VPN と法律: 法執行機関はどのくらいの頻度で VPN ログを要求するのでしょうか?

VPNは適切に管理されていれば、プライバシーを保護し、オンライン活動を詮索好きな目から隠すための優れた手段です。しかし、すべてのVPNサービスが同じセキュリティ基準を維持しているわけではなく、ユーザーのプライバシーに対して全く同じアプローチを取っているわけでもありません。

あなたのVPNはあなたのデータをどのように扱っているのでしょうか？警察や政府機関がVPNのログを召喚してきた場合、あなたのVPNはどうするのでしょうか？法執行機関によるVPNログの召喚状の歴史は、控えめに言っても曖昧です。大手VPNは年間数百件ものデータ要求を受けますが、実際に提出する内容はそう単純ではありません。そこで、この疑問を解き明かし、あなたのデータがどのように扱われ、どれほど安全なのかをご理解いただけるようお手伝いしたいと思います。

VPN令状とデータ要求の処理

最も多いのはDMCAリクエストで、月間数万件に達することもあります。法執行機関からのリクエストははるかに少なく、大手VPN企業では平均して週に数件から1日に1件程度です。

これらの数字をより正確に把握するには、各VPNプロバイダーのウェブサイトに掲載されている透明性レポート（後ほど詳しく説明します）をご覧ください。私たちが最もおすすめするExpressVPNは、2023年7月から12月にかけて「政府または警察からの要請」を合計194件、DMCAリクエストを152,653件受け取ったと述べています。もう一つの非常に人気のあるサービスであるNordVPNは、2024年1月から4月にかけて「政府機関からの問い合わせ」を合計81件、DMCAリクエストを驚異的な2,421,053件受け取ったと報告しています。つまり、NordVPNが違法海賊版コンテンツを入手する人々にとっての選択肢であることは明らかです。ちなみに、両社ともこれらの要請によってユーザー情報が開示されたことはないと述べています。

Private Internet Access（PIA）、CyberGhost、ProtonVPN、Surfsharkなどの人気サービスも、このデータをウェブサイトに掲載しています。PIAは2024年の最初の4か月間で合計161件の「ユーザーデータに関する政府からの要求」を受けましたが、CyberghostとProtonVPNは2023年全体でそれぞれ3件と60件と、そのごく一部に過ぎません。Surfsharkは残念ながら2021年以降、透明性レポートを更新していませんが、興味深いことに、以前はデータ要求を提出した企業と国を詳細に把握していました。そのうち3分の1は米国からのものでした。

Surfsharkのデータリクエスト — Surfsharkの2021年年次レポートには、各国政府からのデータ要求のヒートマップが示されています。

サーフシャーク

ほとんどのVPNプロバイダーは、ノーログポリシーを謳っています。これは、自社のネットワークを介して送信されるユーザーデータを収集・保存しないことを意味します。理想的な状況では、オンラインでのアクセス場所、ダウンロードした内容、検索した内容に関するデータは記録されません。VPNがこれらの基準を満たしているかどうかは、別途議論する価値のある問題です。

こうしたログなしの約束があっても、VPNサーバー上で違法行為が行われたと疑われる場合、法執行機関やその他の当局が召喚状を出してデータを提出しようとするのを止めることはできません。そして、彼らが召喚状を出しに来た場合、VPNがそれを阻止できることはほとんどありません。

2016年、米国に拠点を置くIPVanishは、国土安全保障省から「記録召喚状」を受け取り、重罪容疑に関するユーザーデータの提出を求められました。当初は提供できる情報はないと主張されていましたが、その後、当該ユーザーに関する一部のデータを政府に提出しました。

記録されている他の事例としては、2016年にPIAに対して行われたデータ開示要求と、2017年にPureVPNに対して行われたログ開示要求が挙げられます。どちらもFBIによるものです。PIAは当局にログを提供する必要がないことを証明することで「ログなし」の約束を守りましたが、PureVPNはFBIと密かに協力し、ユーザーのIPアドレスを提供し、逮捕に至りました。

VPNに対してより厳しい措置が取られた例もあります。2017年には、ExpressVPNのサーバーがトルコ当局に押収されたことで有名です。その結果、データは取得されず、ExpressVPNのノーログの主張をさらに裏付けるものとなりました。

当局が危険な犯罪者を捕まえるために必要な支援を受けることは間違いなく重要ですが、VPN が支援できる範囲は大きく異なります。

VPNが当局からデータ要求を受け取ったかどうかを知るにはどうすればいいでしょうか

法執行機関による令状、召喚状、データ要求の履歴は意図的に不透明になっています。法執行機関は、まさに捜索対象者に手の内を明かしたくないという思惑がある一方で、VPN側は、有料ユーザーをサービスから遠ざける可能性があるため、これらの令状を開示しないというインセンティブがあります。

