Юта нормировала детектор VPN числом: разбор проекта правила R152-78B

Что опубликовано 1 сентября

Документ вышел в бюллетене штата Юта за 1 сентября 2026 года, том 2026, выпуск № 17, в разделе уведомлений о предлагаемых правилах. Регистрационный номер подачи — 58148, тип подачи — новое правило, подписано директором отдела Кэтрин Хасс 14 августа 2026 года. В графе о причинах прямо указано, что изменения вносятся вследствие законодательного действия, и назван источник: SB 73 сессии 2026 года.

Сразу важная оговорка, которую документ делает сам за себя: это проект, а не действующая норма. Письменные и устные замечания принимаются до 1 октября 2026 года, а в графе о дате вступления стоит 8 октября 2026 года с прямым примечанием в самом бланке — это дата, на которую ведомство рассчитывает, и она не является датой вступления в силу. Мы приводим это ровно так, как написано, потому что разница между «предложено» и «действует» здесь принципиальна.

Назначение правила описано в нём самом: установить стандарт «коммерческой разумности» для проверки возраста и определения местоположения, задать условия освобождения от ответственности и правила сбора и уничтожения данных. То есть закон задал обязанность, а этот документ впервые объясняет, что именно будет считаться её надлежащим исполнением.

Главное: детектор нормирован числом и списком признаков

Ключевой пункт — раздел R152-78B-201. В нём сказано, что коммерчески разумная система обнаружения маскировки местоположения — это мера, рассчитанная на то, чтобы позволить коммерческой организации определить с точностью не менее 95 %, находится ли посетитель в Юте. Такой же порог в 95 % установлен и для определения того, является ли посетитель несовершеннолетним.

Следом идёт то, ради чего документ и стоит читать: перечень разрешённых косвенных признаков. Правило разрешает анализировать «латентные сигналы», и называет их поимённо — задержка соединения, настройка часового пояса устройства или браузера, а также иные относящиеся к делу данные, передаваемые устройством или браузером. Последний пункт открытый, и именно он на практике оказывается самым широким.

Термины определены отдельно и намеренно широко. «Маскировка геолокации» — это виртуальная частная сеть, прокси-сервер или иная технология определения местоположения, скрывающая географическое положение лица или устройства. «Прокси-сервер» — любое промежуточное оборудование, программное обеспечение или служба сетевой маршрутизации, настроенные перехватывать, фильтровать, ретранслировать или перенаправлять запросы и ответы между устройством клиента и целевой сетью или сервером. Под такое определение попадает намного больше, чем то, что обычно называют VPN.

Что происходит при срабатывании, описано в разделе R152-78B-202: обнаружив маскировку, сайт обязан потребовать от посетителя одно из трёх — поделиться местоположением, чтобы подтвердить, что он не в Юте; отключить маскировку и пройти проверку возраста, если он в Юте; либо пройти проверку возраста сразу. Там же приведена таблица предельных долей ошибочных срабатываний, привязанная к возрасту: для семнадцатилетних — 2 %, для шестнадцатилетних — 1 %, для более младших возрастных групп — 0,1 %.

Почему «закон против VPN вступает в силу 3 сентября» — неверно дважды

Первое. В принятом тексте SB 73 раздел о датах вступления сформулирован однозначно: за исключением оговорённых случаев закон вступает в силу 6 мая 2026 года; отдельные разделы — 1 июля и 1 октября 2026 года. Даты «3 сентября» в законе нет вообще, ни в одном из трёх пунктов. Норма о VPN — это часть 78B-3-1002, и в перечне она значится как действующая с 6 мая.

Сама норма говорит следующее: человек считается обращающимся к сайту из этого штата, если он фактически находится в штате, независимо от того, использует ли он виртуальную частную сеть, прокси-сервер или иные средства, чтобы скрыть или исказить своё географическое положение и создать видимость обращения к сайту извне штата. То есть закон не запрещает VPN — он лишает использование VPN юридического значения при определении подсудности.

Второе. 3 сентября — это дата не из закона, а из частного соглашения по одному судебному делу. В апреле 2026 года компании Aylo подали иск к Отделу защиты прав потребителей Юты, и 27 апреля в деле появилось соглашение сторон о неприменении нормы. Проверка арифметикой показывает, откуда взялось число: 3 сентября 2026 года — это ровно 120 дней после 6 мая, то есть дата производна от законной, а не самостоятельна.

И главное, что делает исходный тезис устаревшим: отсрочка продлена. 28 августа 2026 года судья Дэвид Барлоу подписал в этом деле распоряжение, в котором суд принимает к сведению совместное ходатайство сторон о продлении неприменения и подтверждает их соглашение продлить и сохранить период воздержания от применения нормы. Конкретной новой даты в самой записи не названо, и мы её не называем тоже — в открытых пересказах числа встречаются, но первоисточником они не подтверждаются.

Что из этого следует практически

Есть отдельная норма закона, о которой в пересказах говорят редко и почти всегда путают адресата. Пункт 78B-3-1002(4) запрещает коммерческой организации, управляющей сайтом со значительной долей материалов, вредных для несовершеннолетних, содействовать использованию VPN или прокси для обхода проверки возраста или поощрять его — в том числе публикуя инструкции по использованию VPN для доступа к такому сайту или предоставляя средства обхода геоблокировки. Запрет адресован операторам этих сайтов, а не пользователям и не всем сайтам подряд; читать его как общий запрет на публикацию инструкций по VPN неверно.

Экономическую сторону регулятор оценил сам, и оценка любопытна своей скромностью: около одного–двенадцати центов за попытку проверки возраста и около одного цента на каждого посетителя за определение местоположения и обнаружение его маскировки, с удешевлением при больших объёмах. То есть проверка каждого входящего посетителя закладывается как рутинная операция, а не как исключительная мера.

Для читателя за пределами США значение этого документа не в самом штате, а в прецеденте формулировок. Здесь государственный орган впервые перечислил, по каким признакам предполагается отличать посетителя с туннелем от посетителя без него, и признаки эти — не адрес в сети, а поведение соединения и настройки устройства. Задержка и часовой пояс не зависят от того, какой протокол используется и насколько хорошо он маскируется.

Практический вывод из этого спокойный. Речь идёт о проекте правила одного штата, применяемом к узкой категории сайтов, и до окончания приёма замечаний он ещё может измениться. Но направление читается ясно: определение местоположения смещается от вопроса «какой у посетителя адрес» к вопросу «согласуются ли между собой признаки его устройства и соединения».