VPN 透明度报告是什么？该怎么看

几乎每家 VPN 公司都会说自己重视你的隐私，但这样的话很难验证。透明度报告是少数几个要求公司用数字来支撑说法的地方。它不谈速度、应用或功能，只谈一件更窄也更能说明问题的事：外界向公司索取用户信息的次数，以及公司是怎么处理的。

本文说明 VPN 透明度报告是什么、一般包含哪些内容、怎样读数字才不会被误导，以及报告无论如何证明不了什么。文末还有一套大约五分钟就能用完的读法，适用于任何发布了报告的服务商，也包括你正在考虑的那些。如果你想先弄清服务商本来能看到你的哪些信息，可以配合阅读VPN 服务商能看到你的哪些信息。

透明度报告是什么，以及它不是什么

透明度报告是公司定期公开的汇总，内容是收到的索取用户数据、删除内容或账号的请求，以及公司给出的回应。大型互联网公司很早就开始发布，个别 VPN 服务商也跟着这样做。一份报告通常覆盖半年或一年，发布在公司网站上。

先把它不是什么讲清楚。

• 它不是审计。 审计是由独立机构对照某项标准检查系统或政策。透明度报告由公司自己撰写，除非报告明确说明，否则没有人核实过其中的数字。
• 它不是对未来行为的保证。 报告写的是过去。报告发布之后，公司的做法、所有者或所在地都有可能改变。
• 它不能说明公司存了什么。 报告里写“没有交出任何数据”，可能是因为本来就没有数据可交，也可能是因为根本没人来要。单看这个数字，分不出是哪一种。

这样看，报告只是一项证据，而不是结论。它的价值在于迫使公司做出具体、可核对的表述。空泛的承诺很容易，而针对明确时间段、列出数字的表格就难以含糊过去。

一份典型报告里有什么

格式各不相同，但大多数报告的构成大致一致。下表列出每个部分、它能告诉你什么，以及它说明不了什么。

部分	通常内容	无法说明的事
报告期间	覆盖的日期，例如一月到六月	两份报告之间是否有空档
收到的请求	收到多少条法律或官方要求	是否还有未被统计的请求
请求来源	法院、警方、行政机关或私人方	每条请求背后的原因
公司回应	完整回应、部分回应、拒绝、提出异议各有多少	公司抵制的力度有多大
交出的数据类型	账户信息、付款信息、连接数据，或什么都没有	保存的数据本来就很少，还是并不少
版权与滥用通知	权利人投诉，或有关滥用服务的投诉	公司逐案如何处理
方法说明	请求如何计数、哪些不计入	方法是否始终一致

最有用的一行是“交出的数据类型”，它是整件事的核心。如果公司说收到二十条请求，其中三条交出了“账户邮箱和付款日期”，你就知道这家公司至少保存了这些。如果它说二十条全都是“什么都没交”，那么要么它保存得极少，要么它全部拒绝了，好的报告会说明究竟是哪一种。

五分钟读懂数字

不需要法律背景，只需要一套简单的流程，以及追问每个数字到底在衡量什么的习惯。

1. 看时间段和发布日期。 覆盖最近一个完整半年、并在几个月内发布的报告算是新的。多年前发布后再没更新的报告，对今天的参考价值有限。
2. 看是否不止一份。 只有一份报告更像宣传页。同一家公司的连续多份报告才说明有这个习惯，而习惯很难伪造。
3. 看分母。 “我们拒绝了大部分请求”如果没有总数就没有意义。四条里拒绝三条，和四百条里拒绝三百条，完全是两回事。
4. 看分类。 把法院命令、警方的非正式请求和私人投诉分开列的报告，比把所有数字合成一个数的报告更可信。
5. 看定义。 “请求”是只包括正式的法律文书，还是也包括官员发来的邮件？“交出”是指任何形式的答复吗？
6. 看交出了什么。 数据类型最重要。邮箱、付款参考号、时间戳、IP 地址等字段名，说明服务商保存了什么。
7. 看对拒绝原因的说明。 公司如果解释了为什么无法配合，例如请求来自对它没有管辖权的机构，说明它给出了理由，而不只是报了一个总数。

可以为每家服务商做一份简单记录：时间段、找到几份报告、请求总数、交出的数据类型、定义是否清楚。五项里有四项做得不错的服务商，已经比大多数同行做得多。

示例：读一份虚构的报告

下面是一份虚构服务商“Provider A”的报告，供你练习，并不指向任何真实公司。

Provider A，报告期间 1 月 1 日至 6 月 30 日。收到请求 18 条。来自法院 6 条，来自没有法院命令的警方或机关 9 条，来自私人方和权利人 3 条。完整回应 0 条，部分回应 2 条（账户邮箱地址），拒绝 14 条，提出异议 2 条。

可以得出什么结论，又有什么得不出？

• 数字能对上：6 加 9 加 3 等于 18，0 加 2 加 14 加 2 也等于 18。数字对不上的报告要么粗心，要么有意含糊，这份通过了这一项。
• 九条非正式请求，按分项来看都落在被拒绝或被异议的组里。这说明公司对无法院命令的请求和有法院命令的请求区别对待。报告最好明说这一点，好的报告会这样做。
• 两条部分回应交出的是邮箱地址。你现在知道这家服务商为每个账户保存了一个邮箱。如果这让你意外，就调整你自己的做法，比如用一个不带真实姓名的邮箱，或只用于这个账户的邮箱。
• 报告完全没有提到连接数据。你分不清是没保存，还是没人要。谨慎的读者会去隐私政策里查这个空白，或直接问客服。

