Transparency Report ของ VPN บอกอะไรเรา

เกือบทุกบริษัท VPN บอกว่าให้ความสำคัญกับความเป็นส่วนตัวของคุณ แต่ประโยคแบบนี้พิสูจน์ไม่ได้ Transparency Report เป็นหนึ่งในไม่กี่ที่ที่บริษัทต้องเอาตัวเลขมาสนับสนุนคำพูดของตัวเอง รายงานนี้ไม่ได้พูดถึงความเร็ว แอป หรือฟีเจอร์ แต่พูดถึงเรื่องที่แคบกว่าและเปิดเผยมากกว่า คือคนนอกมาขอข้อมูลของผู้ใช้จากบริษัทกี่ครั้ง และบริษัทตอบสนองอย่างไร

บทความนี้อธิบายว่า VPN Transparency Report คืออะไร ปกติมีอะไรอยู่ข้างใน อ่านตัวเลขอย่างไรไม่ให้ถูกหลอก และรายงานชนิดนี้พิสูจน์อะไรไม่ได้ พร้อมวิธีสั้น ๆ ที่ใช้เวลาราว 5 นาทีกับผู้ให้บริการทุกรายที่เผยแพร่รายงาน รวมถึงรายที่คุณเพียงกำลังพิจารณา หากอยากเข้าใจภาพกว้างว่าผู้ให้บริการมองเห็นอะไรของคุณได้บ้างตั้งแต่ต้น ให้อ่านควบคู่กับเรื่อง ผู้ให้บริการ VPN เห็นอะไรเกี่ยวกับคุณได้บ้าง

Transparency Report คืออะไร และสามสิ่งที่มันไม่ใช่

Transparency Report คือสรุปสาธารณะเป็นรอบ ๆ ของคำขอที่บริษัทได้รับ ไม่ว่าจะขอให้ส่งมอบข้อมูลผู้ใช้ หรือขอให้ลบเนื้อหาหรือบัญชี พร้อมคำตอบของบริษัท บริษัทอินเทอร์เน็ตขนาดใหญ่เริ่มทำมานานแล้ว และผู้ให้บริการ VPN บางรายก็ทำตาม โดยทั่วไปรายงานครอบคลุมครึ่งปีหรือหนึ่งปี และเผยแพร่บนเว็บไซต์ของบริษัท

ควรเข้าใจให้ชัดว่ามันไม่ใช่อะไร

• ไม่ใช่การตรวจสอบจากภายนอก (audit) การ audit คือบริษัทอิสระเข้ามาตรวจระบบหรือนโยบายเทียบกับมาตรฐาน ส่วน Transparency Report บริษัทเขียนเอง ไม่มีใครตรวจตัวเลขเว้นแต่รายงานจะบอกไว้ชัด
• ไม่ใช่คำรับประกันพฤติกรรมในอนาคต รายงานเล่าเรื่องในอดีต บริษัทอาจเปลี่ยนวิธีทำงาน เจ้าของ หรือสถานที่ตั้งหลังรายงานออกแล้วก็ได้
• ไม่ใช่คำบอกว่าเก็บอะไรไว้บ้าง ข้อความ "ไม่มีข้อมูลที่ส่งมอบเลย" อาจแปลว่าไม่มีข้อมูลให้ส่ง หรืออาจแปลว่าไม่มีใครขอ เลขอย่างเดียวบอกไม่ได้ว่าเป็นกรณีไหน

มองให้ถูกคือ รายงานเป็นหลักฐานชิ้นหนึ่ง ไม่ใช่คำตัดสิน คุณค่าของมันคือบังคับให้บริษัทต้องพูดอย่างเฉพาะเจาะจงและตรวจสอบได้ คำสัญญาลอย ๆ ทำง่าย แต่ตารางตัวเลขของช่วงเวลาที่ระบุชัดเจนปั้นแต่งยากกว่ามาก

