Utah SB 73: Pierwsze w USA prawo wymierzone w użytkowników VPN wchodzi w życie 6 maja 2026 r.

Dzisiaj, 6 maja 2026 r., Utah staje się pierwszym stanem USA, który stawia użytkowników VPN na celowniku ustawy o weryfikacji wieku. Senate Bill 73 — formalnie zatytułowana Online Age Verification Amendments i podpisana przez gubernatora Spencera Coxa 19 marca 2026 r. — wchodzi dzisiaj w życie, a jej Sekcja 14 fundamentalnie zmienia relację między mieszkańcami Utah, dostawcami VPN i odwiedzanymi przez nich stronami internetowymi.

Jeśli jesteś mieszkańcem Utah czytającym ten tekst, ustawa nie czyni Twojego VPN-a nielegalnym. Wyznacza jednak moment, w którym ustawodawcy w Stanach Zjednoczonych zaczęli traktować komercyjne VPN-y nie jako standardowe narzędzie prywatności, którym są od dwóch dekad — używane codziennie przez firmy, dziennikarzy, studentów na publicznym Wi-Fi i każdego, kto łączy się z aplikacją bankową z kawiarni — lecz jako regulacyjną lukę, którą należy zamknąć.

Oto co SB 73 faktycznie robi, dlaczego obrońcy praw cyfrowych — od Electronic Frontier Foundation po NordVPN — nazywają to „pułapką odpowiedzialności prawnej”, dlaczego niemal na pewno nie osiągnie deklarowanego celu i co to oznacza dla Twojej prywatności w 2026 r.

Co tak naprawdę robi Utah SB 73

Większość SB 73 dotyczy 2-procentowego podatku od przychodów z internetowych treści dla dorosłych (wchodzi w życie w październiku 2026 r.). Przepisy wchodzące w życie dzisiaj są inne — nowelizują Sekcję 78B-3-1002 obowiązującej w Utah ustawy o internetowej weryfikacji wieku i wprost wymierzone są w korzystanie z VPN-ów na dwa sposoby:

1. Lokalizacja idzie za ciałem, a nie za adresem IP. Zgodnie z nowym prawem osoba jest uznawana za korzystającą ze strony internetowej z Utah, jeśli fizycznie znajduje się w Utah, niezależnie od tego, czy używa VPN-a, serwera proxy ani żadnego innego narzędzia maskującego lokalizację geograficzną. Innymi słowy, nawet jeśli Twój adres IP wskazuje, że jesteś w Wyoming, ustawa traktuje Cię jako użytkownika z Utah w momencie, gdy Twój telefon znajduje się w Salt Lake City.
2. Strony internetowe są zakneblowane w sprawie informacji o VPN-ach. Podmioty komercyjne, które hostują „znaczną część materiałów szkodliwych dla nieletnich”, mają teraz zakaz ułatwiania lub zachęcania do korzystania z VPN-a w celu obejścia weryfikacji wieku. Obejmuje to publikowanie instrukcji dotyczących korzystania z VPN-a — sformułowanie tak szerokie, że EFF wskazuje je jako problem z First Amendment.

Ustawa nie posuwa się do wyraźnego zakazu samego korzystania z VPN-ów. Nie ma kar dla indywidualnych mieszkańców Utah, którzy łączą się przez komercyjny VPN. Nacisk prawny skierowany jest jednoznacznie na strony internetowe — i właśnie tam zaczynają się problemy.