这是合适的信心程度：你知道了公司承认保存什么、受到压力时怎么做，同时发现了一个没有答案的问题。报告给不了更多了。

Warrant canary 和“没有可报告内容”的页面

有些公司会发布 warrant canary，也就是一句带日期的短声明，例如“截至此日，我们尚未收到要求交出数据或监控用户的秘密命令”。设想是：如果公司之后收到这类命令，又被法律禁止声明，就只要停止更新这句话，细心的读者便能察觉。

对它应保持平和的怀疑。

• 只有有人去看才起作用，而大多数客户从来不看。
• 它的法律效力在许多地方没有经过检验，公司也可能仍被迫继续更新。
• 没有更新也可能只是无关紧要的原因：忘了、网站改版、人员更替。
• 只看 canary，无法知道收到了多少普通请求，所以不能代替完整报告。

“没有可报告内容”的页面，也就是声明从未收到请求，情形类似。对客户很少的新公司，这更可信；对大公司，意义就小得多。关键在于公司是否还说明了一旦收到请求会怎么做。一段话讲清谁来审查请求、检查什么、什么时候让律师介入，比一个孤零零的零更有力。

强报告与弱报告：快速对照

你会遇到质量差别很大的报告，可以用下面这些迹象来判断。

迹象	较强的报告	较弱的报告
频率	连续多期定期发布	只发一次、没日期或已荒废
细节	按来源和回应分别列出	只有一个合计数字
数据类型	写明交出的字段	只说“有限数据”
定义	解释什么算请求	术语没有定义
语气	平实、具体，有时并不好看	口号和夸张的形容
好找程度	法律或隐私页面有链接	藏得很深，或只在某篇博客里
更正	往期数字修改时有说明	悄悄替换旧文件

不好看的细节往往是好迹象。一份承认“我们两次交出了邮箱地址”的报告，比声称“没有任何东西离开公司”的报告更可信。

小型服务商、预付通行证，以及该问什么

很多服务商永远不会发布正式报告。小公司和新公司客户少、请求少，表格填不满，也未必值得投入精力。所以没有报告不能证明做得不好，只是意味着你需要别的证据。

可以通过客服渠道用你自己的话问这些问题：

• 你们为账户持有人保存了哪些个人数据，保存多久？
• 公司里谁能访问这些数据？
• 官方机构索取账户信息时，你们的处理流程是什么？
• 在法律允许的情况下，会通知客户吗？
• 付款是否由第三方处理方完成，哪些数据会到达你们这里？

清楚、迅速、具体的回答，比一份没有细节的漂亮报告更有价值。回避，或只是重复口号，就提醒你要小心。同样的原则适用于整体比较服务商的方法，详见如何比较 VPN 服务商。

付款方式也会影响有多少内容可报告。预付通行证到期后自动结束，服务商就没有需要保存的循环扣款安排。这减少了一类数据，但并不意味着可以不读隐私政策。

局限：透明度报告证明不了什么

即使是出色的报告也有硬性局限，记住这些，才不会读出它没写的东西。

• 它证明不了到底存了什么。 只有检查系统或独立核查才能涉及这一点，而这些也只是某一时间点的快照。
• 它显示不出公司被禁止提及的事。 有些地方存在禁言令，报告可能因此缺少某些条目。
• 它显示不出发生在别处的监控。 你的网络运营商、你访问的网站、手机上的应用，各自都有自己看到的你的活动。更完整的图景见用了 VPN 还会被追踪吗。
• 它无法直接用来比较服务商。 不同公司计数方式不同，客户规模不同，所处的法律环境也不同。数字更大不代表更差，可能只是客户更多。
• 它无法取代阅读隐私政策。 政策说明公司收集什么，报告说明外界索取过什么，两者都需要。

服务商的所在地也会改变谁能索取什么，所以最好把报告与VPN 的司法管辖地放在一起看。

一套可以反复使用的流程

选择或复查服务商时，可以用下面的流程，每家公司最多花十分钟。

1. 在网站上搜索 “transparency”“legal requests” 和 “law enforcement”。
2. 如果有报告，记下时间段、发布日期和一共有几份。
3. 检查数字是否对得上、是否给出了定义。
4. 写下交出过哪些类型的数据。
5. 把这份清单与隐私政策对照。凡是交出过却没出现在政策里的，都是红旗。
6. 如果没有报告，把上面的五个问题发给客服，并记下回复的速度和质量。
7. 把结果记在一张小表里，根据整套证据而不是单一文件做决定。

你自己的记录表示例

服务商	找到几份报告	交出的数据	定义是否清楚	客服回复
第 1 家	3 份，连续	账户邮箱	清楚	未询问
第 2 家	没找到	不清楚	无	一天内回复，说明所存数据
第 3 家	1 份，无日期	“有限数据”	不清楚	无回复

从这张虚构的表看，没有报告但回答详细的第 2 家，可能比有报告却含糊的第 3 家更值得信任。这就是不要只凭一份文件下判断的原因。

总结

VPN 透明度报告是公司自己撰写的汇总，说明收到了哪些来自官方和私人方的用户数据请求，以及公司怎么回应。阅读时看时间段、总数、分类，尤其要看交出的数据类型，并把 warrant canary 当作次要的辅助信号。报告证明不了存了什么，看不到公司被禁止说的事，也不涉及其他能看到你活动的方面。小型服务商可能根本没有报告，所以要准备好直接提问，并依据回答是否具体来判断。

如果简单的预付方式正合你用，可以随时在价格页面查看可选的通行证。