Pengadilan di Utah: geolokasi berdasarkan IP tidak akurat

Pada 24 September 2026, hakim federal di Utah, David Barlow, menangguhkan bagian dari undang-undang SB 73 yang mengharuskan situs untuk mengetahui lokasi nyata pengunjung bahkan jika menggunakan VPN atau proxy. Argumen utama pengadilan dirumuskan hampir secara teknik: geolokasi yang sempurna berdasarkan IP saat ini tidak ada, sementara undang-undang mengharuskan hal tersebut. Pada akhir Oktober, Ofcom Inggris diharapkan akan mengeluarkan rekomendasi tentang cara mendeteksi VPN. Di bawah ini kita membahas apa yang diputuskan oleh pengadilan, bagaimana ini berbeda dari posisi Inggris, dan apa yang berubah bagi mereka yang bekerja dengan layanan yang bergantung pada geolokasi, scraping, dan proxy.

Apa yang diputuskan oleh pengadilan di Utah

Gugatan diajukan oleh Aylo (pemilik Pornhub dan situs dewasa lainnya), kasus Aylo Freesites Ltd v. Utah, No. 2:26-cv-00340. Satu norma yang terkena dampak adalah bagian 78B-3-1002(3), yang ditambahkan oleh amandemen tahun 2026. Norma ini menganggap pengunjung yang secara fisik berada di Utah sebagai penduduk negara bagian, bahkan jika lokasinya disembunyikan oleh VPN atau proxy. Situs bertanggung jawab atas pengguna tersebut.

Pengadilan mengeluarkan perintah pengadilan sementara (preliminary injunction). Argumen utama:

Tidak ada ketentuan tentang "upaya yang wajar". Secara formal, situs bertanggung jawab atas setiap pengguna yang terlewat, yaitu harus melakukan geolokasi tanpa kesalahan. Pada saat yang sama, kedua belah pihak sepakat bahwa geolokasi yang sempurna tidak mungkin dilakukan.
Beban pada perdagangan di luar negara bagian. Karena tidak mungkin membedakan penduduk Utah yang menggunakan VPN dari penduduk Seattle atau Shanghai, situs harus memeriksa usia semua pengunjung di seluruh dunia. Dalam keputusan tersebut disebutkan angka: Aylo harus memverifikasi 28 juta pengguna. Pengadilan berpendapat bahwa ini kemungkinan melanggar apa yang disebut "klausa perdagangan yang tertidur" dalam Konstitusi AS (dormant Commerce Clause).
Negara bagian memiliki cara yang kurang membebani untuk melindungi anak di bawah umur.

Utah berargumen bahwa undang-undang tidak mengharuskan kesempurnaan, tetapi tindakan yang wajar: kemungkinan penggunaan VPN dapat dihitung, dan lokasi dapat ditentukan dari pengaturan perangkat dan aktivitas akun. Pengadilan menjawab bahwa mereka menganalisis teks undang-undang yang diadopsi oleh legislatif, bukan bagaimana jaksa agung mengusulkan penerapannya.

Apa yang tetap berlaku

Kewajiban utama situs dewasa untuk memeriksa usia "dengan cara yang wajar" tetap berlaku.
Larangan bagi situs tersebut untuk memberi tahu cara menghindari pemeriksaan melalui VPN, yang tidak diperdebatkan oleh Aylo, juga tetap ada.
Aturan pelaksanaan R152-78B, yang diterbitkan pada 1 September dan dapat mulai berlaku pada 8 Oktober, tidak dapat diterapkan selama larangan pengadilan berlaku.
Kedua belah pihak sepakat untuk menunda proses hingga akhir sesi legislatif Utah pada tahun 2027: diharapkan undang-undang akan ditulis ulang.

Konteks: undang-undang tentang pemeriksaan usia untuk konten dewasa telah diterima di 27 negara bagian AS (per Agustus 2026), tetapi hanya Utah yang mencoba secara langsung mengharuskan situs untuk menghitung pengguna di belakang VPN. Bagaimana norma ini terlihat sebelum pengadilan dan mengapa itu mendorong situs untuk memblokir IP secara massal, telah kami bahas dalam artikel tentang SCREEN Act dan Utah SB 73.

Mengapa IP tidak menunjukkan di mana seseorang berada

Kesimpulan pengadilan secara teknis benar dan melampaui situs dewasa. Geolokasi IP adalah penilaian probabilistik berdasarkan basis data, bukan pengukuran. Situs hanya melihat alamat dari mana permintaan datang. Jika lalu lintas melalui VPN atau proxy, itu adalah alamat server perantara atau perangkat orang lain.

