อ่าน Privacy Policy ของ VPN ฟรีอย่างไร ทีละข้อให้เข้าใจ

นโยบายความเป็นส่วนตัวคือเอกสารเดียวที่ VPN ฟรีต้องเขียนเป็นลายลักษณ์อักษรว่าจะทำอะไรกับข้อมูลของคุณ และก็มักเป็นหน้าที่คนอ่านน้อยที่สุดบนอินเทอร์เน็ตด้วย นโยบายยาวหลายพันคำ เขียนโดยนักกฎหมายเพื่อปกป้องบริษัท เต็มไปด้วยวลีอย่าง "พันธมิตรที่เชื่อถือได้" "วัตถุประสงค์ทางธุรกิจ" และ "ตามที่กฎหมายอนุญาต" จึงอ่านผ่าน ๆ ง่ายและตีความผิดง่าย บทความนี้เสนอวิธีอ่านนโยบายของ VPN ฟรีอย่างเป็นขั้นตอน ว่าข้อไหนสำคัญ ถอดความถ้อยคำอย่างไร และตัดสินให้ได้ว่าใช่ ไม่ใช่ หรือ "ขอถามก่อน" ภายในประมาณยี่สิบนาที

บทความพูดถึงวิธีอ่านเอกสาร ไม่ได้พูดถึงบริการใดโดยเฉพาะ และไม่ได้อ้างอะไรเกี่ยวกับพฤติกรรมของบริษัทใด หากอยากเข้าใจภาพใหญ่ว่าผู้ให้บริการมองเห็นอะไรได้บ้างตั้งแต่แรก เริ่มที่ ผู้ให้บริการ VPN เห็นอะไรเกี่ยวกับคุณได้บ้าง

ทำไมเอกสารนี้สำคัญกว่าสำหรับบริการฟรี

VPN อยู่ระหว่างอุปกรณ์ของคุณกับอินเทอร์เน็ต เซิร์ฟเวอร์ของผู้ให้บริการรับส่งทราฟฟิกของคุณ และแอปบนมือถือเห็นว่าคุณใช้แอปหรือที่อยู่ใดบ้าง บริการเสียเงินมีรายได้จากค่าธรรมเนียม นโยบายจึงสั้นได้ ส่วนบริการฟรีต้องหาเงินจากทางอื่น และนโยบายคือที่ที่โมเดลรายได้นั้นปรากฏออกมา หรือซ่อนอยู่

เวลาอ่านจึงควรตั้งคำถามหนึ่งข้อไว้หน้าสุด เงินมาจากไหน และนโยบายสอดคล้องกับคำตอบนั้นหรือเปล่า ถ้าบริการฟรี ไม่มีโฆษณา และไม่มีแพ็กเกจเสียเงินที่ชัดเจน นโยบายควรอธิบายว่าอยู่รอดได้อย่างไร แต่ถ้านโยบายอนุญาตให้แบ่งปันข้อมูลกับผู้ลงโฆษณาหรือ "พันธมิตร" ด้วยวัตถุประสงค์ที่ไม่ระบุ คุณก็เจอโมเดลธุรกิจแล้ว

การอ่านนโยบายบอกไม่ได้ว่าบริษัทซื่อสัตย์หรือไม่ แต่บอกว่าบริษัทสงวนสิทธิ์จะทำอะไรได้บ้าง ซึ่งเป็นสิ่งที่มีประโยชน์ที่สุดที่ลูกค้าควรรู้ก่อนติดตั้ง

ก่อนอ่าน เตรียมเอกสารสามอย่าง

อย่าอ่านนโยบายเดี่ยว ๆ ให้เปิดสามอย่างนี้เทียบกัน

1. ตัวนโยบายความเป็นส่วนตัว ที่ลิงก์จากเว็บไซต์และจากในแอป
2. สรุปความเป็นส่วนตัวในหน้าร้านแอป บน App Store ของ Apple คือส่วน "App Privacy" ซึ่งใช้รูปแบบที่กำหนดไว้ในเอกสารสำหรับนักพัฒนาของ Apple เรื่อง app privacy details ส่วน Google Play ก็มีส่วนความปลอดภัยของข้อมูลในลักษณะคล้ายกัน
3. ข้อกำหนดการใช้บริการ ซึ่งบางครั้งมีการอนุญาตเรื่องข้อมูลที่นโยบายความเป็นส่วนตัวไม่ได้พูดซ้ำ

