VPN-tilgang og 18 USC 1030: tillatelser, ikke etiketter

Spørsmålet om VPN-er er lovlige kan ikke besvares uten å navngi en aktivitet og en jurisdiksjon. En ansatt som når en godkjent bedriftstjeneste, en kunde som omgår en regional begrensning, og en besøkende som åpner et system de har fått beskjed om å forlate, har ulike tillatelser og ulike regler. Tunnelprogramvaren er identisk i alle tre tilfeller. Nesten ingenting annet er det.

Tre spørsmål som ikke smelter sammen til ett

Begynn med forbindelsen: hvilken trafikk bærer tunnelen, og hvilken organisasjon driver hver ende? Deretter tillatelsen: hvilken konto, hvilken ressurs og hvilke handlinger har eieren autorisert, og hvilke begrensninger eller varsler fulgte med? Deretter rammeverket: hvilken jurisdiksjon regulerer aktiviteten, avtalen og enhver foreslått konsekvens?

Å endre utgangsadressen kan endre adressen en tjeneste mottar. Det er hele endringen: ingen avtale endres, ingen rettighet oppstår, og ingen domstol har karakterisert noe. Å koble til på nytt beviser at tunnelen virker, og ikke noe mer.

Heller ikke en tjenestes avvisning er en juridisk avgjørelse i motsatt retning. At et nettsted blokkerer en forbindelse, er en politisk beslutning, og å behandle det som en dom over lovligheten forveksler de samme to lagene fra motsatt side. Lagene påvirker hverandre, men ingen av dem blir den andre. Det er adskillelsen som gjør resten av diskusjonen nyttig.

Hva det lovmessige eksempelet faktisk beskriver

Loven i 18 USC 1030, vanligvis kalt Computer Fraud and Abuse Act, dekker bestemt atferd knyttet til beskyttede maskiner. For eksempel handler ledd (a)(2) om å bevisst nå en slik maskin uten tillatelse, eller å gå ut over den gitte tillatelsen, og ta bestemte typer informasjon i prosessen. Teksten som siteres her, er den offisielle sammenstillingen til og med 20. oktober 2026.

Legg merke til hva den setningen gjør, og hva den ikke gjør. Den navngir atferd og vilkår; den kunngjør ikke at VPN-bruk er forbudt. Den kan heller ikke si deg om en bestemt endring av IP-adresse tilsvarer å nå en datamaskin uten tillatelse, fordi den konklusjonen avhenger av fakta og av hvordan bestemmelsen tolkes.

Ledd (g) tilfører en sivil vei med egne vilkår. Strafferettslig ansvar, et lovfestet sivilt krav og en tjeneste som suspenderer en konto, er tre separate utfall, og ingen av dem følger automatisk av et annet. Ingenting i dette sammendraget avgjør hvilket av dem, om noen, som passer i en gitt sak.

Det er også derfor eksempelet er avgrenset. Det dekker utvalgte bestemmelser, ikke enhver sak, påtalepolitikk eller andre lands lov. Å gjøre en overskrift om en gammel tvist til en regel for alle tjenester og jurisdiksjoner er nettopp feilen som inndelingen i tre spørsmål finnes for å hindre.

Avtale, tilgang og rettsmiddel er forskjellige

For ethvert konkret spørsmål, samle fem ting: versjonen av vilkårene som gjelder, tillatelsen som ble gitt, ethvert varsel eller begrensning som fulgte med, hvilken konto som er involvert, og en presis beskrivelse av hva som gjøres. En påstand om bosted, et spørsmål om automatiserte forespørsler og en anmodning om å administrere en privat maskin reiser separate spørsmål, og å brette dem inn i én kategori gir dårlig rådgivning.

Ved feil klassifisering, bruk tjenestens støttede korrigerings- eller unntaksprosess. Ved et organisatorisk krav, få ressurseieren til å godkjenne en passende rute. Unntaket bør angi hva som er tillatt, i stedet for å endre en kontos identitet eller plasseringpåstander i det stille for å passe en kontroll.

Hvis utfallet kan ha betydning, gi de konkrete fakta til en advokat som er kvalifisert i den relevante jurisdiksjonen. Ikke anta at suspensjon er det eneste mulige resultatet, og ikke anta at aksept av en tjenestes vilkår gjør hver klausul og hvert rettsmiddel håndhevbar.

Hva du bør legge frem for en vurderer

Skriv ned situasjonen slik at en annen person kan vurdere den uten å gjette:

De radene gjør en vag bekymring til et spørsmål som kan vurderes, og de viser hvilket lag en tvist egentlig handler om. Uenighet om vilkårene er ikke det samme som uenighet om autorisasjon, og ingen av dem er det samme som et spørsmål om en lov. Å navngi laget først sparer alle for et møte.

Angi også grensene for svaret. Et sammendrag av én bestemmelse er ikke juridisk rådgivning for en bestemt person, og at et verktøy er mye brukt, beviser ikke at en bestemt bruk er tillatt.