Een federale rechter heeft een voorlopige voorziening getroffen tegen de Utahse wet SB 73. Deze wet verplichtte volwassen websites om VPN-gebruikers te blokkeren of hun exacte fysieke locatie te identificeren om leeftijdsverificatie af te dwingen.
De Electronic Frontier Foundation (EFF) en de rechtbank stellen dat 'perfecte geolocatie' technisch onmogelijk is, omdat VPN's specifiek zijn ontworpen om IP-adressen te maskeren. De rechter oordeelde dat de wet waarschijnlijk ongrondwettig is, omdat het websites dwingt om wereldwijd invasieve surveillance toe te passen op alle gebruikers om naleving in Utah te garanderen. Dit zou betekenen dat miljoenen gebruikers buiten de staat Utah onterecht belast worden door een lokale wet.
Rechtbank stemt in met EFF: VPN-wet van Utah vereist een technische onmogelijkheid
Wanneer wetgevers op staatsniveau proberen de werking van het internet te herschrijven, vertrouwen gebruikers erop dat rechtbanken erkennen dat wetten technische onmogelijkheden niet kunnen realiseren. Daarom zijn we verheugd te zien dat een rechtbank de poging van Utah om de privacybescherming van Virtual Private Networks (VPN's) buiten spel te zetten, heeft geblokkeerd.
In een overwinning voor digitale rechten heeft een federale rechter een voorlopige voorziening getroffen die Utah's SB 73 blokkeert, de draconische anti-VPN-wet voor leeftijdsverificatie van de staat. Deze beslissing volgt nadat de EFF commentaren heeft ingediend bij het Ministerie van Handel van Utah, waarin gedetailleerd wordt beschreven hoe het dwingen van platforms om privacy-bewarende tools te detecteren en te blokkeren, de privacy en veiligheid van gebruikers wereldwijd ondermijnt terwijl het tegelijkertijd het onmogelijke eist.
Wat SB 73 inhoudt
SB 73, dat eerder dit jaar werd ondertekend, probeerde volwassen websites te reguleren door hen te verplichten om VPN-gebruikers te blokkeren of de fysieke locatie te identificeren van bezoekers die VPN's of soortgelijke tools gebruiken om hun netwerkverkeer te maskeren. De wet ging zelfs zo ver dat websites werden verboden om instructies aan te bieden over hoe een VPN te gebruiken om deze controles te omzeilen. Voor zover bekend is Utah hiermee de eerste staat in het land die het gebruik van VPN's aanpakt om wettelijk verplichte leeftijdsverificatie-poortjes te vermijden.
De federale rechtbank van Utah stopzette vorige week de handhaving van de VPN-bepalingen van de wet. De rechter oordeelde dat de wet waarschijnlijk in strijd is met het verbod in de Amerikaanse grondwet op het aannemen van wetten die bedrijven en mensen buiten de grenzen van Utah aanzienlijk belasten.
SB 73 belast de rechten van alle internetgebruikers buiten Utah, omdat het van volwassen websites vereist dat zij ofwel de fysieke locatie van elke bezoekende gebruiker weten (om vervolgens diegenen in Utah te blokkeren), of de leeftijd van elke bezoeker verifiëren voor het geval zij zich in Utah zouden bevinden. De bepaling over de "werkelijke locatie" vereist in de praktijk dat een entiteit leeftijdsverificatiediensten uitvoert voor elke gebruiker die de site bezoekt vanuit elke willekeurige locatie, omdat de entiteit de wet overtreedt als zelfs maar één van die gebruikers zijn locatie maskeert, schreef de rechtbank. De rechtbank oordeelde in essentie dat Utah minder belastende manieren heeft om Utahse minderjarigen te verhinderen toegang te krijgen tot volwassen websites dan het eisen dat alle gebruikers in de wereld voldoen aan SB 73.
De rechtszaak van Aylo betwist de bepaling van SB 73 die websites verbiedt om informatie over VPN's te delen niet.
De juridische uitdaging
Dit gerechtelijke bevel volgt na maanden van juridisch manoeuvreren.
SB 73 zou oorspronkelijk in mei 2026 in werking treden, maar riep onmiddellijk een constitutionele uitdaging op van Aylo, het moederbedrijf van grote online volwassen platforms zoals Pornhub. Als reactie op de rechtszaak kwamen Utah en Aylo aanvankelijk overeen dat de staat de handhaving zou pauzeren terwijl de rechtbank het verzoek om een voorlopige voorziening overwoog, of totdat de administratieve regels die specifieke nalevingsvoorwaarden vaststellen waren afgerond. Deze voorgestelde nalevingsregels (R152-78B, zie Utah State Bulletin, pagina 6) werden op 1 september gepubliceerd door de Division of Consumer Protection van het Ministerie van Handel van Utah, waarna de EFF formele bezwaren indiende. Volgens de kennisgeving konden de voorgestelde regels al op 8 oktober 2026 van kracht worden. De beslissing van rechter Barlow betekent echter dat ze niet kunnen worden afgedwongen in afwachting van verdere actie door de rechtbank.