รายงานทั่วไปมีอะไรอยู่ข้างใน

รูปแบบแตกต่างกันไป แต่ส่วนประกอบหลักคล้ายกัน ตารางนี้แสดงแต่ละส่วน สิ่งที่มันบอก และสิ่งที่มันบอกไม่ได้

หัวข้อ	สิ่งที่มักระบุ	สิ่งที่บอกไม่ได้
ช่วงเวลาที่รายงาน	วันที่ครอบคลุม เช่น มกราคมถึงมิถุนายน	มีช่วงว่างระหว่างรายงานหรือไม่
คำขอที่ได้รับ	จำนวนคำขอทางกฎหมายหรือทางการที่เข้ามา	มีคำขอที่ไม่ถูกนับอีกหรือไม่
ที่มาของคำขอ	ศาล ตำรวจ หน่วยงานรัฐ หรือเอกชน	เหตุผลเบื้องหลังแต่ละคำขอ
การตอบของบริษัท	ตอบครบ ตอบบางส่วน ปฏิเสธ หรือโต้แย้งกี่ครั้ง	บริษัทพยายามต่อสู้มากเพียงใด
ประเภทข้อมูลที่ส่งมอบ	รายละเอียดบัญชี ข้อมูลการชำระเงิน ข้อมูลการเชื่อมต่อ หรือไม่มีเลย	ข้อมูลที่เก็บไว้ครบถ้วนหรือน้อยอยู่แล้ว
ประกาศเรื่องลิขสิทธิ์และการใช้ในทางที่ผิด	ข้อร้องเรียนจากเจ้าของสิทธิ์หรือเกี่ยวกับการใช้บริการ	วิธีจัดการแต่ละกรณี
หมายเหตุวิธีนับ	วิธีนับคำขอและสิ่งที่ไม่รวม	ใช้วิธีเดียวกันสม่ำเสมอหรือไม่

แถวที่มีประโยชน์ที่สุดคือ "ประเภทข้อมูลที่ส่งมอบ" เพราะเป็นหัวใจของเรื่อง ถ้าบริษัทบอกว่าได้รับคำขอยี่สิบครั้งและส่งมอบ "อีเมลของบัญชีกับวันที่ชำระเงิน" สามครั้ง คุณก็รู้แล้วว่าอย่างน้อยบริษัทนี้เก็บอะไรไว้ แต่ถ้าบอกว่าส่งมอบ "ไม่มีเลย" ทั้งยี่สิบครั้ง แปลว่าบริษัทเก็บข้อมูลน้อยมาก หรือปฏิเสธทุกครั้ง รายงานที่ดีจะอธิบายว่าเป็นแบบไหน

อ่านตัวเลขใน 5 นาที

ไม่ต้องมีความรู้กฎหมาย ขอเพียงมีขั้นตอนสั้น ๆ และมีวินัยในการถามว่าตัวเลขแต่ละตัวกำลังวัดอะไรอยู่

1. ดูช่วงเวลาและวันที่เผยแพร่ รายงานของครึ่งปีล่าสุดที่เผยแพร่ภายในไม่กี่เดือนถือว่าทันสมัย รายงานเมื่อหลายปีก่อนที่ไม่เคยมีฉบับต่อไปบอกอะไรเกี่ยวกับปัจจุบันได้น้อย
2. ดูว่ามีมากกว่าหนึ่งฉบับหรือไม่ รายงานฉบับเดียวคือหน้าโฆษณา แต่ชุดรายงานต่อเนื่องของบริษัทเดียวกันแสดงถึงความสม่ำเสมอ ซึ่งปลอมยากกว่า
3. ดูตัวหาร ประโยค "เราปฏิเสธคำขอส่วนใหญ่" ไม่มีความหมายถ้าไม่รู้ยอดรวม สามในสี่ต่างจากสามร้อยในสี่ร้อยมาก
4. หาหมวดหมู่ รายงานที่แยกคำสั่งศาลออกจากคำขอไม่เป็นทางการของตำรวจ และจากคำร้องของเอกชน น่าเชื่อถือกว่ารายงานที่รวมเป็นตัวเลขเดียว
5. อ่านนิยาม "คำขอ" หมายถึงเฉพาะคำสั่งทางกฎหมายอย่างเป็นทางการ หรือรวมอีเมลจากเจ้าหน้าที่ด้วย และ "ส่งมอบ" หมายถึงการตอบกลับทุกชนิดหรือไม่
6. ดูว่าส่งมอบข้อมูลอะไรไป ประเภทข้อมูลสำคัญที่สุด ชื่อฟิลด์ เช่น อีเมล รหัสอ้างอิงการชำระเงิน เวลา หรือที่อยู่ IP บอกว่าผู้ให้บริการเก็บอะไร
7. ดูคำอธิบายเรื่องการปฏิเสธ บริษัทที่อธิบายว่าทำไมจึงไม่สามารถปฏิบัติตาม เช่น คำขอมาจากหน่วยงานที่ไม่มีอำนาจเหนือบริษัท แสดงให้เห็นเหตุผล ไม่ใช่แค่ยอดรวม

