Le projet de loi du Sénat de l'Utah, le SB 73, qui est officiellement entré en vigueur le 3 septembre, exige que les sites web commerciaux hébergeant du contenu pour adultes vérifient l'âge de leurs utilisateurs. Cette loi, connue officiellement sous le nom de « Amendements sur la vérification d'âge en ligne », a été brièvement suspendue après qu'un tribunal a émis une injonction, mais elle est désormais en vigueur. L'Utah est devenu le premier État des États-Unis à cibler spécifiquement l'utilisation des réseaux privés virtuels (VPNs) pour des fins de vérification d'âge. Un réseau privé virtuel est un service permettant aux utilisateurs de masquer leur adresse IP réelle et d'apparaître comme s'ils étaient situés dans un autre endroit en ligne. Selon le SB 73, toute personne physiquement présente en Utah est considérée comme un utilisateur de l'Utah, indépendamment de l'adresse IP qu'elle utilise pour accéder à un site web. Cela signifie qu'une personne à Salt Lake City utilisant un VPN pour se connecter à un serveur en Allemagne est tout de même légalement considérée comme un utilisateur de l'Utah. Les sites web ne vérifiant pas l'âge des utilisateurs en Utah pourraient encourir des amendes allant jusqu'à 2 500 dollars par violation. La loi a fait l'objet de critiques de la part d'organisations de cybersécurité et de droits numériques, qui considèrent qu'elle crée un système complexe et difficile à faire respecter. Certains experts ont qualifié cette législation d'"exemple dangereux" et d'une "dépense de ressources impossible par conception". La loi interdit également aux sites web contenant du contenu pour adultes de fournir des instructions sur l'utilisation d'un VPN pour contourner les exigences de vérification d'âge de l'État. Les grands fournisseurs de services VPN ont indiqué qu'ils prévoyaient de continuer à opérer normalement en Utah. Laura Tyrylyte, porte-parole de la confidentialité chez NordVPN, a noté que des recours juridiques contre cette loi sont toujours en cours, et que l'application de la loi pourrait rester suspendue pendant le litige. Elle a souligné que la responsabilité de la conformité revenait aux sites web hébergeant le contenu, et non aux entreprises de VPN. De même, Denis Vyazovoy, chef des produits chez AdGuard, a déclaré que l'entreprise n'avait pas l'intention de restreindre ses utilisateurs en Utah, car la loi ne demande pas directement aux fournisseurs de services VPN de se conformer. Gytis Malinauskas, chef du service juridique chez Surfshark, a averti que la loi établit un précédent inquiétant en considérant un outil clé de cybersécurité comme une faille. Pour l'instant, l'utilisation du chiffrement reste légale en Utah. Cependant, la responsabilité de prouver la conformité a été transférée aux opérateurs de sites web, qui pourraient être contraints d'implémenter des méthodes de suivi invasives ou de bloquer tout le trafic qui semble provenir d'un réseau privé virtuel afin de respecter les exigences de la loi.