เช็ก Privacy Policy ของ VPN ด้วย 15 คำถาม

นโยบายความเป็นส่วนตัวเป็นเอกสารเดียวที่บริษัท VPN ต้องเขียนเป็นลายลักษณ์อักษรว่าจะทำอะไรกับข้อมูลของคุณ คนส่วนใหญ่ไม่เคยเปิดอ่าน และคนที่เปิดมักยอมแพ้หลังเจอถ้อยคำทางกฎหมายหน้าจอแรก ซึ่งเข้าใจได้ แต่ก็ทำให้หลักฐานสำคัญที่สุดไม่ถูกอ่าน VPN อยู่ระหว่างคุณกับอินเทอร์เน็ต สิ่งที่บริษัทเก็บเกี่ยวกับคุณจึงเป็นหัวใจของผลิตภัณฑ์

บทความนี้ให้วิธีที่ใช้ซ้ำได้ คือสิบห้าคำถามง่าย ๆ แบ่งเป็นห้ากลุ่มกลุ่มละสามข้อ ใช้ถามนโยบายความเป็นส่วนตัวของ VPN ได้ทุกฉบับในเวลาราวสิบห้านาที แต่ละข้อจะบอกว่าคำตอบที่ชัดเจนฟังเป็นอย่างไรและคำตอบที่อ่อนเป็นอย่างไร ไม่ต้องมีความรู้กฎหมาย ต้องการเพียงความอดทน ปากกา และความกล้าจะทำเครื่องหมายว่า "ไม่มีคำตอบ" เมื่อไม่มีจริง ๆ ถ้าอยากเข้าใจภูมิหลังกว้างขึ้นว่าผู้ให้บริการสังเกตอะไรได้ตั้งแต่แรก เริ่มที่ ผู้ให้บริการ VPN เห็นอะไรเกี่ยวกับคุณได้บ้าง

วิธีใช้เช็กลิสต์

เปิดนโยบายความเป็นส่วนตัวในหน้าต่างหนึ่ง และเปิดโน้ตอีกหน้าต่างหนึ่ง สำหรับแต่ละคำถาม ให้บันทึกหนึ่งในสามเครื่องหมาย

• ชัดเจน นโยบายให้คำตอบเฉพาะเจาะจงที่อ่านเข้าใจ เช่น ระบุหมวดข้อมูลและกรอบเวลา
• คลุมเครือ นโยบายแตะเรื่องนั้น แต่ใช้คำกว้าง ๆ เช่น "อาจ" "ข้อมูลบางอย่าง" "ตามความจำเป็น" โดยไม่บอกว่าอะไรหรือนานเท่าไร
• ไม่มี นโยบายไม่พูดถึงคำถามนั้นเลย

นับคะแนนตอนท้าย คำตอบชัดเจนได้สองคะแนน คลุมเครือได้หนึ่ง ไม่มีได้ศูนย์ คะแนนเต็มคือสามสิบ ไม่มีเกณฑ์ผ่านวิเศษ แต่เป็นแนวคร่าว ๆ คะแนนช่วงยี่สิบบ่งว่าบริษัทคิดเรื่องเหล่านี้มาแล้ว ช่วงสิบกว่า ๆ บ่งว่ามีช่องว่างที่ควรถาม และคะแนนหลักเดียวบ่งว่าควรมองหาที่อื่น

มีสองเคล็ดลับก่อนเริ่ม ข้อแรก อ่านนโยบายที่ใช้กับแอปและบริการ ไม่ใช่เฉพาะของเว็บไซต์การตลาด บางบริษัทแยกเป็นหลายเอกสาร ข้อสอง จดวันที่ไว้ นโยบายที่ไม่อัปเดตมาหลายปีอาจไม่ได้อธิบายผลิตภัณฑ์ปัจจุบัน

คำถามที่ 1 ถึง 3: ใครอยู่เบื้องหลังนโยบาย

กลุ่มนี้เกี่ยวกับความรับผิดชอบ คำสัญญาจากฝ่ายที่ไม่มีชื่อมีค่าน้อย

1. บริษัทใดเป็นผู้รับผิดชอบ และจดทะเบียนที่ไหน มองหาชื่อบริษัท ประเทศที่จดทะเบียน และที่อยู่ทางไปรษณีย์ ไม่ใช่แค่ชื่อแบรนด์ คำตอบที่ชัดระบุนิติบุคคลที่ตัดสินใจว่าจะเกิดอะไรกับข้อมูลของคุณ ระวังนโยบายที่พูดถึง "เรา" โดยไม่เคยบอกว่า "เรา" คือใคร