ลองจดบันทึกง่าย ๆ ต่อผู้ให้บริการแต่ละราย ได้แก่ ช่วงเวลา จำนวนรายงานที่พบ ยอดคำขอรวม ประเภทข้อมูลที่ส่งมอบ และนิยามชัดเจนหรือไม่ ถ้าได้คะแนนดีสี่ข้อจากห้าข้อ ผู้ให้บริการรายนั้นทำมากกว่าส่วนใหญ่แล้ว

ตัวอย่าง: อ่านรายงานสมมติฉบับหนึ่ง

ด้านล่างเป็นรายงานสมมติของผู้ให้บริการที่ไม่มีอยู่จริงชื่อ "Provider A" ไว้ให้ฝึกอ่าน ไม่ได้อ้างถึงบริษัทใด

Provider A ช่วงรายงาน 1 มกราคม ถึง 30 มิถุนายน ได้รับคำขอ 18 ครั้ง จากศาล 6 ครั้ง จากตำรวจหรือหน่วยงานที่ไม่มีคำสั่งศาล 9 ครั้ง จากเอกชนและเจ้าของสิทธิ์ 3 ครั้ง ตอบครบ 0 ครั้ง ตอบบางส่วน 2 ครั้ง (ที่อยู่อีเมลของบัญชี) ปฏิเสธ 14 ครั้ง อยู่ระหว่างโต้แย้ง 2 ครั้ง

สรุปอะไรได้บ้าง และอะไรสรุปไม่ได้

• ตัวเลขรวมกันลงตัว คือ 6 + 9 + 3 = 18 และ 0 + 2 + 14 + 2 = 18 รายงานที่ตัวเลขรวมไม่ตรงกันแปลว่าสะเพร่าหรือพยายามเลี่ยง ฉบับนี้ผ่านข้อนี้
• คำขอไม่เป็นทางการ 9 ครั้ง อยู่ในกลุ่มที่ปฏิเสธหรือโต้แย้งตามที่แจกแจง ซึ่งบ่งชี้ว่าบริษัทแยกการปฏิบัติต่อคำขอที่ไม่มีคำสั่งศาลออกจากคำสั่งศาล รายงานควรระบุเรื่องนี้ตรง ๆ และรายงานที่ดีก็จะระบุ
• การตอบบางส่วน 2 ครั้ง ส่งมอบที่อยู่อีเมล ตอนนี้คุณรู้แล้วว่าผู้ให้บริการเก็บอีเมลของแต่ละบัญชี ถ้าเรื่องนี้ทำให้คุณแปลกใจ ให้ปรับการตัดสินใจของตัวเอง เช่น ใช้อีเมลที่ไม่เปิดเผยชื่อจริง หรือใช้เฉพาะกับบัญชีนี้
• รายงานไม่พูดถึงข้อมูลการเชื่อมต่อเลย คุณบอกไม่ได้ว่าไม่ได้เก็บ หรือไม่มีใครขอ ผู้อ่านที่รอบคอบควรตรวจช่องว่างนี้จากนโยบายความเป็นส่วนตัว หรือถามฝ่ายสนับสนุนตรง ๆ

