ขอบเขต บันทึกนี้ครอบคลุม VPN ฟรีของ Opera ที่ติดตั้งมาในเบราว์เซอร์ ซึ่งเป็นเหตุให้เป็น browser_proxy: Opera ระบุไว้อย่างชัดเจนว่า "ปกป้องเฉพาะการท่องเว็บของคุณภายในเบราว์เซอร์ Opera และไม่ปกป้องอุปกรณ์ทั้งหมดของคุณ"
VPN Pro ซึ่งเป็น VPN แบบชำระเงินและเป็นผลิตภัณฑ์ที่เกี่ยวข้องกัน เป็นผลิตภัณฑ์คนละรายการและไม่นำมาคิดคะแนนที่นี่ - แถลงการณ์ความเป็นส่วนตัวระบุว่า VPN Pro "ให้บริการโดยผู้ให้บริการบุคคลที่สามซึ่งเป็นเจ้าของ ดำเนินงาน และบำรุงรักษาโครงสร้างพื้นฐาน" มีค่าใช้จ่ายเริ่มต้นที่ $4 ต่อเดือน ครอบคลุมอุปกรณ์ได้สูงสุดหกเครื่องและ 48 ประเทศ ขณะที่ VPN ฟรีใช้โครงสร้างพื้นฐานของ Opera เอง
ผู้ให้บริการบุคคลที่สามรายนั้นเปลี่ยนไป: ประกาศการตรวจสอบปี 2024 ระบุว่าเซิร์ฟเวอร์ VPN Pro "ให้บริการโดยความร่วมมือกับ Nord" และบทอธิบายปี 2026 ระบุว่า VPN Pro "ติดตั้งโปรโตคอล Lightway รุ่นใหม่" ซึ่งเป็นของ ExpressVPN ไม่มีเอกสารฉบับใดระบุว่าการจัดการดังกล่าวเปลี่ยนไป
ส่วนที่เหลือที่ยังเปิดค้างอยู่ — อีก 394 คำ
X02 เป็นข้อค้นพบหลัก และเอกสารทั้งสองฉบับที่รองรับข้อนี้เป็นเอกสารของ Opera เอง ประกาศปี 2024 อ้างความเห็นของ Deloitte ว่า "การกำหนดค่าระบบไอทีและการจัดการการดำเนินงานด้านไอทีที่สนับสนุนได้รับการออกแบบและนำไปใช้อย่างเหมาะสมในสาระสำคัญทุกประการ โดยอิงตามเกณฑ์ที่อธิบายไว้ใน Management Assertion ของ Opera ณ วันที่ 10 สิงหาคม 2024" และแยกกันระบุว่าประโยค "ไม่มีฟังก์ชันการบันทึกข้อมูลติดตั้งอยู่ในบริการ VPN และไม่มีการเก็บข้อมูลใด ๆ ทั้งสิ้น" มาจาก Management Assertion ของ Opera เอง
โพสต์ปี 2026 เล่าการตรวจสอบครั้งเดียวกันอีกครั้ง โดยระบุว่า Deloitte เป็นผู้ดำเนินการตรวจสอบ: "เราให้ทีมของ Deloitte เข้าถึง VPN และโครงสร้างพื้นฐานเซิร์ฟเวอร์ของเราได้อย่างครบถ้วน และพวกเขาสามารถตรวจสอบคำกล่าวอ้างของเราได้ ... ที่จริงแล้ว ฟังก์ชันการบันทึกข้อมูลไม่ได้ติดตั้งอยู่ใน VPN ตั้งแต่แรกด้วยซ้ำ" โพสต์เดียวกันนี้ยกระดับช่วงเวลาที่โพสต์ปี 2024 ระบุไว้ว่า 18 มิถุนายนถึง 10 สิงหาคม 2024 ให้กลายเป็น "การเข้าถึงอย่างครบถ้วน"
Opera กำลังอธิบายคำกล่าวอ้างของตนเองว่าเป็นข้อสรุปของผู้ตรวจสอบ นั่นคือเหตุผลที่บล็อก VERIFY แยกออกมาในลักษณะนี้ V01 เป็น yes_verified โดยอาศัยรายงานที่เปิดอ่านได้จริง — บทสรุปการจัดการที่ Cure53 เผยแพร่เองเกี่ยวกับการประเมินในเดือนมีนาคม 2022 — ไม่ใช่โดยอาศัยประกาศของ Deloitte
รายงานของ Deloitte เองไม่ได้เผยแพร่ไว้ที่ใดเลย ดังนั้น V02 จึงเป็น press_only และทุกฟิลด์ที่เป็นข้อค้นพบของรายงานนั้น ไม่ใช่ข้อเท็จจริงเกี่ยวกับการว่าจ้าง ยังคงเป็นไม่ทราบ ได้แก่ ความครอบคลุมของกลุ่มเซิร์ฟเวอร์ (V04) มาตรฐานการให้ความเชื่อมั่น (V07) สิ่งที่รายงานระบุว่าเก็บไว้ (V11) และความหนักแน่นของความเห็น (V15)
