ExpressVPN vs Private Internet Access

Zpráva o transparentnosti. P05/P06/P08/P09 nyní vycházejí z pololetní zprávy ExpressVPN o transparentnosti (červenec–prosinec 2025: 155 žádostí vládních orgánů a orgánů činných v trestním řízení, 0 poskytnutí údajů, 3 soudní příkazy uvedené samostatně), která byla zpřístupněna prostřednictvím Trust Center — předchozí průchod přehlédl obojí.

Kanár a zbytek bloku. Nebyl nalezen žádný warrant canary ExpressVPN a žádné primární prohlášení jeho existenci nepopírá, takže P07 zůstává neznámo. P02/P03=none_known vycházejí z řady zpráv o transparentnosti a postoje zásad ochrany soukromí k soudním sporům; P11=none_known z prohlášení v zásadách, že všechny žádosti procházejí soudy BVI. P04=withdrew_physical je odchod z Indie v červnu 2022.

Co se nikdy nezveřejňuje. Počet předplatitelů (M08) a celkový počet serverů (U03) nejsou zveřejněny. Vlastnictví serverového hardwaru (C08: vlastněný vs. pronajatý) a identifikátory zařízení na úrovni aplikace (C12) nebylo možné doložit z žádné prověřené stránky.

106 zemí oproti deklarovaným 113. U02_server_countries odráží 105 stránek pro jednotlivé země ve vlastním sitemapu ExpressVPN plus Čínu (potvrzenou jako „Available - Virtual Locations“ na aktuální stránce /vpn-server, ale bez vlastní stránky pro danou zemi) — celkem 106 kódů oproti vlastnímu marketingovému tvrzení webu „113 Countries“; aktuální stránka s umístěními serverů je velmi rozsáhlá tabulka podle protokolů, která nebyla vyčerpávajícím způsobem analyzována, takže mezera mezi 106 a 113 je uvedena, nikoli vyřešena.

Zjištění z auditu mezi dvěma kategoriemi. V11_audit_findings je zaznamenáno jako session_metadata, nikoli jako none_linkable nebo aggregates_only: zpráva KPMG z roku 2025 popisuje strukturovaný záznam pro každé připojení (země, ISP, datum, protokol, objem dat, stabilní pseudonym se salted-hash), který je více než čistý agregát, ale neobsahuje IP ani přesný čas — skutečně nejednoznačný případ pro čtyři střední kategorie tohoto pole.

V tomto průchodu neověřeno. Zda pokrytí ExpressVPN existuje mimo partnerské weby (X08), jeho úroveň partnerských výplat (X10) a zda média s recenzemi provozovaná vlastníkem upozorňují na vazbu vlastnictví (X11), nebylo v tomto průchodu ověřeno.

P2P, hledáno a nenalezeno. U12a_p2p_allowed zůstává neznámo z jiného důvodu než u zbytku: bylo hledáno a není zveřejněno. Ani sitemap (578 stránek a podpůrných URL), ani podmínky služby nikde nezmiňují P2P, BitTorrent nebo sdílení souborů, zatímco každý další katalogizovaný poskytovatel uvádí svůj postoj ve vlastních dokumentech. Uzavřel by to podpůrný článek nebo ustanovení v podmínkách; tvrzení recenzního webu, že to funguje, nikoli.

Co nebylo zkoumáno. Zpráva pokrývá pouze infrastrukturu. C07a_app_sdk a C12_device_identifier jsou fakta na straně aplikace, která nikdy nezkoumala; nyní odkazují na zásady ochrany soukromí, jež popisují analytiku návštěvníků webu a diagnostické zprávy odesílané na základě souhlasu, které obsahují platformu a verzi aplikace. Číst kterékoli z nich jako tvrzení o SDK zkompilovaných do aplikace je nejslabším článkem tohoto záznamu a právě open-source klienti jsou místem, kde by se to skutečně rozhodlo.

Předvolání z roku 2016 stojí na vlastním tvrzení PIA, nikoli na soudním spise. Jediný podrobný popis případu McWaters (S.D. Fla., 9:16-cr-80043) je na partnerském webu, který tento záznam nemůže citovat; docket CourtListener pro tento případ neuvádí žádné předvolání, žádného poskytovatele ani výsledek. P03_court_record a P12_case_history nyní stojí na vlastním prohlášení PIA ve zprávě o transparentnosti, že v letech 2016–2017 obdržela předvolání a neposkytla nic — vlastní deklarace úrovně B, nikoli ověřený soudní záznam.

V roce 2017 turecké úřady zabavily server ExpressVPN při vyšetřování atentátu na ruského velvyslance Andrei Karlova a nenašly žádné použitelné Logy (TorrentFreak, který uvádí oznámení o sponzorství ExpressVPN — zaznamenáno, nikoli vyloučeno, protože fakta lze externě ověřit a vlastní stránka ExpressVPN s vyjádřením od té doby vrací HTTP 410 bez snímku ve Wayback Machine).