นี่คือระดับความมั่นใจที่เหมาะสม คุณได้รู้ว่าบริษัทยอมรับว่าเก็บอะไรและทำตัวอย่างไรเมื่อถูกกดดัน และสังเกตเห็นคำถามหนึ่งข้อที่ยังไม่มีคำตอบ รายงานให้ได้มากกว่านี้ไม่ได้

Warrant Canary และหน้า "ไม่มีอะไรต้องรายงาน"

บางบริษัทเผยแพร่ Warrant Canary เป็นข้อความสั้น ๆ ลงวันที่ เช่น "ณ วันที่นี้ เรายังไม่ได้รับคำสั่งลับให้ส่งมอบข้อมูลหรือให้เฝ้าติดตามผู้ใช้" แนวคิดคือ ถ้าภายหลังบริษัทได้รับคำสั่งนั้นและกฎหมายห้ามบอก บริษัทเพียงหยุดอัปเดตข้อความ แล้วผู้อ่านที่สังเกตจะรู้ได้

ควรมองด้วยความสงสัยอย่างใจเย็น

• ใช้ได้ผลก็ต่อเมื่อมีคนคอยดู ลูกค้าส่วนใหญ่ไม่เคยดู
• ผลทางกฎหมายยังไม่เคยถูกทดสอบในหลายประเทศ และบริษัทอาจถูกบังคับให้อัปเดตต่อไปอยู่ดี
• การไม่อัปเดตอาจเป็นเรื่องธรรมดา เช่น ลืม ปรับเว็บไซต์ใหม่ หรือเปลี่ยนคนทำงาน
• Canary อย่างเดียวไม่บอกว่ามีคำขอทั่วไปเข้ามากี่ครั้ง จึงใช้แทนรายงานเต็มไม่ได้

หน้า "ไม่มีอะไรต้องรายงาน" ที่บอกว่าไม่เคยได้รับคำขอเลยก็คล้ายกัน เชื่อได้มากกว่าสำหรับบริษัทใหม่ที่มีลูกค้าน้อย และมีความหมายน้อยลงสำหรับบริษัทใหญ่ สิ่งสำคัญคือบริษัทอธิบายด้วยหรือไม่ว่าถ้ามีคำขอเข้ามาจะทำอย่างไร ย่อหน้าเดียวที่บอกว่าใครตรวจคำขอ ตรวจอะไร และเมื่อไรที่ต้องมีทนายความ แข็งแรงกว่าเลขศูนย์เปล่า ๆ

รายงานที่แข็งแรงกับรายงานที่อ่อน: เทียบอย่างรวดเร็ว

คุณจะเจอรายงานคุณภาพต่างกันมาก ใช้สัญญาณเหล่านี้จัดระดับ

สัญญาณ	รายงานที่แข็งแรง	รายงานที่อ่อน
ความถี่	เผยแพร่สม่ำเสมอหลายรอบ	ครั้งเดียว ไม่ลงวันที่ หรือทิ้งไปแล้ว
รายละเอียด	แยกคำขอตามที่มาและการตอบ	ตัวเลขรวมตัวเดียว
ประเภทข้อมูล	ระบุชื่อฟิลด์ที่ส่งมอบ	บอกแค่ "ข้อมูลจำกัด"
นิยาม	อธิบายว่าอะไรนับเป็นคำขอ	ไม่นิยามคำศัพท์
น้ำเสียง	เรียบ เฉพาะเจาะจง บางครั้งไม่น่ารื่นรมย์	สโลแกนและคำขยายเกินจริง
หาเจอง่าย	มีลิงก์จากหน้ากฎหมายหรือความเป็นส่วนตัว	ซ่อนหรืออยู่แค่ในโพสต์บล็อก
การแก้ไข	บอกเมื่อมีการแก้ตัวเลขเดิม	เปลี่ยนไฟล์เงียบ ๆ