2. ติดต่อใครเรื่องข้อมูลของฉันได้อย่างไร นโยบายที่แข็งแรงมีช่องทางเฉพาะ เช่น กล่องอีเมลเรื่องความเป็นส่วนตัวหรือแบบฟอร์ม และบอกว่าตอบเร็วแค่ไหน ระวังเมื่อช่องทางเดียวเป็นอีเมลฝ่ายขายทั่วไปหรือบัญชีโซเชียลมีเดีย

3. นโยบายอัปเดตล่าสุดเมื่อไร และดูฉบับก่อนหน้าได้หรือไม่ มองหาวันที่ที่มองเห็นได้ และถ้าเป็นไปได้ ประวัติการเปลี่ยนแปลงสั้น ๆ ระวังหน้าที่ไม่ลงวันที่ วันที่ช่วยให้คุณสังเกตได้ว่าข้อกำหนดเปลี่ยนไปตั้งแต่ตอนที่คุณสมัคร

คำถามที่ 4 ถึง 6: เก็บอะไรตอนสมัครและชำระเงิน

กลุ่มนี้ครอบคลุมข้อมูลที่คุณยื่นให้เองโดยตั้งใจ

4. ต้องใช้ข้อมูลบัญชีอะไรบ้าง คำตอบทั่วไปมีอีเมล ชื่อผู้ใช้ และรหัสผ่าน นโยบายที่ดีบอกว่าช่องไหนบังคับ ช่องไหนไม่บังคับ ระวังเมื่อบริการขอเบอร์โทร ชื่อจริง หรือตำแหน่งที่ตั้งโดยไม่บอกเหตุผล

5. บริษัทถือข้อมูลการชำระเงินอะไรบ้าง นโยบายควรบอกว่ารายละเอียดบัตรถูกจัดการโดยผู้ประมวลผลภายนอกหรือไม่ และบริษัทเองได้รับอะไรหลังจากนั้น เช่น การยืนยันการชำระเงินหรือเลขท้ายของบัตร ระวังถ้าเงียบเรื่องการเรียกเก็บเงิน หรือเขียนแค่ว่า "อาจเก็บข้อมูลการชำระเงิน" โดยไม่มีรายละเอียด เรื่องการชำระเงินสำคัญกว่าที่คนคิด ดูอธิบายในสิ่งที่ควรตรวจก่อนจ่ายเงินซื้อ VPN

6. แอปเก็บอะไรจากอุปกรณ์ของฉัน มองหารายการที่ครอบคลุมประเภทอุปกรณ์ เวอร์ชันแอป รายงานแอปแครช และตัวระบุใด ๆ หน้ารายการของแอปในสโตร์มักสรุปไว้ในส่วนการเปิดเผยข้อมูล ซึ่งเทียบกับนโยบายได้ ระวังสิทธิ์กว้าง ๆ เช่น เข้าถึงรายชื่อผู้ติดต่อหรือตำแหน่งแม่นยำ ซึ่ง VPN ไม่จำเป็นต้องใช้เพื่อทำงาน

คำถามที่ 7 ถึง 9: เก็บอะไรขณะที่คุณใช้บริการ

กลุ่มนี้สำคัญที่สุดสำหรับ VPN เพราะบริการอยู่บนเส้นทางทราฟฟิกของคุณ

7. มีข้อมูลการเชื่อมต่ออะไรเกิดขึ้น และผูกกับบัญชีของฉันหรือไม่ ข้อมูลการเชื่อมต่ออาจรวมเวลาที่เชื่อมต่อ ระยะเวลา ปริมาณข้อมูลที่ไหล และที่อยู่เครือข่ายที่คุณเชื่อมต่อจาก นโยบายที่แข็งแรงบอกว่ามีอะไรเกิดขึ้นบ้าง ผูกกับบัญชีหรือไม่ และเก็บนานแค่ไหน ระวังประโยคทั่วไป เช่น "เราเคารพความเป็นส่วนตัวของคุณ" ที่เลี่ยงรายละเอียด