V září 2021 se zveřejnila Deferred Prosecution Agreement ministerstva spravedlnosti USA s Danielem Gerickem, Chief Information Officer společnosti ExpressVPN, týkající se jeho předchozí role v letech 2016–2018 v hackerské operaci „Project Raven“ ve Spojených arabských emirátech; samotný primární dokument DPA ExpressVPN nikdy nejmenuje (týká se pouze jeho předchozího zaměstnání ve Spojených arabských emirátech) — vazba na ExpressVPN vychází z vlastních vyjádření ExpressVPN a tiskových vyjádření. ExpressVPN Gerickeho ponechala v zaměstnání a zveřejnila veřejnou obhajobu tohoto rozhodnutí.

C12 je resettable_ad_id v dokumentaci samotného poskytovatele, nikoli v kategorii obchodu. Marketingový odstavec zásad ochrany soukromí uvádí, že Installation ID a XV User ID se shromažďují vždy a že reklamní identifikátory — IDFA nebo Android Advertising ID — následují po výslovném souhlasu; vše se dostává do AppsFlyer. Formulář bezpečnosti dat v Google Play nezávisle deklaruje Device or other IDs pro reklamu nebo marketing.

Brána souhlasu i zde jediná nabízená mitigace — provoz směřující do AppsFlyer přes vyhrazený fond IP adres ExpressVPN, takže atribuce nemůže korelovat podle IP — jsou skutečné a jsou zde zaznamenány, protože práh oceňuje, co lze doložit, nikoli to, jak dobře je to vysvětleno.

U07_protocols obsahuje celý výběr: Lightway UDP a TCP jako vendor_open vedle WireGuard, OpenVPN UDP/TCP a IKEv2. Lightway je vlastní protokol ExpressVPN a jeho zdrojový kód je zveřejněn s nezávislým posouzením v pozadí (Cure53, 2021 a 2024), což je rozdíl, pro který vendor_open existuje — proprietary hodnotí nemožnost zjistit, zda je transport slabý, a zde to zjistit lze.

PPTP je v aplikacích ExpressVPN podle vlastní stránky poskytovatele s ukončenou podporou a L2TP a SSTP jsou tam vysvětleny, aniž by byly nabízeny.

M08_user_scale, P02_disclosure_history, P03_court_record a P12_case_history byly znovu přečteny podle stejných zdrojů a zůstávají beze změny; hlavní stránka zprávy o transparentnosti stále neuvádí žádný případ kromě předvolání z let 2016–2017, která jsou již v záznamu. Opětovná kontrola cen podle stejné stránky buy-vpn-online zjistila, že obě částky zůstaly beze změny: měsíc po měsíci $11.95, roční plán $47.88 účtovaný za první rok a automaticky obnovovaný za stejných $47.88 bez rozdílu mezi úvodní a obnovovací cenou, v souladu s paušálními cenami PIA uvedenými jinde v katalogu.

Zdrojem byly vlastní stránky a blog privateinternetaccess.com, dva PDF dokumenty Deloitte ISAE 3000 (Revised) s názvem „Independent Limited Assurance Report“ (duben 2024 a prosinec 2025, oba přímo otevřené a přečtené), vlastní web Kape Technologies, zprávy vycházející z Isle of Man/Companies House o převzetí Kape soukromými vlastníky prostřednictvím Unikmind Holdings (Teddy Sagi) v roce 2023 a oficiální organizace pia-foss na GitHubu pro klienty s otevřeným zdrojovým kódem.

Veřejný docket CourtListener k případu United States v. McWaters (9:16-cr-80043, S.D. Fla.) byl otevřen, ale neuvádí žádné předvolání, poskytovatele VPN ani výsledek; partnerský článek (vpncompare.co.uk), který toto předvolání podrobně popisuje, byl jako zakázaný zdroj vyřazen a vlastní pokrytí TorrentFreak vrátilo při každém pokusu o načtení v tomto běhu HTTP 403, včetně použití curl. P03/P12 nyní stojí na vlastní deklaraci PIA ve zprávě o transparentnosti.

Wikipedia byla z V12 vyřazena ve prospěch samotné organizace na GitHubu. Jako věcný zdroj nebyl v tomto záznamu použit žádný partnerský web ani agregátor typu „best VPN“, přestože se jich několik opakovaně objevovalo ve výsledcích vyhledávání s na první pohled věrohodnými čísly (počty serverů, počty uživatelů, data auditů), která nebylo možné ověřit podle primární stránky, a proto byla vyřazena namísto použití.