จากนั้นเปรียบเทียบ สรุปในร้านแอปกับนโยบายควรเล่าเรื่องเดียวกัน ถ้าป้ายในร้านแสดง "ข้อมูลที่ใช้ติดตามคุณ" แต่นโยบายไม่เอ่ยถึงการโฆษณาเลย แปลว่าอย่างใดอย่างหนึ่งผิด ถ้านโยบายบอกว่าแบ่งปันข้อมูลกับ "บริษัทในเครือ" แต่ป้ายบอกว่าไม่แบ่งปันอะไรเลย ป้ายนั้นไม่ครบ ความไม่ตรงกันคือธงแดงข้อแรก และใช้เวลาหาเพียงสองนาที

เจ็ดข้อที่แบกน้ำหนักของนโยบายทั้งฉบับ

นโยบายส่วนใหญ่เป็นข้อความมาตรฐาน เจ็ดหัวข้อต่อไปนี้ตัดสินว่าคุณรับได้หรือไม่

1. เก็บข้อมูลอะไรบ้าง

มองหารายการ ไม่ใช่ประโยคกว้าง ๆ นโยบายที่ใช้ได้จะแยก ข้อมูลบัญชี (อีเมล ข้อมูลการชำระเงิน) ข้อมูลอุปกรณ์ (รุ่น ระบบปฏิบัติการ รหัสโฆษณา) ข้อมูลการเชื่อมต่อ (เวลา IP จริงของคุณ ปริมาณข้อมูลที่ใช้ เซิร์ฟเวอร์ที่เชื่อมต่อ) และ ข้อมูลเนื้อหาหรือการท่องเว็บ (เว็บไซต์ คำขอ DNS) หมวดสุดท้ายอ่อนไหวที่สุดสำหรับ VPN ถ้านโยบายเงียบเรื่องนี้ หรือใช้คำคลุมเครืออย่าง "ข้อมูลการใช้งาน" ให้ถือเป็นช่องว่างที่ต้องถาม

2. เก็บไปเพื่ออะไร

นโยบายที่ดีผูกข้อมูลแต่ละชนิดกับวัตถุประสงค์ เช่นดูแลบัญชี ป้องกันการใช้งานในทางที่ผิด หรือแก้ไขข้อผิดพลาด นโยบายที่อ่อนใช้วลีเหมารวมวลีเดียว เช่น "เพื่อปรับปรุงบริการและเพื่อวัตถุประสงค์ทางธุรกิจ" วัตถุประสงค์เหมารวมเปิดทางให้เกือบทุกอย่าง

3. ใครได้รับข้อมูล

ค้นหาคำว่า "แบ่งปัน" "เปิดเผย" "พันธมิตร" "บริษัทในเครือ" "บุคคลที่สาม" "ผู้ให้บริการ" และ "ผู้ลงโฆษณา" ดูว่าผู้รับถูกระบุเป็นประเภทหรือไม่ และนโยบายบอกว่าขายข้อมูลหรือเปล่า บริการฟรีที่ "ไม่ขายข้อมูลส่วนบุคคล" แต่ "แบ่งปันกับพันธมิตรด้านโฆษณา" ได้พบช่องโหว่ในถ้อยคำ ไม่ใช่คำมั่นว่าจะยับยั้งตัวเอง

4. เก็บนานแค่ไหน

เป็นข้อที่หายไปบ่อยที่สุด มองหาระยะเวลาที่เจาะจง เช่น "ข้อมูลเวลาการเชื่อมต่อถูกลบภายในกำหนดกี่วัน" วลีอย่าง "นานเท่าที่จำเป็น" หรือ "นานเท่าที่กฎหมายอนุญาต" บอกว่าไม่มีขีดจำกัดที่คุณพึ่งพาได้