รายละเอียดที่ไม่น่ารื่นรมย์มักเป็นสัญญาณที่ดี รายงานที่ยอมรับว่า "เราส่งมอบอีเมลสองครั้ง" น่าเชื่อกว่ารายงานที่อ้างว่าไม่มีอะไรหลุดออกจากบริษัทเลย

ผู้ให้บริการรายเล็ก แพ็กเกจเติมเงิน และสิ่งที่ควรถามแทน

ผู้ให้บริการหลายรายจะไม่เคยเผยแพร่รายงานเป็นทางการ บริษัทเล็กและใหม่มักมีลูกค้าและคำขอน้อยจนไม่มีอะไรจะใส่ในตาราง และอาจไม่คุ้มกับแรงที่ต้องใช้ การไม่มีรายงานจึงไม่ใช่หลักฐานว่าทำไม่ดี แต่หมายความว่าคุณต้องหาหลักฐานอย่างอื่น

ลองถามคำถามเหล่านี้ด้วยคำของคุณเองผ่านช่องทางฝ่ายสนับสนุน

• คุณเก็บข้อมูลส่วนบุคคลอะไรของเจ้าของบัญชี และเก็บนานเท่าไร
• ใครในบริษัทเข้าถึงข้อมูลนั้นได้
• ขั้นตอนของคุณเป็นอย่างไรเมื่อหน่วยงานทางการขอข้อมูลบัญชี
• คุณแจ้งลูกค้าหรือไม่ เมื่อกฎหมายอนุญาตให้แจ้ง
• การชำระเงินผ่านผู้ให้บริการภายนอกหรือไม่ และข้อมูลอะไรบ้างที่มาถึงคุณ

คำตอบที่ชัด เร็ว และเฉพาะเจาะจง มีค่ากว่ารายงานสวยหรูที่ไม่มีรายละเอียด การเลี่ยงตอบ หรือการตอบด้วยสโลแกนซ้ำ ๆ บอกให้ระวัง หลักการเดียวกันใช้กับวิธีเปรียบเทียบผู้ให้บริการโดยรวม ตามที่อธิบายใน วิธีเปรียบเทียบผู้ให้บริการ VPN

รูปแบบการชำระเงินก็มีผลต่อสิ่งที่ต้องรายงาน แพ็กเกจเติมเงินที่หมดอายุเองไม่มีข้อตกลงเรียกเก็บเงินซ้ำที่ผู้ให้บริการต้องเก็บไว้ ซึ่งลดข้อมูลไปหนึ่งหมวด แต่ไม่ได้ทำให้ไม่ต้องอ่านนโยบายความเป็นส่วนตัว

ข้อจำกัด: Transparency Report พิสูจน์อะไรไม่ได้

แม้รายงานที่ดีมากก็มีข้อจำกัดชัดเจน จำไว้เพื่อไม่ให้อ่านเกินกว่าที่เขียนไว้

• พิสูจน์ไม่ได้ว่าเก็บอะไรไว้จริง ต้องมีการตรวจระบบ หรือการตรวจสอบอิสระ ซึ่งก็เป็นภาพ ณ จุดเวลาหนึ่งเท่านั้น
• ไม่แสดงสิ่งที่บริษัทถูกห้ามพูดถึง บางประเทศมีคำสั่งห้ามเปิดเผย รายงานจึงอาจขาดรายการบางอย่างด้วยเหตุนี้
• ไม่แสดงการเฝ้าติดตามที่เกิดที่อื่น ผู้ให้บริการอินเทอร์เน็ต เว็บไซต์ที่คุณเข้า และแอปในโทรศัพท์ต่างมีมุมมองต่อกิจกรรมของคุณเอง ดูภาพกว้างได้จากเรื่อง ใช้ VPN แล้วยังถูกติดตามได้หรือไม่
• เทียบผู้ให้บริการตรง ๆ ไม่ได้ แต่ละบริษัทนับต่างกัน มีฐานลูกค้าต่างกัน และอยู่ภายใต้กฎหมายต่างกัน ตัวเลขที่มากกว่าไม่ได้แปลว่าแย่กว่า อาจแค่สะท้อนฐานลูกค้าที่ใหญ่กว่า
• ใช้แทนการอ่านนโยบายความเป็นส่วนตัวไม่ได้ นโยบายบอกว่าบริษัทเก็บอะไร รายงานบอกว่าคนนอกขออะไร ต้องใช้ทั้งสองอย่าง