ข้อเท็จจริงเกี่ยวกับการว่าจ้าง — บริษัท ประเภทของบริษัท วันที่ และสิ่งที่ระบุว่าทดสอบ — นำมาจากประกาศ ผู้ขายที่มีหลักฐานชัดเจนว่าเคยอธิบายการตรวจสอบนี้ใหม่ครั้งหนึ่งแล้ว ไม่ใช่แหล่งข้อมูลสำหรับข้อสรุปของการตรวจสอบ C01 เป็น none_linkable เพราะนั่นคือคำประกาศในคำชี้แจงความเป็นส่วนตัว ส่วน V11 คือข้อค้นพบ และไม่มีข้อค้นพบให้อ่าน
รายงานของ Cure53 มีอยู่จริง และเป็นเหตุผลที่ V14 เป็น yes_verified: ผู้ทดสอบเจ็ดคน ใช้เวลาทำงานยี่สิบสี่วันต่อคน ตรวจสอบแบบ white-box ครอบคลุมชุดงานสี่ชุด ได้แก่ ไคลเอนต์ VPN การกำหนดค่าและโครงสร้างพื้นฐานของเซิร์ฟเวอร์ และโปรโตคอล Opera Mini ที่ใช้ส่งการกำหนดค่า VPN พบประเด็นที่เกี่ยวข้องกับความปลอดภัยสิบสี่รายการ โดยแปดรายการเป็นช่องโหว่จริง ห้ารายการได้รับการจัดระดับความรุนแรงสูง และไม่มีรายการใดวิกฤต
ณ เดือนมีนาคม 2022 มีการแก้ไขแล้วเก้ารายการและมีการยืนยันการแก้ไขแล้ว หนึ่งรายการแก้ไขบางส่วน สามรายการยอมรับความเสี่ยง หนึ่งรายการเป็นการแจ้งเตือนเท็จ และหนึ่งรายการยังอยู่ระหว่างดำเนินการ บล็อกของ Opera ระบุว่ารายการทั้งเจ็ดที่เกี่ยวข้องโดยตรงกับ VPN ของเบราว์เซอร์ "ได้รับการแก้ไขทั้งหมดในเวลาต่อมา" และตารางก็ยืนยันเช่นนั้น — รายการที่ยังเหลืออยู่ในชุดงาน Opera Mini ไม่ใช่ในตัว VPN เอง
มีการเปิดเผยความเป็นเจ้าของอย่างครบถ้วน และสายความเป็นเจ้าของสิ้นสุดที่ประเทศที่มีข้อบังคับ จึงเป็นเหตุผลที่ X03 และ C11 ชี้ไปคนละทิศทางโดยไม่ขัดแย้งกัน
ผู้ควบคุมข้อมูลที่ระบุในคำชี้แจงความเป็นส่วนตัวของ Opera เองคือ Opera Norway AS ซึ่งเป็นบริษัทนอร์เวย์ และรายงานความโปร่งใสก็ยื่นในชื่อนี้
บริษัทโฮลดิงคือ Opera Limited ซึ่งเป็นบริษัท exempted ที่จดทะเบียนจัดตั้งในหมู่เกาะเคย์แมนในเดือนมีนาคม 2018 และไม่มีการดำเนินงานที่มีสาระสำคัญเป็นของตนเอง Form 20-F สำหรับ 2025 ระบุว่า Hong Kong Kunlun Tech Holding Limited เป็นผู้ถือหุ้นหลักที่ 68.0% ซึ่งเป็นบริษัทย่อยของ Kunlun Tech Co., Ltd. ที่จดทะเบียนจัดตั้งใน PRC และระบุว่า Kunlun "เป็นบริษัทแม่สูงสุดของ Opera และอยู่ภายใต้การควบคุมของประธานกรรมการบริหารของ Opera"
ดังนั้น M06 คือ NO และ C10 คือ no ขณะที่ M11 คือ CN และ C11 คือ yes
C12 คือช่องว่างที่ชัดเจนที่สุดระหว่างคำประกาศของ VPN กับแอปพลิเคชันที่ VPN นั้นอยู่ภายใน ส่วน VPN ของคำชี้แจงความเป็นส่วนตัวประกาศว่าไม่มีการบันทึกข้อมูล ส่วนอื่นของเอกสารฉบับเดียวกันระบุว่าเมื่อมีการติดตั้งแอปพลิเคชัน Opera "ระบบจะสร้าง ID การติดตั้งแบบสุ่ม เราเก็บตัวระบุนี้ รวมถึง Machine ID ข้อมูลจำเพาะของฮาร์ดแวร์ (รุ่น วันที่วางจำหน่าย และอื่น ๆ) ระบบปฏิบัติการ การกำหนดค่าสภาพแวดล้อม และข้อมูลการใช้งานฟีเจอร์" โดยเก็บไว้นานสูงสุดสามปี