Bahkan tanpa VPN, akurasi tidak tinggi. Menurut data dari MaxMind (salah satu basis data geolokasi terbesar), untuk AS dalam radius 50 km, sekitar 60% alamat IP terdeteksi dengan benar, 33% lainnya terikat pada kota, tetapi meleset lebih dari 50 km, dan untuk 7% data tidak ada sama sekali di tingkat kota. Perusahaan secara terpisah menyatakan bahwa tidak menjamin akurasi di masa depan.

Kesalahan terjadi karena beberapa lapisan:

Pemetaan blok ke wilayah pendaftaran. Penyedia dapat mendaftarkan subnet di satu kota, tetapi mendistribusikannya kepada pelanggan di kota lain.
NAT seluler. Di operator seluler, banyak pelanggan menggunakan satu IP publik, dan akses internet sering melalui node di wilayah lain.
Jaringan korporat dan cloud. Karyawan di Utah dengan VPN kantor terlihat seperti pengguna dari kantor pusat di California atau dari pusat data.
Penundaan pembaruan basis data. Subnet berpindah antara penyedia dan negara, dan basis data mengejar ini selama berminggu-minggu.

Oleh karena itu, setiap permintaan "tentukan dengan tepat" terhambat oleh fisika jaringan. Pengadilan Utah pada dasarnya menjadi pengadilan pertama yang mencatat ini dalam keputusan tentang VPN.

Inggris mengambil jalan yang berbeda

Di Inggris, pemeriksaan usia berdasarkan Online Safety Act berlaku sejak 25 Juli 2025, dengan denda mencapai £18 juta atau 10% dari pendapatan global. Reaksi pengguna sangat cepat: pendaftaran Proton VPN dari Inggris meningkat 1400% pada hari aturan mulai berlaku, dan aplikasi tersebut untuk sementara mengalahkan ChatGPT di App Store Inggris.

Posisi pemerintah lebih hati-hati dibandingkan dengan Amerika:

Pada 15 Juli 2026, Menteri Teknologi Liz Kendall menyatakan di parlemen bahwa pemerintah tidak akan melarang VPN dan menerapkan pemeriksaan usia untuk mereka.
Ofcom secara langsung menyatakan bahwa undang-undang tidak memberinya hak untuk meminta pemblokiran VPN.
Dalam laporan dari Juli 2026, regulator mengakui bahwa tidak ada metode pemeriksaan usia yang sepenuhnya menghilangkan kemungkinan penghindaran, dan merekomendasikan pendekatan multi-lapis dengan keterlibatan toko aplikasi dan kontrol di tingkat perangkat.
Dalam hal ini, Ofcom diperintahkan hingga akhir Oktober 2026 untuk mengeluarkan rekomendasi tentang apa yang dapat dilakukan layanan untuk mendeteksi dan mencegah penggunaan VPN.

Jadi, model Inggris bukanlah "geolokasikan dengan sempurna di bawah ancaman denda", tetapi "ambil langkah yang wajar". Analisis industri sudah menggambarkan untuk layanan skema tiga keadaan: pengguna pasti dari Inggris (terapkan persyaratan), pasti bukan dari Inggris (di luar hukum), dan "lokasi tidak dapat diverifikasi" — keputusan terpisah tentang risiko, misalnya memeriksa usia semua orang dalam kelompok ini.

Bagaimana situs akan mendeteksi VPN dan proxy

Baik pengadilan Amerika maupun regulator Inggris tidak membatalkan fakta bahwa situs akan terus menandai lalu lintas yang mencurigakan. Set sinyal standar:

ASN hosting. Alamat dari rentang cloud dan pusat data (AWS, Hetzner, OVH, M247 dan sejenisnya) ditandai pertama: pengguna rumah biasa tidak mengakses dari sana.
Daftar server VPN. Banyak VPN menerbitkan alamat server mereka, yang lainnya mudah dikumpulkan dengan terhubung ke layanan.
Kepadatan pengguna pada IP. Ratusan akun berbeda dari satu alamat dalam waktu singkat menunjukkan node keluar.
Ketidaksesuaian. Zona waktu browser, bahasa sistem, tata letak, lokal kartu pembayaran dibandingkan dengan negara IP.
Sinyal perilaku dan akun — tepatnya apa yang dirujuk Utah di pengadilan.