De uitspraak
EFF verwelkomt de uitspraak van rechter Barlow, die de fundamentele kloof erkent tussen staatswetgeving over het internet en hoe technologie daadwerkelijk werkt. In zijn uitspraak merkte rechter Barlow op dat het standpunt een technische onmogelijkheid vereist op straffe van juridische aansprakelijkheid. "Aylo heeft gelijk dat het standpunt, zoals gewijzigd, nu in wezen strikte aansprakelijkheid oplegt aan entiteiten zoals zij wanneer het gaat om het bepalen van de locatie van de gebruikers van hun websites."
De rechtbank erkende dat het probleem is dat SB 73 "entiteiten zoals Aylo vereist om hun websitegebruikers met perfectie te geoloceren om aansprakelijkheid te vermijden." Tegelijkertijd erkende de rechtbank "dat perfecte geolocatie momenteel niet mogelijk is."
EFF legde deze technische onmogelijkheid uit in het commentaar aan het Ministerie van Handel. VPN's beschermen de privacy van de gebruiker door webverkeer via tussenliggende servers te leiden. Omdat bestemmingswebsites alleen het IP-adres van de VPN-server zien, hebben zij geen betrouwbaar mechanisme om vast te stellen of een verbinding afkomstig is uit Salt Lake City, Seattle of Shanghai. Onder het huidige wettelijke kader van Utah staan platforms dus voor een onmogelijke keuze: het volledige VPN-verkeer landelijk blokkeren of de toegang vanuit Utah volledig intrekken. Rechter Barlow stemde hiermee in en stelde:
Omdat de wet perfectie vereist in de afwezigheid van perfecte geolocatie-tools, zou Aylo die 28 miljoen gebruikers — of ze zich nu in Salt Lake City, Boston, New Orleans, Anchorage of Honolulu bevinden — moeten verifiëren om naleving te garanderen en aansprakelijkheid te vermijden.
De regelgeving
De door de staat opgestelde administratieve regels dwongen commerciële entiteiten om "commercieel redelijke systemen voor het detecteren van geolocatie-obscuratie" te implementeren. Wij stellen dat deze richtlijn een technische onmogelijkheid eist.
In onze indiening bij het Ministerie van Handel van Utah beschreef EFF ook hoe deze regels een invasief regime van gegevensverzameling opleggen aan internetgebruikers wereldwijd. Als reactie op internetgebruikers die de invasieve gegevensverzameling die vereist is door leeftijdsverificatie willen vermijden, vereist SB 73 dus een nog grotere surveillance van de online activiteiten van internetgebruikers. De door het Ministerie gesuggereerde detectie-heuristieken (zoals het monitoren van verbindingslatentie of tijdzones van apparaten) zijn berucht onbetrouwbaar en kunnen gemakkelijk worden beïnvloed door normale netwerkomstandigheden. Deze actieve surveillance leidt onvermijdelijk tot wijdverspreide misclassificatie, onterechte toegangsblokkades en ernstige gevolgen voor de privacy van gebruikers ver buiten de grenzen van Utah.
Wat nu?
Zoals we herhaaldelijk hebben gezegd: het internet zal altijd een weg vinden om censuur te omzeilen.
Het afdwingen van invasieve tracking en het bestraffen van het gebruik van essentiële beveiligingstools verandert oprechte privacyzorgen in louter "compliance theater" en vereist meer door de staat opgelegde surveillance van internetgebruikers die vertrouwen op VPN's. Zoals het geval is in zwaar gecensureerde regio's, zullen VPN-diensten en obscuratie-tools zich simpelweg aanpassen, waardoor dit kader fundamenteel onhoudbaar is.
Hoewel wetgevers in Utah hebben aangegeven dat ze mogelijk zullen proberen de wet te herzien tijdens de volgende wetgevingsperiode, schept de voorlopige voorziening van de rechtbank een belangrijk precedent: staatswetgevers zouden leeftijdsverificatie niet moeten weaponizen om sleepnet-tracking af te dwingen of essentiële beveiligingstools te ondermijnen.
