Opera VPN vs Private Internet Access

Opera 將其自身的主張描述成其稽核員的結論。這就是 VERIFY 區塊會如此拆分的原因。V01 是 yes_verified，依據的是一份實際開啟的報告——Cure53 自行公開的 2022 年 3 月評估管理摘要——而不是 Deloitte 公告的內容。

Deloitte 報告本身未在任何地方公開，因此 V02 是 press_only；凡是該報告的發現而非關於該次委任的事實的欄位，都維持未知：伺服器群涵蓋範圍（V04）、鑑證標準（V07）、報告所述的留存內容（V11），以及意見強度（V15）。

委任事實——該公司、其類別、日期、列明測試的項目——取自公告。一個已明確重新描述過這次稽核的業者，不是說明稽核結論的來源。C01 是 none_linkable，因為隱私聲明中的宣告就是如此；V11 是該項發現，而沒有任何發現可供讀取。

Cure53 的報告確實存在，也是 V14 為 yes_verified 的原因：七名測試人員、二十四人日，對四個工作套件進行白箱測試，涵蓋 VPN 用戶端、伺服器設定與基礎架構，以及用於傳送 VPN 設定的 Opera Mini 通訊協定。共有十四項與安全性相關的問題，其中八項為實際漏洞，五項評為高嚴重度，無一項為重大漏洞。

截至 2022 年 3 月，其中九項已修復且修復結果已獲驗證，一項部分修復，三項接受風險，一項為誤報，另一項仍在進行中。Opera 的部落格表示，直接涉及瀏覽器 VPN 的七個項目「之後均已解決」，表格也證實了這點——剩餘項目位於 Opera Mini 工作套件，而非 VPN 本身。

所有者集團已完整揭露，且最終位於義務國家，因此 X03 與 C11 指向相反方向，並不互相矛盾。

Opera 自身隱私聲明中列名的資料控制者是 Opera Norway AS，一家挪威公司；透明度報告也以該名稱提交。

控股公司是 Opera Limited，於 2018 年 3 月在開曼群島註冊成立的豁免公司，本身沒有實質營運。2025 年的 Form 20-F 將 Hong Kong Kunlun Tech Holding Limited 列為持有 68.0% 股份的主要股東；該公司是 Kunlun Tech Co., Ltd. 的子公司，於 PRC 註冊成立，並表示 Kunlun「是 Opera 的最終母公司，且受 Opera 執行主席控制」。

因此 M06 是 NO，而 C10 是 no；M11 是 CN，而 C11 是 yes。

C12 是 VPN 的宣告與其所在應用程式之間最明顯的空白。隱私聲明中的 VPN 區段宣告不記錄；同一份文件的另一個區段則表示，安裝 Opera 應用程式時「會產生隨機安裝 ID。我們會收集此識別碼，以及 Machine ID、硬體規格（型號、發行日期等）、作業系統、環境設定與功能使用資料」，留存最長達三年。

Machine ID 源自硬體，因此業者持有的識別碼是 persistent_hardware_id，而不是應用程式範圍的隨機識別碼，無論通道是否記錄這些資料。

X12 比對 Opera 自行提交的兩份文件。com.opera.browser 的 Play 資料安全表單宣告會收集 Installed apps 作為 Analytics 使用，而隱私聲明完全未提及收集裝置上已安裝的應用程式。Installed apps 是行為而非識別碼，因此是 undisclosed_behaviour。

同一份表單宣告會為廣告目的與其他公司分享 Device or other IDs，這使 C07a 判定為 ads。C07b 的依據較窄，因此標記為 B：產品頁面所提供的標記中唯一的第三方主機是 Google Tag Manager，而該容器在執行階段載入的內容未列明。

U02 因產品設計而未知，而不是因搜尋失敗：免費 VPN 提供三個區域——Opera 將其命名為 America、Asia 與 Europe——卻從未指定國家。C09 與 C09b 由此而來，在此狀態維持期間無法確認。

X05 是 Opera 自己說明頁上的 ads_supported；該頁將廣告列為三項收入來源中的第一項，並說明 Opera Ads 會收集隨機產生的使用者 ID、城市或國家，以及瀏覽網站的廣泛類別，留存最長達一年；加上 U05 = unlimited_free，這正是 R15 設立來標記的情況。

X06 是 2026 年文章中的宣稱：AES-256「即使是使用最快電腦的駭客，也要超過十億年才能破解」。X09 是兩篇 2026 年文章中的 self_disclosed_prompt；Opera 在其中公開了外部研究人員向其回報的弱點，以及分析結果與修正版本——這些是瀏覽器弱點而非 VPN 事件，且目前未知有任何 VPN 事件。

C05 為 not_sold。免費 VPN 完全沒有付款步驟——沒有訂閱、沒有帳號——因此無論匿名與否，都沒有需要付款的項目。

這筆紀錄最初記為 none，讀起來是「只提供已確認的付款方式」，而這在此處並不正確，因為當時的詞彙沒有表示服務完全不收費的標記；記為 unknown 則會表示搜尋失敗，同樣不正確，而在兩種錯誤解讀之間，紀錄了對業者不利的那一種。現在已有這個標記，且價格為零，這才是誠實的答案：沒有付款，就沒有付款身分可供洩漏。

來源包括 privateinternetaccess.com 自己的頁面與部落格、Deloitte 的兩份 ISAE 3000 (Revised)「Independent Limited Assurance Report」PDF（2024 年 4 月與 2025 年 12 月，兩份均直接開啟並閱讀）、Kape Technologies 自己的網站、來自 Isle of Man／Companies House 的報告（內容涉及 Kape 由 Unikmind Holdings（Teddy Sagi）於 2023 年完成私有化收購），以及用於開放原始碼用戶端的官方 pia-foss GitHub 組織。

United States v. McWaters 的公開 CourtListener 案件卷宗（9:16-cr-80043, S.D. Fla.）已開啟，但未提及傳票、VPN 業者或結果；詳細說明該傳票的附屬文章（vpncompare.co.uk）因屬禁止來源而捨棄，且 TorrentFreak 自身的報導在本次執行中每次擷取都回傳 HTTP 403，包括 curl。P03/P12 現在改依據 PIA 自身透明度報告中的自我聲明。

V12 已捨棄 Wikipedia，改以 GitHub 組織本身為依據。本紀錄任何地方都未使用附屬網站或「最佳 VPN」彙整網站作為事實來源，儘管搜尋結果中反覆出現數個看似可信、載有伺服器數量、使用者數量及稽核日期等數字的網站；這些數字無法與主要頁面交叉核對，因此已捨棄而未使用。

一個商店，而非兩個。 僅查閱了 Google Play 的資料安全表單；沒有查閱 iOS 瀏覽器在 App Store 的隱私標籤，因此 X12 是基於一個商店，而不是兩者中較差者。

兩項解讀，而非陳述。 U01 中的 Linux 是從桌面版說明手冊推知的；該手冊記載 VPN，並一併涵蓋 Windows、macOS 和 Linux，沒有按平台拆分；稽核公告則明確列出 Android 和 iOS。U10 被視為不限量，因為沒有帳號，也沒有裝置上限可用來執行此限制；這是對產品的解讀，而非已陳述的數值。