Machine ID มาจากฮาร์ดแวร์ ดังนั้นตัวระบุที่ผู้ให้บริการถือครองคือ persistent_hardware_id ไม่ใช่ตัวระบุแบบสุ่มที่จำกัดขอบเขตอยู่ในแอป ไม่ว่าอุโมงค์จะบันทึกข้อมูลหรือไม่ก็ตาม
X12 เปรียบเทียบเอกสารสองฉบับที่ Opera ยื่นเอง แบบฟอร์มความปลอดภัยของข้อมูล Play สำหรับ com.opera.browser ระบุว่ามีการเก็บ Installed apps เพื่อ Analytics แต่คำชี้แจงความเป็นส่วนตัวไม่เคยกล่าวถึงการเก็บแอปพลิเคชันที่ติดตั้งบนอุปกรณ์เลย Installed apps เป็นพฤติกรรม ไม่ใช่ตัวระบุ ดังนั้นจึงเป็น undisclosed_behaviour
แบบฟอร์มฉบับเดียวกันระบุว่ามีการแชร์ Device or other IDs กับบริษัทอื่นเพื่อการโฆษณา ซึ่งเป็นเหตุให้ C07a อยู่ที่ ads ส่วน C07b อาศัยสิ่งที่แคบกว่านั้นและจึงถูกทำเครื่องหมายเป็น B: โฮสต์บุคคลที่สามเพียงรายเดียวในมาร์กอัปที่ให้บริการสำหรับหน้าผลิตภัณฑ์คือ Google Tag Manager และไม่มีการแจกแจงสิ่งที่คอนเทนเนอร์นั้นโหลดขณะทำงาน
U02 ไม่ทราบโดยการออกแบบของผลิตภัณฑ์ ไม่ใช่เพราะการค้นหาล้มเหลว: VPN ฟรีมีสามภูมิภาค — Opera เรียกว่า America, Asia และ Europe — และไม่เคยระบุประเทศ C09 และ C09b เป็นผลจากสิ่งนั้น และไม่สามารถยุติข้อสรุปได้ตราบใดที่ยังเป็นเช่นนี้
X05 คือ ads_supported ตามคำอธิบายของ Opera เอง ซึ่งระบุการโฆษณาเป็นแหล่งรายได้ลำดับแรกจากสามรายการ และอธิบายว่า Opera Ads เก็บ user ID ที่สร้างขึ้นแบบสุ่ม เมืองหรือประเทศ และหมวดหมู่กว้าง ๆ ของเว็บไซต์ที่เข้าชม โดยเก็บไว้นานสูงสุดหนึ่งปี เมื่อรวมกับ U05 = unlimited_free แล้ว นี่ตรงกับกรณีที่ R15 มีไว้เพื่อชี้ให้เห็นพอดี
X06 คือคำกล่าวอ้างในโพสต์ปี 2026 ที่ว่า AES-256 "จะใช้เวลามากกว่าพันล้านปีในการถอดรหัส แม้แต่สำหรับแฮ็กเกอร์ที่มีคอมพิวเตอร์เร็วที่สุด" X09 คือ self_disclosed_prompt ในโพสต์ปี 2026 สองโพสต์ที่ Opera เผยแพร่ช่องโหว่ซึ่งนักวิจัยภายนอกรายงานให้ทราบ พร้อมการวิเคราะห์และเวอร์ชันที่แก้ไขแล้ว — สิ่งเหล่านี้เป็นช่องโหว่ของเบราว์เซอร์ ไม่ใช่เหตุการณ์ของ VPN และไม่ทราบเหตุการณ์ของ VPN ใด
C05 เป็น not_sold VPN ฟรีไม่มีขั้นตอนการชำระเงินเลย — ไม่มีการสมัครสมาชิก ไม่มีบัญชี — ดังนั้นจึงไม่มีอะไรให้ชำระโดยไม่เปิดเผยตัวตนหรือในรูปแบบอื่น
บันทึกนี้เดิมเขียนเป็น none ซึ่งอ่านได้ว่า "มีการเสนอเฉพาะวิธีการชำระเงินที่ระบุไว้เท่านั้น" และไม่เป็นจริงในกรณีนี้ เพราะในเวลานั้นคลังคำศัพท์ไม่มีโทเค็นสำหรับบริการที่ไม่รับเงินเลย ส่วน unknown จะเป็นการกล่าวอ้างว่าการค้นหาล้มเหลว ซึ่งก็ไม่เป็นจริงเช่นกัน และเมื่อมีความหมายที่ผิดอยู่สองแบบ จึงบันทึกแบบที่ผิดพลาดไปในทางเป็นผลเสียต่อผู้ให้บริการ โทเค็นนี้มีอยู่แล้วในปัจจุบันและมีราคาเป็นศูนย์ ซึ่งเป็นคำตอบที่ตรงไปตรงมา: เมื่อไม่มีการชำระเงิน ก็ไม่มีข้อมูลระบุตัวตนด้านการชำระเงินให้รั่วไหล