„Pułapka odpowiedzialności”, która martwi obrońców prywatności

Największym pojedynczym zarzutem ze strony grup praw cyfrowych jest to, co EFF nazywa pułapką odpowiedzialności: zgodnie z SB 73 strona internetowa odpowiada za weryfikację wieku każdego użytkownika fizycznie znajdującego się w Utah, nawet tych, którzy z punktu widzenia strony wydają się być gdzie indziej. Ponieważ żadna komercyjna witryna nie potrafi rzetelnie wykryć rzeczywistej geolokalizacji każdego użytkownika VPN, pozostają dwie nieatrakcyjne opcje:

• Blokować każdy znany adres IP wyjścia VPN. Utrzymywać stale rosnącą czarną listę, akceptować szkody uboczne w postaci fałszywie pozytywnych blokad (legalnych klientów korzystających z VPN, którzy zostają odcięci) i modlić się, by nadążyć za nowymi zakresami IP w miarę ich rotacji przez dostawców.
• Żądać weryfikacji wieku od każdego odwiedzającego globalnie. Traktować każdego użytkownika tak, jakby mógł być mieszkańcem Utah na VPN-ie, i wymagać dowodu wieku na poziomie dokumentu tożsamości państwowej od wszystkich — w tym milionów osób, które nie mieszkają w Utah i nie podlegają tej ustawie.

Zespół ds. polityki NordVPN nazwał to dokładnie tymi słowami — „pułapką odpowiedzialności” — w komentarzach dla TechRadar. Obie opcje rozszerzają zasięg prawa stanowego do globalnego reżimu weryfikacji tożsamości i obie nakładają realne koszty na dziennikarzy, ofiary przemocy, podróżujących służbowo i zwykłych dbających o prywatność użytkowników, którzy polegają na komercyjnych VPN-ach dla legalnego bezpieczeństwa danych.

Problem z First Amendment

Drugi przepis — knebel na strony internetowe w zakresie udostępniania informacji o VPN-ach — to część, która najprawdopodobniej spotka się z konstytucyjnym zaskarżeniem. SB 73 nie tylko wymaga od objętych nią platform egzekwowania bram wiekowych; zabrania im informowania użytkowników o całkowicie legalnym oprogramowaniu, które istnieje na świecie.

EFF, Cato Institute i obrońcy wolności słowa zwracają uwagę, że ogranicza to prawdziwą, niewprowadzającą w błąd wypowiedź na temat legalnego narzędzia prywatności. Jak ujął to Cato Institute: „Gdy regulację internetową można obejść za pomocą stosunkowo powszechnej technologii, która często zapewnia istotne korzyści w zakresie prywatności i bezpieczeństwa, być może to sama regulacja jest problemem”.

Czy SB 73 rzeczywiście zadziała? Realia techniczne

Krótka odpowiedź brzmi: nie. Dłuższa odpowiedź jest taka, że nawet częściowy sukces wymagałby poziomu fingerprintingu sieciowego, którego żaden pojedynczy stan nie może wymusić, a żaden operator strony nie może dostarczyć. Oto co zrobią zmotywowani użytkownicy — w ciągu godzin od wejścia ustawy w życie, nie miesięcy:

• Migracja na proxy rezydencjalne. Proxy rezydencjalne kierują ruch przez prawdziwe konsumenckie adresy IP dostawców internetu, nieodróżnialne od zwykłego ruchu domowego. Istnieją od lat dla legalnych zastosowań — web scrapingu, weryfikacji reklam i ochrony marek — i obchodzą czarne listy komercyjnych VPN-ów trywialnie, ponieważ nie znajdują się na tych listach.
• Stawianie prywatnych tuneli w chmurze. VPS za 5 USD/mies. na AWS, DigitalOcean lub Hetzner z uruchomionym WireGuard daje świadomemu technicznie użytkownikowi osobisty adres IP wyjścia VPN, którego żadna czarna lista nigdy nie złapie — bo jest to pojedynczy IP, którego wczoraj nie było i który nigdy nie pojawi się w zakresach komercyjnych VPN-ów.
• Korzystanie z Tor lub samodzielnie hostowanych Shadowsocks/V2Ray. Open-source'owe narzędzia obfuskacji opracowane dla mieszkańców krajów ze ścisłą cenzurą internetu pokonują już znacznie bardziej zaawansowane mechanizmy detekcji niż cokolwiek, co przewiduje ustawa Utah.