5. เก็บที่ไหนและอยู่ภายใต้กฎหมายใด

มองหาชื่อทางกฎหมายของบริษัท ที่ตั้งจดทะเบียน และที่ตั้งของเซิร์ฟเวอร์หรือผู้ประมวลผลข้อมูล ประเทศมีผลเพราะแต่ละที่มีกฎเรื่องการเก็บข้อมูลและการส่งข้อมูลให้เจ้าหน้าที่ต่างกัน เขตอำนาจของ VPN คืออะไร อธิบายว่าป้ายที่พบบ่อยหมายถึงอะไรและไม่ได้หมายถึงอะไร

6. สิทธิ์ของคุณและวิธีใช้สิทธิ์

นโยบายที่ใช้งานได้บอกว่าคุณขอดู แก้ไข หรือลบข้อมูลได้อย่างไร เขียนถึงใคร และต้องตอบภายในเวลาเท่าไร ถ้ามีแค่แบบฟอร์มติดต่อทั่วไปและไม่มีขั้นตอนลบข้อมูล เมื่อถึงวันที่คุณต้องการก็คงลำบาก

7. การเปลี่ยนแปลงและช่องทางติดต่อ

ดูว่าบริษัทจะแจ้งเรื่องการอัปเดตอย่างไร "เราอาจปรับปรุงนโยบายนี้ได้ทุกเมื่อ และการที่คุณใช้งานต่อถือว่ายอมรับ" เป็นเรื่องปกติ แต่นโยบายที่ไม่มีวันที่ของฉบับหรือไม่มีที่อยู่ติดต่อถือเป็นสัญญาณที่ไม่ดี

ถอดรหัสถ้อยคำที่พบบ่อย

นี่คือสมุดวลีสั้น ๆ ถ้อยคำเป็นแบบที่พบทั่วไป ไม่ได้ยกมาจากบริการใด

นโยบายเขียนว่า	ในทางปฏิบัติอาจหมายถึง
"เราอาจแบ่งปันข้อมูลกับพันธมิตรที่เชื่อถือได้"	บุคคลที่สามที่ไม่ระบุชื่ออาจได้รับข้อมูลบางส่วนของคุณ
"ข้อมูลที่ไม่ระบุตัวตนหรือข้อมูลรวม"	อาจลบตัวระบุออกแล้ว แต่รูปแบบพฤติกรรมยังขายหรือแบ่งปันได้ ควรถามว่าทำอย่างไร
"เพื่อวัตถุประสงค์ทางธุรกิจ"	วลีเหมารวมที่เปิดทางให้ใช้ได้หลายอย่าง
"เพื่อปรับปรุงบริการของเรา"	การวิเคราะห์และทดสอบ อาจใช้เครื่องมือของบริษัทภายนอก
"เราไม่เก็บบันทึกกิจกรรมการใช้งาน"	เป็นข้ออ้างเรื่องเนื้อหาการท่องเว็บเท่านั้น ต้องตรวจแยกต่างหากเรื่องเวลาเชื่อมต่อและ IP จริงของคุณ
"ตามที่กฎหมายกำหนด"	อาจต้องส่งข้อมูลให้เจ้าหน้าที่เมื่อถูกบังคับตามกฎหมาย สิ่งที่เก็บไว้เป็นตัวกำหนดว่าส่งได้อะไร
"เก็บไว้นานเท่าที่จำเป็น"	ไม่มีวันลบที่แน่นอน
"เราอาจโอนข้อมูลไปต่างประเทศ"	ข้อมูลอาจถูกประมวลผลในที่ที่มีกฎต่างออกไป
"การใช้งานต่อถือเป็นการยอมรับ"	คุณยอมรับการเปลี่ยนแปลงโดยไม่ต้องกดยืนยันแยกต่างหาก

วลีเดี่ยว ๆ ไม่ได้แย่โดยอัตโนมัติ สิ่งสำคัญคือการประกอบกัน ข้อมูลที่ไม่ระบุตัวตน วัตถุประสงค์เหมารวม และไม่มีระยะเวลาเก็บ เมื่อมาอยู่ด้วยกันก็แปลว่า "เราเก็บเท่าที่อยากเก็บ และเราตัดสินใจเองว่าจะทำอะไรกับมัน"