8. นโยบายพูดถึงเนื้อหาและปลายทางของทราฟฟิกของฉันหรือไม่ นโยบายควรระบุตรง ๆ ว่าบันทึกเว็บไซต์ที่คุณเข้าหรือเนื้อหาที่คุณส่งหรือไม่ ถ้าบอกว่าไม่ ดูถ้อยคำของคำอ้างนั้น ครอบคลุมทุกอย่างหรือแค่บางอย่าง ลองถามว่านิยามของคำว่า "กิจกรรม" เขียนไว้ชัดหรือปล่อยให้ผู้อ่านจินตนาการเอง ระวังสโลแกนสมบูรณ์แบบที่ไม่นิยามว่า "กิจกรรม" ครอบคลุมอะไร

9. มีเครื่องมือวิเคราะห์หรือตัวติดตามฝังอยู่ในแอปหรือเว็บไซต์หรือไม่ หลายแอปมีโค้ดของบุคคลที่สามที่วัดการใช้งานหรือแสดงโฆษณา นโยบายที่ชัดเจนระบุหมวดการติดตามที่ใช้และอธิบายวิธีปิด ระวังนโยบายที่พูดถึง "พาร์ตเนอร์" โดยไม่ระบุวัตถุประสงค์ นี่คือคำถามที่บริการฟรีมักต่างจากบริการเสียเงินมากที่สุด ดูอธิบายในVPN ฟรีปลอดภัยหรือไม่

คำถามที่ 10 ถึง 12: การเก็บรักษาและการแบ่งปัน

การเก็บข้อมูลเป็นเรื่องหนึ่ง เรื่องสำคัญกว่าคือข้อมูลอยู่นานแค่ไหนและใครอื่นได้รับ

10. ข้อมูลแต่ละประเภทเก็บนานเท่าไร นโยบายที่ดีให้ระยะเวลาเก็บแยกตามหมวด เช่น "ข้อมูลบัญชีจนแพ็กเกจสิ้นสุด บวกอีกจำนวนเดือนที่ระบุ" ระวัง "นานเท่าที่จำเป็น" และถ้อยคำคล้ายกัน ซึ่งไม่กำหนดเพดาน

11. แบ่งปันข้อมูลกับใคร เพื่อวัตถุประสงค์อะไร มองหาหมวดที่ระบุชื่อ เช่น ผู้ประมวลผลการชำระเงิน ผู้ให้บริการโฮสติ้ง และบริการส่งอีเมล พร้อมเหตุผลของแต่ละอย่าง ระวังการแบ่งปันกับ "บริษัทในเครือ" "พาร์ตเนอร์" หรือ "ผู้ลงโฆษณา" ที่ไม่ระบุตัว และถ้อยคำใดที่เปิดทางให้บริษัทขายข้อมูล

12. บริษัทจัดการคำขอทางกฎหมายอย่างไร นโยบายควรอธิบายกระบวนการ เช่น ตรวจความถูกต้องของคำขอ โต้แย้งคำขอที่กว้างเกินไป และแจ้งผู้ใช้ที่ได้รับผลกระทบเมื่อกฎหมายอนุญาต บริษัทที่เผยแพร่รายงานคำขอเหล่านี้เป็นประจำให้หลักฐานเพิ่ม ระวังการเงียบเรื่องนี้ หรือข้อความที่ว่าบริษัทจะ "ปฏิบัติตามทุกคำขอ"

คำถามที่ 13 ถึง 15: การควบคุมของคุณและหน้าที่ของบริษัท

กลุ่มสุดท้ายทดสอบว่านโยบายมองคุณเป็นคนที่มีสิทธิ์ หรือเป็นเพียงแหล่งข้อมูล

13. ฉันดู แก้ไข และลบข้อมูลของตัวเองได้หรือไม่ มองหาช่องทางชัดเจน เช่น หน้าบัญชีหรือแบบฟอร์มคำร้อง พร้อมระยะเวลาตอบ ระวังเมื่อการลบถูกบอกว่าทำไม่ได้ หรือนโยบายบอกว่าเก็บข้อมูลไว้ไม่มีกำหนดหลังคุณเลิกใช้บริการ

14. จะแจ้งฉันเรื่องการเปลี่ยนแปลงอย่างไร นโยบายที่แข็งแรงสัญญาว่าจะแจ้ง เช่น ทางอีเมลหรือข้อความเด่นในแอป ก่อนการเปลี่ยนแปลงสำคัญมีผล ระวังข้อความที่ว่าการใช้บริการต่อหมายถึงยอมรับโดยอัตโนมัติ โดยไม่มีการแจ้งใด ๆ

