с российским рынком:

• Durev VPN — российская компания. Соответствие 276-ФЗ не подтверждено (не публичный реестр), не подключён к ФГИС.
• Amnezia VPN — приложение open-source, нет «сервиса» в коммерческом смысле; пользователь поднимает свой сервер.
• Liberty VPN — детали юрисдикции непрозрачны.
• Red Shield VPN — заявлена кипрская/эстонская регистрация.

Российский пользователь сталкивается с парадоксом: «не-российские» VPN заблокированы DPI (трудно подключиться), российские VPN — под jurisdiction’ом, где privacy law слабее западной.

Источники

• Comparitech — VPN Jurisdiction Comparison.
• EU GDPR + Data Retention Directive history (Wikipedia).
• Privacy International — annual reports по surveillance законам.

Связанные термины

• Five Eyes / 9 / 14 Eyes — главные «опасные» альянсы.
• No-logs policy — что технически защищает.
• Warrant canary — сигнальный механизм.