La llei britànica obliga la teva VPN a guardar registres de navegació?

«Amb seu al Regne Unit, doncs ho deuen guardar tot» és una simplificació habitual, i entén malament el mecanisme. La part 4 de la Investigatory Powers Act funciona mitjançant avisos de conservació notificats als operadors de telecomunicacions, i el codi de pràctiques del Home Office per a aquest règim exposa la posició amb claredat: un operador no està obligat a conservar dades de comunicacions si no se li ha notificat un avís. Si el teu proveïdor en té un és un fet sobre aquest proveïdor, no sobre el país del seu peu de pàgina.

Aquesta sola frase també reformula la pregunta. En lloc de preguntar què exigeix la llei britànica en general, pregunta quin operador, quina categoria de dades i quin instrument. Aquestes tres respostes decideixen gairebé tota la resta. Tot el que les precedeix és un eslògan.

Un avís es notifica, no se suposa

Segons el marc que descriu el codi, el secretari d'Estat notifica un avís de conservació, i el codi estableix com es consideren la necessitat i la proporcionalitat juntament amb l'aprovació d'un comissari judicial. L'avís pot especificar les dades, els serveis i les modalitats de conservació que cobreix. És un instrument amb un abast, no una obligació de fons que s'enganxi a una categoria empresarial.

Per tant, la declaració pública d'un proveïdor que no ha rebut cap avís és una afirmació significativa, i el silenci d'un proveïdor no és prova en cap direcció. El codi també restringeix revelar l'existència o el contingut d'un avís, cosa que significa que un operador ben informat potser no podrà donar-te la resposta neta que vols. Aquesta restricció no és una escletxa; forma part del disseny del règim. Pesa la resposta en conseqüència.

Llegeix la declaració pel que és. Un informe de transparència publicat que descriu sol·licituds rebudes és un document diferent d'un avís de conservació, i cap dels dos no és un inventari complet de les dades que una empresa guarda per als seus propis fins.

Què compta com a operador de telecomunicacions

El codi tracta el concepte àmpliament i en funció dels fets, i no exclou tots els serveis superposats que passen per la xarxa d'altri. Cobrar una subscripció no resol la classificació, ni hostatjar-ho tot en un altre país. És una qüestió sobre les connexions del servei amb el Regne Unit, i l'ha d'avaluar algú qualificat per fer-ho.

El que pots fer sense formació jurídica és deixar de tractar una frase de màrqueting com una especificació. «Sense registres» descriu una política. No descriu una posició legal, i totes dues coses poden ser certes alhora per a un proveïdor que no conserva res voluntàriament i no ha rebut res d'obligat compliment.

Les metadades no són el contingut del missatge

El règim d'avisos afecta les dades de comunicacions, és a dir, qui, quan i com, no què es va dir. El contingut queda sota poders completament diferents, amb una autorització diferent. Ajuntar tots dos en «registres complets» genera debats irresolubles, perquè les dues categories tenen vies legals separades i sovint períodes de conservació separats.

Aquesta distinció també és la pràctica per a una VPN. Un proveïdor pot no guardar gairebé res sobre el que has enviat i, en canvi, guardar registres del compte, dades de pagament, marques de temps de connexió o missatges d'assistència. Són registres comercials ordinaris, regits per la política del propi proveïdor i per la llei de protecció de dades, no per un avís de conservació.

Per això una afirmació sobre un avís no pot respondre una pregunta sobre les dades del compte. Dos instruments diferents, dos conjunts de límits diferents.

Porta dos registres, perquè hi ha dues preguntes

Per a l'ús quotidià, anota les categories que el teu proveïdor diu que tracta, la finalitat, qui hi pot accedir i quant de temps duren. Inclou les poc vistoses: registres de facturació, tiquets d'assistència, senyals de frau, informes de fallades. Una declaració sobre el trànsit del túnel no hauria de substituir la resta.

Davant d'una exigència formal, conserva el document i encamina'l a qui gestioni els processos legals, amb la data en què va arribar. Pregunta quina entitat i quin servei s'esmenten, quina acció es requereix, quins són els terminis i quina revisió o apel·lació hi ha. Comprova les condicions de confidencialitat abans de respondre les preguntes de qualsevol sobre això, incloses les d'un periodista.

Aquests dos registres responen a públics diferents. Un diu a l'usuari què esperar; l'altre diu a l'advocat què fer aquesta setmana.

Com comparar dos proveïdors sense enganyar-te

Demana una política pública precisa amb un abast, una data i una descripció de les categories que cobreix. Després comprova si la política distingeix el contingut de les metadades, la conservació voluntària de la forçada i l'empresa operadora de la seva matriu. Les garanties vagues superen l'escrutini precisament perquè no anomenen mai cap categoria.

Tracta la informació que falta com a absent i no com a favorable. Les restriccions de divulgació del règim fan que «no hem rebut res» i «no ho podem dir» puguin semblar idèntics des de fora, i una comparació que puntua el silenci com una victòria mesura el teu propi optimisme.

El codi de pràctiques del Home Office per al règim d'avisos és el document que cal llegir abans de repetir qualsevol afirmació sobre què exigeix la part 4. És més llarg que una entrada de blog i molt més curós.