15. อธิบายมาตรการความปลอดภัยอะไรไว้ และเกิดอะไรขึ้นถ้าข้อมูลรั่ว นโยบายที่ดีกล่าวถึงการเข้ารหัสข้อมูลที่เก็บ การจำกัดการเข้าถึงของพนักงาน และคำมั่นว่าจะแจ้งผู้ใช้ที่ได้รับผลกระทบ ระวังเมื่อความปลอดภัยถูกบรรยายด้วยคำคุณศัพท์อย่าง "ระดับทหาร" โดยไม่มีแนวปฏิบัติรองรับ คำสัญญาว่าปลอดภัยสมบูรณ์เป็นธงแดง เพราะไม่มีอยู่จริง

ตัวอย่าง: ให้คะแนนข้อความนโยบายสมมติ

ต่อไปนี้เป็นข้อความสั้น ๆ สมมติของผู้ให้บริการที่ไม่มีอยู่จริงชื่อ "Provider B" ไว้ให้ฝึกทำเครื่องหมายคำตอบ

เราเก็บข้อมูลที่จำเป็นต่อการให้บริการ ข้อมูลบัญชีจะถูกเก็บขณะที่บัญชีของคุณยังใช้งานอยู่ เราอาจแบ่งปันข้อมูลกับพาร์ตเนอร์ที่เชื่อถือได้เพื่อปรับปรุงบริการ เราให้ความสำคัญกับความปลอดภัย ข้อกำหนดอาจเปลี่ยนแปลงเป็นครั้งคราว

เมื่อตรวจกับเช็กลิสต์ ภาพที่ได้ชวนตื่นตัว

คำถาม	เครื่องหมาย	เหตุผล
1 ตัวตนบริษัท	ไม่มี	ไม่มีชื่อบริษัทหรือที่อยู่
2 ช่องทางติดต่อ	ไม่มี	ไม่มีช่องทางติดต่อเรื่องความเป็นส่วนตัว
3 วันที่และฉบับ	ไม่มี	มองไม่เห็นวันที่
4 ข้อมูลบัญชี	คลุมเครือ	ไม่ได้นิยาม "ข้อมูลบัญชี"
5 ข้อมูลการชำระเงิน	ไม่มี	ไม่มีเรื่องการเรียกเก็บเงิน
6 ข้อมูลอุปกรณ์	ไม่มี	ไม่ได้กล่าวถึง
7 ข้อมูลการเชื่อมต่อ	ไม่มี	ไม่ได้กล่าวถึง
8 เนื้อหาทราฟฟิก	ไม่มี	ไม่ได้กล่าวถึง
9 ตัวติดตาม	ไม่มี	ไม่ได้กล่าวถึง
10 ระยะเวลาเก็บ	คลุมเครือ	"ขณะที่บัญชียังใช้งาน" ครอบคลุมแค่หมวดเดียว
11 การแบ่งปัน	คลุมเครือ	"พาร์ตเนอร์ที่เชื่อถือได้" ไม่มีหมวด
12 คำขอทางกฎหมาย	ไม่มี	ไม่ได้กล่าวถึง
13 สิทธิ์ของคุณ	ไม่มี	ไม่ได้กล่าวถึง
14 การเปลี่ยนแปลง	คลุมเครือ	"เป็นครั้งคราว" ไม่มีคำสัญญาว่าจะแจ้ง
15 ความปลอดภัย	คลุมเครือ	"ให้ความสำคัญ" ไม่อธิบายแนวปฏิบัติ

รวม คำตอบคลุมเครือห้าข้อได้ห้าคะแนน คำตอบไม่มีสิบข้อได้ศูนย์ Provider B จึงได้ห้าจากสามสิบ นโยบายนี้ไม่ได้ไม่ซื่อสัตย์เสมอไป แต่ให้อะไรให้พึ่งพาแทบไม่ได้เลย ปฏิกิริยาที่สมเหตุสมผลคือถามบริษัทด้วยคำถามเฉพาะเจาะจง และดูผู้ให้บริการรายอื่นก่อนจ่ายเงิน