Terwijl andere staten soortgelijke anti-VPN-voorstellen overwegen, zal EFF blijven strijden tegen deze technisch onmogelijke mandaten en de privacy en anonimiteit van gebruikers verdedigen. Daarom dringen we er bij wetgevers en toezichthouders op aan om anti-privacyregels af te wijzen, prioriteit te geven aan echte gebruikersbeveiliging en constitutionele bescherming voor alle gebruikers te waarborgen.
Rechtbank stemt in met EFF: VPN-wet van Utah vereist een technische onmogelijkheid
Wanneer wetgevers op staatsniveau proberen de werking van het internet te herschrijven, vertrouwen gebruikers erop dat rechtbanken erkennen dat wetten technische onmogelijkheden niet kunnen realiseren. Daarom zijn we verheugd te zien dat een rechtbank de poging van Utah om de privacybescherming van Virtual Private Networks (VPN's) buiten spel te zetten, heeft geblokkeerd.
In een overwinning voor digitale rechten heeft een federale rechter een voorlopige voorziening getroffen die Utah's SB 73 blokkeert, de draconische anti-VPN-wet voor leeftijdsverificatie van de staat. Deze beslissing volgt nadat de EFF commentaren heeft ingediend bij het Ministerie van Handel van Utah, waarin gedetailleerd wordt beschreven hoe het dwingen van platforms om privacy-bewarende tools te detecteren en te blokkeren, de privacy en veiligheid van gebruikers wereldwijd ondermijnt terwijl het tegelijkertijd het onmogelijke eist.
Wat SB 73 inhoudt
SB 73, dat eerder dit jaar werd ondertekend, probeerde volwassen websites te reguleren door hen te verplichten om VPN-gebruikers te blokkeren of de fysieke locatie te identificeren van bezoekers die VPN's of soortgelijke tools gebruiken om hun netwerkverkeer te maskeren. De wet ging zelfs zo ver dat websites werden verboden om instructies aan te bieden over hoe een VPN te gebruiken om deze controles te omzeilen. Voor zover bekend is Utah hiermee de eerste staat in het land die het gebruik van VPN's aanpakt om wettelijk verplichte leeftijdsverificatie-poortjes te vermijden.
De federale rechtbank van Utah stopzette vorige week de handhaving van de VPN-bepalingen van de wet. De rechter oordeelde dat de wet waarschijnlijk in strijd is met het verbod in de Amerikaanse grondwet op het aannemen van wetten die bedrijven en mensen buiten de grenzen van Utah aanzienlijk belasten.
SB 73 belast de rechten van alle internetgebruikers buiten Utah, omdat het van volwassen websites vereist dat zij ofwel de fysieke locatie van elke bezoekende gebruiker weten (om vervolgens diegenen in Utah te blokkeren), of de leeftijd van elke bezoeker verifiëren voor het geval zij zich in Utah zouden bevinden. De bepaling over de "werkelijke locatie" vereist in de praktijk dat een entiteit leeftijdsverificatiediensten uitvoert voor elke gebruiker die de site bezoekt vanuit elke willekeurige locatie, omdat de entiteit de wet overtreedt als zelfs maar één van die gebruikers zijn locatie maskeert, schreef de rechtbank. De rechtbank oordeelde in essentie dat Utah minder belastende manieren heeft om Utahse minderjarigen te verhinderen toegang te krijgen tot volwassen websites dan het eisen dat alle gebruikers in de wereld voldoen aan SB 73.
De rechtszaak van Aylo betwist de bepaling van SB 73 die websites verbiedt om informatie over VPN's te delen niet.
De juridische uitdaging
Dit gerechtelijke bevel volgt na maanden van juridisch manoeuvreren.
SB 73 zou oorspronkelijk in mei 2026 in werking treden, maar riep onmiddellijk een constitutionele uitdaging op van Aylo, het moederbedrijf van grote online volwassen platforms zoals Pornhub. Als reactie op de rechtszaak kwamen Utah en Aylo aanvankelijk overeen dat de staat de handhaving zou pauzeren terwijl de rechtbank het verzoek om een voorlopige voorziening overwoog, of totdat de administratieve regels die specifieke nalevingsvoorwaarden vaststellen waren afgerond. Deze voorgestelde nalevingsregels (R152-78B, zie Utah State Bulletin, pagina 6) werden op 1 september gepubliceerd door de Division of Consumer Protection van het Ministerie van Handel van Utah, waarna de EFF formele bezwaren indiende. Volgens de kennisgeving konden de voorgestelde regels al op 8 oktober 2026 van kracht worden. De beslissing van rechter Barlow betekent echter dat ze niet kunnen worden afgedwongen in afwachting van verdere actie door de rechtbank.
