インドのVPNデータ保持規則2026：あなたにとって何を意味するか

報告されている内容

インド当局は、2026年9月に発効予定の新しいVPN規則を導入したと報じられています。報告によれば、この規則はVPNプロバイダに対し、ユーザーデータとIPアドレスを少なくとも5年間保存することを求め、顧客がサービスの利用をやめた後も対象となります。表明されている目的はサイバーセキュリティの向上です。規則が新しく、実施の詳細がまだ詰められている段階であるため、この記事の内容はすべて、確定した運用ではなく報道された内容として述べます。

VPN各社は反発しており、この要件は悪用されやすく、ユーザーデータを危険にさらすと主張しています。報告によれば、インドから撤退したプロバイダもあれば、検討しているとされるプロバイダもあります。この反応自体が示唆に富みます。どのプロバイダが接続データの長期保存を許容できると考え、どれがそうでないかが分かるからです。

実際に何が保存されるのか

報告されている規則で最も重要なのは二つの区分です。アカウント単位のユーザーデータと、接続に関連付けられたIPアドレスです。報道は最低保存期間を5年とし、その義務は顧客関係の終了後も存続すると述べています。つまり報告されている規則の下では、購読を解約しても、すでに収集されたものが削除されるわけではありません。

この最後の点が、プロバイダが最も反発した部分です。登録時に始まり、解約後も何年も続く保存の時計は、短期間しかサービスを使わなかった人についての記録が、その利用期間をはるかに超えて残り得ることを意味します。

「法令遵守のためにログを取る」は「ノーログ」とは別の製品

多くのプロバイダはすでに、請求、不正防止、税法のために一部の記録を保持しており、信頼できるプロバイダは何をなぜ保持するかを正確に公表しています。それは誠実であり、同時に有用でもあり得ます。しかし、運営者が接続データをそもそも保持しないようにシステムを設計する厳格なノーログVPNとは、別の製品です。

この区別はマーケティングの文言の問題ではなく、アーキテクチャの問題です。IPアドレスとタイムスタンプを5年間保存することを義務づけられたプロバイダは、そのデータを保存し、索引付けし、保護するシステムを構築しなければならず、提出を強制され得ます。ノーログのプロバイダは、そもそもデータを保持しないことでこの問題を避けます。どちらも真実を述べているかもしれませんが、渡すものがないと真実として言えるのは一方だけです。

IPアドレスとタイムスタンプの組が、聞こえる以上に識別性が高い理由

IPアドレスそれ自体は名前ではなく、一つのタイムスタンプは自白ではありません。しかし両者が揃うと、それは結合キーになります。あなたのアドレスと利用時刻を併せて記録している他のあらゆるサービス、つまりソーシャルネットワーク、商店、ニュースサイト、メールプロバイダ、ゲームサーバーは、それと突き合わせられる行を持っています。

この突き合わせに、VPNプロバイダがあなたが誰かを知っている必要はありません。必要なのは、その分にそのアドレスを使っていたのがどのアカウントかという記録を、他の誰かが持っていることだけです。長い保存期間は、そうした突き合わせが可能なままでいられる年数を延ばし、そもそもその記録を保持する価値のあるものにします。

管轄外に出ることで解決すること、しないこと

報告によれば、インドから撤退したプロバイダもあれば検討中のプロバイダもあり、現地サーバーを引き上げたところもあります。撤退すれば現地のインフラがなくなり、原則として、そこで収集されたデータを保存する現地の義務もなくなります。しかし、すでに存在する記録が自動的に消えるわけではありません。

あなたのアカウント記録、支払履歴、そしてプロバイダがその管轄内で運営していた間に収集されたものは、今もそこにつながるシステムに残っている可能性があります。現地法人や現地の決済処理を持つプロバイダは、保持しているものについて現地の命令に依然として直面し得ます。プロバイダがどこで設立され、どこに記録を保存しているかは、サーバーが地図上のどこにあるかと同じくらい重要です。

インドにいる場合、またはインドを訪れる場合

インドの管轄に一切関わりのない読者にとって、この規則の直接的な実務上の影響は小さいものです。この規則は、インドで事業を行うプロバイダが何を保持しなければならないかに関するものであり、トンネルの仕組みを変えるものではなく、別の場所にあるプロバイダが突然あなたのトラフィックを保存するようになるものでもありません。

インドにいる、またはインドを訪れる予定なら、有用な問いは具体的です。あなたのアカウントを保有しているのはどの会社か、その法人はどこに登記されているか、公表されたポリシーが保存とアカウント削除について何を述べているか、そして保持していないと主張するデータの請求にどう対応するか。自宅と同じようにアプリが動作すると決めつけず、渡航前にどのサーバーに実際に到達できるかを確認してください。

実際にできること

その性質が自分にとって重要なら、ノーログの主張が公表され独立した監査を受けているプロバイダを選び、法人とデータの保存場所が懸念する管轄の外にあるプロバイダを優先してください。可能であれば、アカウントを、あなたの生活の他の部分と結び付く支払い情報に紐づけるのは避けてください。そしてプライバシーポリシーは、一度きりの購入判断ではなく、規則が変わったときに読み返す文書として扱ってください。

これによって誰かが見えなくなるわけではありませんし、そうなる必要もありません。あなたについての、長く残り突き合わせ可能なデータが、そもそもどれだけ存在するかを減らすのです。それが、あなたが実際に制御できる部分です。

結論

インドの報告された規則は、顧客が離れた後も含めて、ユーザーデータとIPアドレスに5年間という保存の下限を設けるものです。報告どおりに発効するかどうかにかかわらず、この規則はより広い傾向を示しています。保存義務は、ありふれた接続記録を、他所に保持された記録と突き合わせ可能な長期の識別子に変えてしまうのです。大半の読者にとって妥当な対応は、警鐘ではなく、自分のプロバイダがどこにあり、何を保持すると述べ、どれだけの期間保持すると述べているかの確認です。