しかし近年、VPNは透明性の向上に向けて大きく前進しています。ユーザーの信頼を最優先に考え、主要なVPNサービスはデータリクエストに関してよりオープンな姿勢を見せるようになっています。

秘密裏にデータ押収が行われていた時代は終わりました。昨今のVPNは、ユーザーにリクエストを通知するために巧妙な手段を講じることがよくあります。令状カナリアのような手段で情報公開命令を回避したり、一定期間におけるすべてのデータリクエストの詳細を記載した定期的な透明性レポートを公開したりするなどです。プライバシーが最大のセールスポイントである、ユーザーからの信頼を得るVPN業界では、こうした変化は歓迎すべきものです。

令状のカナリア

令状カナリアは、VPNサービスが当局から令状または重大なデータ要求を受けた場合に、ユーザーに警告することを目的としています。通常、令状は企業に対し、問題の公表やユーザーへの警告を禁じる箝口令を発令します。令状カナリアは、こうした箝口令を覆すための試みです。

令状カナリアの仕組みはシンプルです。VPNサービスは数日おきに、当局からの通知を受け取っていないことを通知する通知を公開します。その後、令状が届いた場合、通常の通知の更新が停止され、ユーザーに何らかの異常が発生していることを知らせ、VPNを一時的に慎重に利用するよう促します。

透明性レポート

大手VPNプロバイダーの多くでは、最近の傾向として、令状カナリアから通常の透明性レポート（通常は月次または四半期ごとに公開）への移行が進んでいます。VPNサービスは、透明性レポートは令状カナリアでは提供されない詳細と明確性を提供できると主張しています。しかし、この欠点は、令状カナリアは当局からの要請があった時点でユーザーに通知する可能性があるのに対し、透明性レポートは事後1か月、場合によっては数ヶ月も経ってからユーザーに通知する点です。

エクスプレスVPN

透明性レポートには通常、政府や法執行機関からの要請の総数、制作会社や法律事務所からのDMCA要請などの詳細が記載されます。多くの場合、VPNは、要請によってユーザー関連データが開示されたかどうかも開示します。

より安全なVPNの選び方

では、これらはすべてあなたにとって何を意味するのでしょうか？プライバシーのニーズに合った適切なVPNを選ぶことが最も重要であるという明確な兆候です。VPNがあなたの個人データをどのように扱っているかを知っていると思って選んだのに、裏でずっと違うことをしていたと気づくのは避けたいものです。

最高のVPNであっても、根本的な問題は、その言葉をそのまま信じるしかないということです。世界中の独立監査や透明性レポートをすべて揃えても、VPNがあなたのデータを瞬間瞬間どのように扱っているかを完全に検証するには不十分です。これは、地域外のNetflixをストリーミングしたい一般ユーザーにとっては大きな懸念事項ではないかもしれませんが、ジャーナリスト、反体制派、その他のリスクの高い個人にとっては、生死に関わる問題となり得ます。

VPNを選ぶ主な理由がプライバシー保護である場合は、厳格なノーログポリシーを備えたVPNを探す必要があります。つまり、各社のプライバシーポリシー（通常はウェブサイトに掲載されています）を確認し、どのようなデータを収集し、どのようなデータを収集しないかを確認する必要があります。

次に、その会社が独立したセキュリティ監査を実施しているかどうかを確認しましょう。これは、VPNのサーバーを第三者が監査し、脆弱性がないこと、そしてノーログポリシーの主張を検証するものです。さらに良いのは、定期的に（2年ごとまたは1年ごと）監査を受け、約束を守っていることを確認するVPNプロバイダーを探すことです。

また、国際的な情報共有協定やデータ保持法の適用を受けない、プライバシーに配慮した国に本社を置くVPNを選ぶことも重要です。企業は自社サーバーを所有している必要があり（サードパーティからレンタルするのではなく）、サーバーはRAMのみで動作し、サーバーの再起動後もデータが保存されないよう配慮する必要があります。

さらに、VPNプロバイダーの履歴について少し調べてみると、プライバシーに関する実績をより深く理解するのに役立ちます。2017年にExpressVPNで発生した事件はその好例です。トルコ当局は何も明らかにせず、同社のノーログの評判をさらに強固なものにしました。完璧なVPNは存在しませんが、これらの安全対策を講じることで、データのプライバシーが可能な限り維持されているという安心感を高めることができます。

私たちの推奨事項については、PCWorld のベスト VPN サービスのリストをご覧ください。