Szkody uboczne spadają na zwykłego mieszkańca Utah, który po prostu chce, by jego ruch bankowy był szyfrowany w hotelowym Wi-Fi — a nie na nieletniego z umiejętnościami technicznymi, którego ustawa miała chronić. Jak zauważył EFF: „te przepisy nie powstrzymają zorientowanego technicznie nastolatka, ale na pewno wpłyną na prywatność każdego zwykłego mieszkańca Utah, który chce po prostu zachować swoje dane z dala od brokerów lub złośliwych aktorów”.

Utah nie jest samotne — globalny obraz w 2026 r.

SB 73 to amerykański punkt szczytowy, ale wpisuje się w globalny wzorzec reakcji rządów na wzrost użycia VPN-ów po każdym nakazie weryfikacji wieku. Historia rozegrała się w ten sam sposób w kilkunastu jurysdykcjach w ciągu ostatnich trzech lat:

• Stany USA z ustawami o weryfikacji wieku napędzającymi skoki użycia VPN: Florida, Missouri, Texas, Utah (od 2023 r.), Louisiana, Mississippi, Virginia, Tennessee, North Carolina, Idaho i inne — Utah jest teraz pierwszym stanem, który odpowiada na wzrost użycia VPN-ów, atakując samo narzędzie.
• Wisconsin: Zaproponował podobne sformułowania wymierzone w VPN-y; obrońcom udało się wymusić ich usunięcie ze względu na obawy konstytucyjne i techniczne. Utah brnął dalej mimo tych samych zastrzeżeń.
• UK: Children's Commissioner publicznie nazwał VPN-y „luką, którą trzeba zamknąć”, po tym jak Online Safety Act spowodował masowy wzrost adopcji VPN-ów.
• France: Minister Delegowany ds. Sztucznej Inteligencji i Spraw Cyfrowych wskazał VPN-y jako „kolejny temat” na agendzie regulacyjnej, po tym jak kraj wprowadził zakaz mediów społecznościowych dla dzieci poniżej 15. roku życia.
• Australia, Indonesia: Oba kraje wprowadziły ustawy o weryfikacji wieku, które wywołały wzrosty użycia VPN-ów, a regulacyjne działania następcze są aktywnie dyskutowane.

Wzorzec jest spójny: regulacja tworzy popyt na narzędzie, a następnie regulacja zwraca się przeciwko temu narzędziu. To, czy SB 73 wytrzyma wyzwania prawne, czy zostanie po cichu wycofana jak wersja Wisconsin, jest jedną z najważniejszych historii amerykańskiej polityki internetowej w 2026 r.

Co to oznacza dla mieszkańców Utah

Jeśli mieszkasz w Utah i korzystasz dziś z VPN-a z tych samych powodów co większość ludzi — bankowość na publicznym Wi-Fi, praca zdalna z kawiarni, oddzielanie kont służbowych i prywatnych, ochrona przed doxingiem czy po prostu nie chcesz, by Twój dostawca internetu logował każdą odwiedzaną stronę — nic w Twoim codziennym używaniu VPN-a nie jest nielegalne na mocy SB 73. Ustawa wymierzona jest w strony internetowe, a nie w użytkowników.

Tym, co się zmienia, jest doświadczenie korzystania z VPN-a przy odwiedzaniu pewnych stron:

• Niektóre strony dla dorosłych mogą teraz blokować cały ruch VPN. Jeśli witryna zdecyduje, że bezpieczniejszą ścieżką zgodności jest blokada każdego rozpoznanego IP VPN, zobaczysz ściany CAPTCHA lub twarde blokady, mimo że mieszkasz w Utah i używasz VPN-a w legalnych celach.
• Niektóre strony mogą żądać globalnej weryfikacji wieku. Jeśli zamiast tego wybiorą ścieżkę „weryfikuj każdego”, zobaczysz monity o weryfikację wieku na poziomie dowodu osobistego, których tydzień temu nie było — w tym ze stron, które wyraźnie nie są treściami dla dorosłych.
• Zobaczysz mniej informacji o VPN-ach na objętych regulacją platformach. Przepis o kneblu oznacza, że poradniki, rekomendacje, a nawet podstawowe wyjaśnienia o VPN-ach mogą zniknąć ze stron działających pod parasolem zgodności z SB 73.