ตารางเวลาอ่านยี่สิบนาที

กำหนดเวลาไว้เพื่อให้ทำจริง

1. นาทีที่ 0-3: รวบรวมและเปรียบเทียบ เปิดนโยบาย ป้ายในร้านแอป และข้อกำหนด จดความไม่ตรงกันไว้
2. นาทีที่ 3-6: อ่านหัวข้อ นโยบายที่ไม่มีหัวข้อชัดเจนเรื่องการเก็บ การแบ่งปัน และระยะเวลาเก็บ ถือเป็นคำเตือนอยู่แล้ว
3. นาทีที่ 6-12: อ่านเจ็ดข้อข้างบน จดด้วยปากกา ไม่ใช่แค่ความรู้สึกไม่สบายใจ
4. นาทีที่ 12-16: ค้นหาในข้อความ ด้วยคำเหล่านี้ "advertis" "sell" "affiliate" "partner" "retain" "log" "IP address" "timestamp" "DNS" "location" "children" "arbitration" (หรือคำไทยที่ตรงกัน) อ่านประโยครอบ ๆ ทุกจุดที่เจอ
5. นาทีที่ 16-18: ตรวจสิทธิ์ ที่แอปขอ เทียบกับวัตถุประสงค์ที่ระบุ VPN ไม่มีเหตุผลชัดเจนที่ต้องเข้าถึงรายชื่อติดต่อหรือไมโครโฟนของคุณ
6. นาทีที่ 18-20: ตัดสินใจ ใช้ใบคะแนนด้านล่าง

หากเจอข้อที่รับไม่ได้ ณ จุดไหนก็ตาม หยุดอ่านได้เลย คุณไม่จำเป็นต้องอ่านจนจบเพื่อปฏิเสธนโยบาย

ใบคะแนนอย่างง่าย

ให้คะแนนแต่ละแถวแล้วรวมกัน ตัวเลขเหล่านี้ไว้เปรียบเทียบเอง ไม่ใช่การจัดอันดับอย่างเป็นทางการ

รายการตรวจ	2 คะแนน	1 คะแนน	0 คะแนน
ระบุข้อมูลที่เก็บ	แยกตามประเภท	กว้างบางส่วน	คลุมเครือหรือไม่มี
กล่าวถึงข้อมูลการเชื่อมต่อและการท่องเว็บ	ชี้แจงชัดพร้อมระยะเวลา	กล่าวบางส่วน	เงียบ
การแบ่งปัน	ระบุประเภท ไม่แบ่งปันเพื่อโฆษณา	มีพันธมิตรที่คลุมเครือบ้าง	โฆษณาหรือ "พันธมิตร" โดยไม่มีขอบเขต
ระยะเวลาเก็บ	ระบุเจาะจง	ระบุบางส่วน	"นานเท่าที่จำเป็น"
ตัวตนและที่ตั้งบริษัท	รายละเอียดทางกฎหมายครบ	บางส่วน	ไม่มี
สิทธิ์ของคุณ	มีขั้นตอนชัด	ติดต่อทั่วไป	ไม่มี
ป้ายในร้านแอปตรงกับนโยบาย	ตรงกัน	ต่างเล็กน้อย	ขัดแย้ง

12 ถึง 14 คะแนนหมายถึงนโยบายที่เจาะจงอย่างน้อยระดับหนึ่ง 7 ถึง 11 คะแนนควรถามก่อนติดตั้ง 6 คะแนนหรือต่ำกว่าควรถอยออกมา และอย่าลืมว่านโยบายที่เขียนดีก็ยังเป็นเพียงคำสัญญา ให้ทดสอบบริการด้วยตัวเองตามนิสัยใน วิธีทดสอบ VPN

อ่านนโยบายเทียบกับตัวแอป

นโยบายพูดถึงเจตนา แอปแสดงพฤติกรรม ใช้เวลาไม่กี่นาทีตรวจว่าสองอย่างนี้ตรงกันไหม

• สิทธิ์ที่แอปขอ เทียบสิ่งที่แอปขอกับสิ่งที่นโยบายบอกว่าเก็บ การขอรายชื่อติดต่อ ตำแหน่งแม่นยำ หรือไมโครโฟน ต้องมีคำอธิบาย
• หน้าต่างขอติดตาม แอปที่ขอติดตามคุณข้ามแอปและเว็บไซต์อื่นบอกสิ่งที่นโยบายอาจเขียนแบบอ่อนโยนไว้
• ไลบรารีของบุคคลที่สาม บนคอมพิวเตอร์บางครั้งดูได้ว่าแอปติดต่อบริษัทไหนบ้าง อย่างน้อยให้ดูในการตั้งค่าของแอปว่ามีสวิตช์วิเคราะห์ข้อมูลหรือโฆษณาตามความสนใจหรือไม่
• การลบบัญชี ถ้านโยบายสัญญาว่าลบเมื่อร้องขอ ให้ตรวจว่ามีทางเริ่มกระบวนการจริงหรือไม่

