Je VPN staat waarschijnlijk gewoon aan wanneer je Netflix kijkt, thuiswerkt via het bedrijfsnetwerk of een site bezoekt die in Nederland niet toegankelijk is. Miljoenen Nederlanders gebruiken er een, meestal zonder erbij na te denken. Maar in Brussel is een discussie losgebarsten die dat gebruik ingewikkelder kan maken. De onderzoekstak van het Europees Parlement noemt VPN's inmiddels een "loophole" in de leeftijdscontrole die de EU aan het opbouwen is, en dat woord valt niet toevallig.
Wat is er precies aan de hand
In januari bracht de European Parliamentary Research Service (EPRS), de onderzoekstak van het Europees Parlement, een briefing uit met de titel Virtual private networks and the protection of children online. De conclusie is simpel: hoe strenger landen leeftijdscontrole op volwassen websites invoeren, hoe harder de vraag naar VPN's stijgt. In het Verenigd Koninkrijk en Frankrijk, waar verplichte leeftijdschecks al langer draaien, schoot het aantal VPN-downloads na invoering met honderden procenten omhoog. Logisch: een VPN verbergt je locatie, en dus ook of je in een land zit waar je zo'n check moet doorstaan.
Eurocommissaris Henna Virkkunen bevestigde bij de presentatie van een nieuw Europees leeftijdsverificatiesysteem dat gebruikers dat systeem met een VPN kunnen omzeilen, en dat Brussel daarom kijkt naar manieren om dat tegen te gaan. Hoe direct dat effect is, bleek in het Verenigd Koninkrijk: in de eerste maand na invoering van de Online Safety Act zag een populaire VPN-app het aantal downloads met zo'n 1800 procent stijgen. Dat is precies het cijfer waarmee de EPRS haar punt onderbouwt, VPN's zijn geen randverschijnsel in dit debat, ze zijn de meest gebruikte omweg.
Waarom Brussel nu ineens kritisch is op je VPN
De aanleiding ligt niet alleen bij het EPRS-rapport. Zowel het Verenigd Koninkrijk als Frankrijk voert inmiddels verplichte leeftijdscontrole in op sites met content voor volwassenen, en beide landen zien het VPN-gebruik sindsdien fors stijgen. Voor de Europese Commissie voelt dat als regelgeving die op papier goed klinkt, maar in de praktijk met een paar klikken te omzeilen is. Een toekomstige herziening van de EU Cybersecurity Act zou daarom eisen kunnen bevatten die moeten voorkomen dat VPN's als omweg dienen, al is dat nog geen concreet wetsvoorstel.
Belangrijk om te weten: er ligt geen VPN-verbod op tafel. Bright zette dat onderscheid helder neer: het gaat om een discussiestuk van een adviesorgaan, niet om een wetsvoorstel van de Europese Commissie zelf. Toch is de toon veelzeggend. Waar VPN's tot nu toe vooral golden als privacytool, verschuift het gesprek in Brussel richting "instrument om regels te ontwijken".
Nederland zet de hakken in het zand
In de Tweede Kamer stelde FVD naar aanleiding van Virkkunens uitspraken vragen aan het kabinet: is een VPN-verbod bespreekbaar om leeftijdsverificatie af te dwingen? Het antwoord was duidelijk nee. Nederland verzet zich tegen een eventueel Europees verbod op VPN-gebruik, ook als dat zou dienen om leeftijdscontrole te handhaven. Die positie sluit aan bij een bredere zorg: leg je VPN's aan banden om kinderen te beschermen, dan raak je tegelijk journalisten, klokkenluiders en gewone gebruikers die hun verkeer om heel andere redenen versleutelen. Je ziet vergelijkbare afwegingen terug bij de opmars van Signal, waar mensen bewust kiezen voor een app die minder gegevens verzamelt.
Ook uit de wetenschap komt tegengeluid. Meer dan vierhonderd onderzoekers riepen op tot een pauze op verplichte leeftijdsverificatiewetten, tot er beter bewijs ligt over de effectiviteit en de neveneffecten ervan. Zolang dat bewijs ontbreekt, wegen zij de inbreuk op privacy zwaarder dan het beoogde beschermingseffect.
Wat verandert er voor jou als VPN-gebruiker
Op korte termijn: niets. Je NordVPN, ProtonVPN of Mullvad-abonnement blijft gewoon werken zoals het nu werkt. Wat wel verandert, is het politieke klimaat eromheen. Landen die leeftijdsverificatie invoeren, testen ondertussen alternatieven die minder makkelijk te omzeilen zijn. Frankrijk experimenteert met een systeem waarbij een website alleen een ja-of-nee-signaal over je leeftijd krijgt, zonder je identiteit te zien, terwijl de partij die je leeftijd checkt niet weet welke site je bezoekt. Dat "double blind"-principe moet het beste van twee werelden combineren: controle zonder een centraal identiteitsregister.
Voor wie een VPN gebruikt om bijvoorbeeld een tracker in Windows te omzeilen verandert er voorlopig weinig, maar de discussie laat wel zien hoe snel een privacytool in een ander daglicht komt te staan zodra kinderbescherming in het spel is. Hetzelfde patroon zag je eerder bij de cookiebanners die maar niet verdwijnen: goedbedoelde regelgeving die in de uitvoering ingewikkelder uitpakt dan gehoopt.
Dit is de vraag die er straks echt toe doet
De kern van dit debat is geen technisch vraagstuk, het is een afweging. Hoe bescherm je kinderen tegen content die niet voor hen bedoeld is, zonder een systeem te bouwen dat elke volwassene verplicht zijn identiteit prijs te geven om anoniem te kunnen internetten? Frankrijk probeert een tussenweg, het Verenigd Koninkrijk koos voor een hardere aanpak, en Nederland houdt voorlopig vast aan het huidige recht op een onbeperkte VPN. Welke kant Brussel uiteindelijk op gaat, hangt af van hoeveel weerstand landen als Nederland blijven bieden. Gebruik je VPN dus gewoon zoals je gewend bent, maar hou de komende maanden in de gaten of "loophole" verandert in "wetsvoorstel".