ถ้อยคำที่ควรดูซ้ำอีกรอบ

วลีบางอย่างปรากฏซ้ำแล้วซ้ำอีกในนโยบายที่อ่อน ตารางนี้แสดงวิธีอ่านวลีเหล่านั้น

วลี	ควรถามอะไร
"เราอาจเก็บ"	อาจ หรือเก็บจริง รายการอะไรบ้าง
"ข้อมูลบางอย่าง"	ข้อมูลอะไรกันแน่
"นานเท่าที่จำเป็น"	มีเพดานสูงสุดหรือไม่
"พาร์ตเนอร์ที่เชื่อถือได้"	เป็นใคร และเพื่อวัตถุประสงค์อะไร
"เพื่อปรับปรุงบริการ"	ข้อมูลอะไร และทำได้โดยไม่ใช้ตัวระบุหรือไม่
"นิรนาม" หรือ "ทำให้ไม่ระบุตัว"	ทำอย่างไร และเชื่อมกลับได้หรือไม่
"ความปลอดภัยตามมาตรฐานอุตสาหกรรม"	แนวปฏิบัติอะไร ขอเป็นภาษาธรรมดา
"เราไม่ขายข้อมูลของคุณ"	แต่แบ่งปันให้ผู้อื่นใช้เองฟรีหรือไม่

ไม่มีวลีใดพิสูจน์ความไม่สุจริต แต่เมื่อรวมกันโดยไม่มีนิยามที่ไหนเลย มันบอกคุณว่าบริษัทเลือกความยืดหยุ่นแทนความชัดเจน

ข้อจำกัดของการตรวจนโยบาย

การตรวจนโยบายความเป็นส่วนตัวมีคุณค่า แต่ไม่ใช่การตรวจสอบเต็มรูปแบบ จำข้อจำกัดเหล่านี้

• นโยบายคือคำสัญญา ไม่ใช่หลักฐาน มันบอกว่าบริษัทพูดอะไร ไม่ได้บอกว่าระบบทำอะไร
• นโยบายอาจถูกต้องตามจริงแต่ไม่ช่วยอะไร เอกสารอาจซื่อสัตย์ แต่ยังปล่อยคำถามสำคัญไว้ไม่ตอบ
• กฎหมายกำหนดสิ่งที่บริษัทต้องบอก บางภูมิภาคบังคับให้เปิดเผยบางอย่าง ทำให้นโยบายสองฉบับหน้าตาคล้ายกันแต่มีการคุ้มครองไม่เท่ากัน นี่เป็นข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย
• นโยบายครอบคลุมบริษัท ไม่ใช่ชีวิตดิจิทัลที่เหลือของคุณ ผู้ให้บริการอินเทอร์เน็ต เว็บไซต์ และแอปของคุณต่างมีกฎของตัวเอง ดูวิธีเปรียบเทียบผู้ให้บริการ VPNว่าเรื่องนี้เข้ากับการประเมินเต็มรูปแบบอย่างไร
• เอกสารเปลี่ยนได้ ตรวจซ้ำเมื่อคุณต่ออายุหรือซื้อเวลาเพิ่ม

หากพบช่องว่าง ให้เขียนถึงบริษัท คำตอบที่ชัดและรวดเร็วเป็นหลักฐานที่ดี ความเงียบหรือการส่งสโลแกนเดิมซ้ำก็เป็นหลักฐานเช่นกัน

Summary

นโยบายความเป็นส่วนตัวของ VPN อ่านได้ดีที่สุดเป็นสิบห้าคำถามในห้ากลุ่ม คือใครรับผิดชอบ คุณให้อะไรตอนสมัครและชำระเงิน เก็บอะไรขณะที่คุณใช้บริการ เก็บข้อมูลนานแค่ไหนและใครได้รับ และคุณควบคุมอะไรได้ ทำเครื่องหมายแต่ละคำตอบว่าชัดเจน คลุมเครือ หรือไม่มี ให้คะแนนผลลัพธ์ และมองช่องว่างเป็นสิ่งที่ต้องถาม ไม่ใช่เหตุผลให้คิดไปในทางร้ายที่สุด นโยบายเป็นคำสัญญา ไม่ใช่หลักฐาน และใช้ได้ดีที่สุดควบคู่กับสิทธิ์ที่แอปขอ ข้อมูลที่แจ้งในสโตร์ และพฤติกรรมของบริษัทตามเวลา

ถ้าตัวเลือกแบบเติมเงินที่เรียบง่ายเหมาะกับสิ่งที่คุณต้องการ หน้าราคาแสดงแพ็กเกจที่มีเมื่อใดก็ตามที่คุณอยากดู