สำหรับการตรวจเฉพาะแพลตฟอร์ม ดู วิธีตรวจแอป VPN ฟรีบน iPhone และวิธีเปรียบเทียบที่กว้างขึ้นใน วิธีเปรียบเทียบผู้ให้บริการ VPN

ความผิดพลาดที่คนมักทำเมื่ออ่านนโยบาย

• อ่านแต่คำสัญญาบนหน้าเว็บ ไม่เคยอ่านข้อความเต็ม
• ถือว่า "เราให้ความสำคัญกับความเป็นส่วนตัวของคุณ" เป็นข้อผูกพัน มันเป็นประโยค ไม่ใช่ข้อกำหนด
• ไม่ดูวันที่ นโยบายที่ปรับปรุงครั้งสุดท้ายเมื่อหลายปีก่อนอาจไม่ตรงกับแอปปัจจุบัน
• ข้ามส่วนที่พูดถึงเครื่องมือของบุคคลที่สามในแอป
• เข้าใจว่านโยบายยาวคือรอบคอบ ความยาวกับความเจาะจงเป็นคนละเรื่อง
• สับสนระหว่างนโยบายความเป็นส่วนตัวกับข้อกำหนดการใช้บริการ ทั้งสองสำคัญ แต่ตอบคนละคำถาม
• เชื่อว่านโยบายที่ดีทำให้ไม่ต้องตรวจแอปและผู้ให้บริการเอง
• อ่านนโยบายหลังติดตั้งและล็อกอินไปแล้ว แทนที่จะอ่านก่อน

เมื่อนโยบายไม่ผ่านการทดสอบ

คุณมีสามทางเลือกที่สมเหตุสมผล ทางแรกคือถามบริษัทเป็นลายลักษณ์อักษรด้วยคำถามเจาะจง เช่น "ข้อมูลเวลาเชื่อมต่อเก็บนานเท่าไร" แล้วดูว่าคำตอบเป็นคำตอบที่ชัดหรือย่อหน้าสำเร็จรูปที่นำมาใช้ซ้ำ ทางที่สองคือเลือกบริการที่โมเดลไม่พึ่งข้อมูลของคุณ ซึ่งมักเป็นแบบเสียเงินที่มีข้อกำหนดชัด หน้าราคาของ XPASS แสดงตัวอย่างของแบบเติมเงินล่วงหน้าแบบหนึ่ง แต่คุณควรอ่านนโยบายของผู้ให้บริการทุกรายเองด้วยวิธีข้างต้น ทางที่สามคือข้าม VPN สำหรับงานนั้น แล้วใช้เน็ตมือถือบนเครือข่ายที่ไว้ใจได้

สรุป

นโยบายความเป็นส่วนตัวของ VPN ฟรีคุ้มกับเวลายี่สิบนาที เทียบกับป้ายในร้านแอป อ่านเจ็ดข้อที่สำคัญ (เก็บอะไร เพราะอะไร ใครได้รับ เก็บนานแค่ไหน อยู่ที่ไหนภายใต้กฎหมายใด สิทธิ์ของคุณ และการแจ้งเมื่อมีการเปลี่ยนแปลง) ถอดความถ้อยคำคลุมเครือ แล้วให้คะแนนสิ่งที่พบ มองนโยบายเป็นข้ออ้างที่ต้องทดสอบ ไม่ใช่หลักประกัน และตรวจสิทธิ์ที่แอปขอเทียบกับสิ่งที่นโยบายบอก ถ้าเอกสารคลุมเครือในคำถามที่สำคัญ ความคลุมเครือนั้นก็คือคำตอบของคุณ