Jak chronić swoją prywatność w 2026 r. (legalnie)

Niezależnie od Twoich poglądów na politykę weryfikacji wieku, pytanie techniczne — „jak utrzymać mój zwykły ruch internetowy prywatny i bezpieczny w 2026 r.” — ma tę samą odpowiedź co tydzień temu. Wybierz renomowany komercyjny VPN o tych cechach:

• Zweryfikowana polityka braku logów z niezależnymi raportami audytowymi, które możesz przeczytać.
• Wsparcie protokołu WireGuard (niskie opóźnienia, nowoczesna kryptografia).
• Serwery z obfuskacją, by sam ruch VPN nie został zfingerprintowany.
• Kill switch, by Twój prawdziwy adres IP nie wyciekł, gdy tunel się rozłączy.
• Jurysdykcja poza sojuszem wymiany wywiadowczej 14 Eyes — Panama, Brytyjskie Wyspy Dziewicze i Szwajcaria są częste.

Dla użytkowników, którzy chcą iść o krok dalej niż komercyjne pule zakresów VPN — w szczególności mieszkańców Utah, którzy spodziewają się zostać złapani w czarnych listach komercyjnych VPN-ów na stronach przyjmujących najsurowszą ścieżkę zgodności z SB 73 — plan Dedykowanego Rezydencjalnego IP od dostawcy takiego jak CometVPN daje Ci stały adres IP wyjścia od prawdziwego dostawcy internetu, który wygląda jak zwykłe domowe połączenie i nie pojawi się na czarnych listach komercyjnych VPN-ów. CometVPN działa na WireGuard, zawiera kill switch, oferuje serwery z obfuskacją, ma siedzibę w Panamie i zaczyna się od 1,89 USD/mies. w planie dwuletnim, z Dedykowanym Rezydencjalnym IP dostępnym jako dodatek.

Zaawansowani użytkownicy, którzy potrzebują bardziej szczegółowej kontroli — na przykład automatyzacja przeglądarki, przepływy z wieloma kontami lub scraping — mogą również skorzystać z proxy rezydencjalnych od MarsProxies lub IPRoyal, które dostarczają pochodzenia IP od prawdziwego dostawcy internetu, podobnie jak warstwa Dedykowanego Rezydencjalnego VPN, ale z routingiem na poziomie aplikacji.

Szerszy obraz

VPN-y to w istocie narzędzia umożliwiające istnienie nowoczesnego, dbającego o prywatność internetu. Atakowanie ich — czy to przez kneblującą pułapkę odpowiedzialności w Utah, ramę „luki” w UK, czy agendę „następnego tematu” we France — jest w gruncie rzeczy atakiem na architekturę chroniącą dziennikarzy, podróżujących służbowo, ofiary przemocy i zwykłych użytkowników, którzy po prostu nie chcą, by ich dane były sprzedawane temu, kto da najwięcej.

SB 73 to pierwsze prawo stanowe w USA, które zrobiło ten krok. Prawdopodobnie nie ostatnie. Pytanie regulacyjne na resztę 2026 r. brzmi: czy wyzwania prawne, obejścia techniczne i społeczny sprzeciw wystarczą, by spowolnić ten trend — czy też kolejna runda stanowych ustaw o weryfikacji wieku skopiuje scenariusz Utah słowo w słowo.

Na razie 6 maja 2026 r. zapisuje się jako dzień, w którym Stany Zjednoczone przekroczyły linię. Będziemy obserwować, co stanie się dalej.

Źródła: Electronic Frontier Foundation, tekst SB 73 uchwalony przez legislaturę Utah, TechRadar / NordVPN, Tom's Hardware, CyberInsider, Cato Institute.