Penting untuk dicatat bahwa semua metode ini memberikan probabilitas, bukan bukti. Kesalahan positif tidak dapat dihindari: karyawan dengan VPN korporat, pelanggan operator seluler, pelancong, dan sistem otomatis yang memerlukan geo untuk bisnis akan terpengaruh.

Apa artinya ini bagi bisnis yang bekerja dengan geo

Keputusan ini berkaitan dengan situs dewasa, tetapi konsekuensinya lebih luas. Geolokasi berdasarkan IP digunakan dalam penetapan harga, lisensi konten, anti-fraud, verifikasi iklan, dan pemantauan hasil. Beberapa kesimpulan praktis.

Jika Anda pemilik layanan

Jangan bangun kepatuhan pada satu basis data geolokasi. Bahkan tanpa VPN, setiap alamat ketiga di AS dapat terikat pada kota yang salah. Untuk keputusan dengan konsekuensi hukum, diperlukan catatan tentang "upaya wajar" yang telah Anda ambil.
Siapkan keadaan ketiga "tidak tahu". Biner "daerah kami / tidak daerah kami" buruk untuk lalu lintas seluler dan korporat.
Periksa beberapa sumber. Basis data yang berbeda dapat memberikan informasi yang berbeda untuk alamat yang sama. Bagaimana IPQS, Scamalytics, IPinfo, dan pemeriksa lainnya berbeda, telah kami bandingkan pada alamat nyata.

Jika Anda mengumpulkan data atau memeriksa iklan berdasarkan wilayah

Alamat pusat data akan dipotong pertama. Gelombang undang-undang tentang pemeriksaan usia dan rekomendasi regulator mendorong situs untuk memblokir ASN hosting secara keseluruhan. Untuk tugas di mana Anda perlu melihat situs dari sudut pandang pengguna lokal, proxy residensial dengan pilihan negara dan kota cocok: alamat tersebut milik penyedia rumah di wilayah yang diperlukan.
Alamat seluler lebih tahan terhadap pemblokiran, tetapi kurang akurat untuk kota. Karena NAT operator, situs melihat satu alamat untuk banyak pelanggan, sehingga memblokirnya mahal. Jika wilayah penting, bukan kota yang tepat, proxy seluler adalah pilihan yang andal.
Periksa di mana "IP Anda berada" di beberapa basis data. Situs mungkin menggunakan basis data yang berbeda dari pemeriksa Anda dan melihat wilayah yang berbeda. Sebelum pengumpulan besar-besaran, jalankan permintaan uji dan bandingkan versi lokal yang diberikan oleh situs target.
Jaga jejak browser sesuai dengan IP. Zona waktu, bahasa, dan lokal harus sesuai dengan negara tempat keluar: ketidaksesuaian lebih sering terdeteksi daripada IP itu sendiri.

Apa selanjutnya

Peristiwa mendatang yang perlu diperhatikan:

Akhir Oktober 2026 — rekomendasi Ofcom tentang deteksi VPN. Pertanyaan utama: apakah akan ada metode teknis konkret atau tetap dengan formula "upaya wajar".
Sesi legislatif Utah tahun 2027 — undang-undang kemungkinan akan ditulis ulang dengan ketentuan tentang upaya wajar. Maka sengketa akan bergeser dari "apakah bisa menuntut kesempurnaan" menjadi "apa yang dianggap wajar".
Negara bagian lain — EFF telah menyatakan bahwa mereka akan menantang inisiatif serupa, tetapi undang-undang tentang pemeriksaan usia terus berkembang dan mencakup media sosial.

Kesimpulan

Pengadilan di Utah menegaskan apa yang telah diketahui oleh insinyur jaringan sejak lama: IP adalah petunjuk tentang lokasi, bukan buktinya. Pembuat undang-undang dapat meminta situs untuk mengambil langkah-langkah yang wajar, tetapi tidak untuk geolokasi yang sempurna. Bagi bisnis, ini berarti dua hal. Pemilik layanan harus membangun logika geo dengan cadangan untuk kesalahan dan keadaan ketiga "tidak tahu". Dan bagi mereka yang membutuhkan akses yang jujur ke hasil lokal, mereka harus lebih ketat dalam memantau kualitas alamat: di bawah tekanan regulator, situs akan lebih sering memblokir pusat data dan lebih mempercayai IP residensial dan seluler.