ที่ตั้งของผู้ให้บริการก็เปลี่ยนว่าใครขออะไรได้ จึงควรอ่านรายงานคู่กับเรื่อง jurisdiction ของ VPN

ขั้นตอนที่ใช้ซ้ำได้

เวลาเลือกหรือทบทวนผู้ให้บริการ ใช้ขั้นตอนนี้ และอย่าใช้เกินสิบนาทีต่อบริษัท

1. ค้นในเว็บไซต์ด้วยคำว่า "transparency", "legal requests" และ "law enforcement"
2. ถ้ามีรายงาน จดช่วงเวลา วันที่เผยแพร่ และจำนวนรายงานทั้งหมด
3. ตรวจว่าตัวเลขรวมลงตัวและมีนิยามกำกับ
4. จดว่าส่งมอบข้อมูลประเภทใดบ้าง
5. เทียบรายการนั้นกับนโยบายความเป็นส่วนตัว อะไรที่ส่งมอบแต่ไม่ปรากฏในนโยบายถือเป็นธงแดง
6. ถ้าไม่มีรายงาน ส่งคำถามห้าข้อข้างต้นถึงฝ่ายสนับสนุน แล้วจดความเร็วและคุณภาพของคำตอบ
7. บันทึกผลในตารางเล็ก ๆ และตัดสินใจจากหลักฐานทั้งชุด ไม่ใช่เอกสารฉบับเดียว

ตัวอย่างบันทึกของคุณเอง

ผู้ให้บริการ	พบรายงานกี่ฉบับ	ข้อมูลที่ส่งมอบ	นิยามชัดหรือไม่	คำตอบของฝ่ายสนับสนุน
รายที่ 1	3 ฉบับ ต่อเนื่อง	อีเมลบัญชี	ชัด	ไม่ได้ถาม
รายที่ 2	ไม่พบ	ไม่ทราบ	ไม่มี	ตอบภายในหนึ่งวัน ระบุข้อมูลที่เก็บ
รายที่ 3	1 ฉบับ ไม่ลงวันที่	"ข้อมูลจำกัด"	ไม่ชัด	ไม่ตอบ

จากตารางสมมตินี้ รายที่ 2 ที่ไม่มีรายงานแต่ตอบละเอียด อาจน่าไว้ใจกว่ารายที่ 3 ที่มีรายงานแต่คลุมเครือ นี่คือเหตุผลที่ไม่ควรตัดสินจากเอกสารชิ้นเดียว

Summary

VPN Transparency Report คือสรุปที่บริษัทเขียนเอง เกี่ยวกับคำขอข้อมูลผู้ใช้จากทางการและเอกชนที่ได้รับ และสิ่งที่บริษัททำกับคำขอเหล่านั้น ให้อ่านที่ช่วงเวลา ยอดรวม หมวดหมู่ และโดยเฉพาะประเภทข้อมูลที่ส่งมอบ และมอง Warrant Canary เป็นสัญญาณเสริมเล็ก ๆ รายงานพิสูจน์ไม่ได้ว่าเก็บอะไรไว้ ไม่เห็นสิ่งที่บริษัทถูกห้ามพูด และไม่พูดถึงบุคคลอื่นที่มองเห็นกิจกรรมของคุณได้ ผู้ให้บริการรายเล็กอาจไม่มีรายงานเลย จึงควรพร้อมถามคำถามตรง ๆ และตัดสินจากความเฉพาะเจาะจงของคำตอบ

ถ้าตัวเลือกแบบเติมเงินที่เรียบง่ายเหมาะกับสิ่งที่คุณต้องการ คุณดูแพ็กเกจที่มีได้ตามสบายที่หน้าราคา