De uitspraak
EFF verwelkomt de uitspraak van rechter Barlow, die de fundamentele kloof erkent tussen staatswetgeving over het internet en hoe technologie daadwerkelijk werkt. In zijn uitspraak merkte rechter Barlow op dat het standpunt een technische onmogelijkheid vereist op straffe van juridische aansprakelijkheid. "Aylo heeft gelijk dat het standpunt, zoals gewijzigd, nu in wezen strikte aansprakelijkheid oplegt aan entiteiten zoals zij wanneer het gaat om het bepalen van de locatie van de gebruikers van hun websites."
De rechtbank erkende dat het probleem is dat SB 73 "entiteiten zoals Aylo vereist om hun websitegebruikers met perfectie te geoloceren om aansprakelijkheid te vermijden." Tegelijkertijd erkende de rechtbank "dat perfecte geolocatie momenteel niet mogelijk is."
EFF legde deze technische onmogelijkheid uit in het commentaar aan het Ministerie van Handel. VPN's beschermen de privacy van de gebruiker door webverkeer via tussenliggende servers te leiden. Omdat bestemmingswebsites alleen het IP-adres van de VPN-server zien, hebben zij geen betrouwbaar mechanisme om vast te stellen of een verbinding afkomstig is uit Salt Lake City, Seattle of Shanghai. Onder het huidige wettelijke kader van Utah staan platforms dus voor een onmogelijke keuze: het volledige VPN-verkeer landelijk blokkeren of de toegang vanuit Utah volledig intrekken. Rechter Barlow stemde hiermee in en stelde:
Omdat de wet perfectie vereist in de afwezigheid van perfecte geolocatie-tools, zou Aylo die 28 miljoen gebruikers — of ze zich nu in Salt Lake City, Boston, New Orleans, Anchorage of Honolulu bevinden — moeten verifiëren om naleving te garanderen en aansprakelijkheid te vermijden.
De regelgeving
De door de staat opgestelde administratieve regels dwongen commerciële entiteiten om "commercieel redelijke systemen voor het detecteren van geolocatie-obscuratie" te implementeren. Wij stellen dat deze richtlijn een technische onmogelijkheid eist.
In onze indiening bij het Ministerie van Handel van Utah beschreef EFF ook hoe deze regels een invasief regime van gegevensverzameling opleggen aan internetgebruikers wereldwijd. Als reactie op internetgebruikers die de invasieve gegevensverzameling die vereist is door leeftijdsverificatie willen vermijden, vereist SB 73 dus een nog grotere surveillance van de online activiteiten van internetgebruikers. De door het Ministerie gesuggereerde detectie-heuristieken (zoals het monitoren van verbindingslatentie of tijdzones van apparaten) zijn berucht onbetrouwbaar en kunnen gemakkelijk worden beïnvloed door normale netwerkomstandigheden. Deze actieve surveillance leidt onvermijdelijk tot wijdverspreide misclassificatie, onterechte toegangsblokkades en ernstige gevolgen voor de privacy van gebruikers ver buiten de grenzen van Utah.
Wat nu?
Zoals we herhaaldelijk hebben gezegd: het internet zal altijd een weg vinden om censuur te omzeilen.
Het afdwingen van invasieve tracking en het bestraffen van het gebruik van essentiële beveiligingstools verandert oprechte privacyzorgen in louter "compliance theater" en vereist meer door de staat opgelegde surveillance van internetgebruikers die vertrouwen op VPN's. Zoals het geval is in zwaar gecensureerde regio's, zullen VPN-diensten en obscuratie-tools zich simpelweg aanpassen, waardoor dit kader fundamenteel onhoudbaar is.
Hoewel wetgevers in Utah hebben aangegeven dat ze mogelijk zullen proberen de wet te herzien tijdens de volgende wetgevingsperiode, schept de voorlopige voorziening van de rechtbank een belangrijk precedent: staatswetgevers zouden leeftijdsverificatie niet moeten weaponizen om sleepnet-tracking af te dwingen of essentiële beveiligingstools te ondermijnen.
Terwijl andere staten soortgelijke anti-VPN-voorstellen overwegen, zal EFF blijven strijden tegen deze technisch onmogelijke mandaten en de privacy en anonimiteit van gebruikers verdedigen. Daarom dringen we er bij wetgevers en toezichthouders op aan om anti-privacyregels af te wijzen, prioriteit te geven aan echte gebruikersbeveiliging en constitutionele bescherming voor alle gebruikers te waarborgen.
Groetjes,