Un VPN britànic guarda el teu historial de navegació? Llegeix l’avís
El deure legal i la política de producte són qüestions diferents. Comprova l’operador, la categoria de dades i l’instrument abans de creure cap afirmació de conservació.
Una pàgina de subscripció no pot respondre la pregunta sobre la conservació, i el país de registre de l’operador tampoc no ho pot fer tot sol. El marc que importa aquí és la part 4 de la Llei de poders d’investigació, que funciona mitjançant avisos de conservació adreçats als operadors de telecomunicacions i no mitjançant una regla general que digui que cada VPN guarda cada registre de navegació. Si el teu proveïdor hi està inclòs i què ha de guardar són dues preguntes separades amb dues respostes separades.
Què pregunta realment la qüestió
La gent normalment vol dir «què guarda el meu proveïdor sobre mi», mentre que la llei respon «què ha de conservar aquest operador segons un avís que se li ha adreçat». Les dues coses se superposen sense ser idèntiques. Un operador pot guardar dades per motius operatius propis i no conservar res extra segons un avís, o al revés. Respondre una i creure que has respost l’altra és on la major part d’aquesta conversa va malament.
Comença separant el deure legal de la política de producte habitual.
Després separa les categories. Les dades de comunicacions i el contingut de les comunicacions es tracten de manera diferent, i una expressió com registres complets no nomena cap de les dues. Una llista del que es recull, per què, qui hi pot arribar i quant de temps viu et diu més que qualsevol adjectiu d’una afirmació de màrqueting.
Abast: quin operador, quines dades, quin instrument
Un avís de conservació s’aplica a un operador, i aquest terme cobreix una categoria que depèn dels fets i no una llista ordenada de tipus de societats. Cobrar una subscripció no resol la classificació en cap direcció. Si un servei concret hi cau dins és una qüestió per a un assessor qualificat que tingui els fets reals.
Un avís també especifica dades i disposicions, i no simplement tot. El codi de pràctiques publicat descriu les proves aplicades, incloent-hi la necessitat i la proporcionalitat, i el paper d’aprovació d’un comissari judicial. Llegeix aquest mecanisme abans de llegir un resum, perquè explica per què dos proveïdors sota una mateixa llei poden portar obligacions molt diferents. El codi també diu explícitament que el règim no és un mandat universal de conservació.
Mantingues aquest mecanisme separat de la intercepció, de la interferència en equips i de les peticions de dades que ja es guarden. Cadascun té les seves condicions i les seves aprovacions.
Dos registres, guardats per separat
Per al funcionament ordinari, porta un registre del que processa, per què, qui hi pot accedir i quant de temps ho guardes. Els registres de compte i de suport compten, juntament amb qualsevol cosa relacionada amb el túnel, i no s’ha de permetre mai que una declaració sobre una categoria cobreixi les altres per implicació.
| Record | What it holds | Who owns it |
|---|---|---|
| Routine data inventory | Categories, purposes, access, retention period | Privacy or security owner |
| Formal demand file | Instrument, scope, deadlines, review path | Legal reviewer |
Per a una exigència formal, conserva l’instrument i encamina’l sense demora al revisor responsable.
Pregunta quina entitat i quin servei cobreix, quina acció requereix, quins terminis s’apliquen i quina revisió existeix. Comprova qualsevol restricció de confidencialitat abans de publicar-lo o discutir-lo, perquè el codi conté límits a l’hora de revelar l’existència o el contingut d’un avís. Aquests límits pertanyen al procediment de gestió, no a la reflexió posterior.
Què pot dir i què no pot dir una política pública
Quan compareu proveïdors, busqueu una política precisa amb una declaració d’abast en lloc d’una frase tranquil·litzadora. Una política útil nomena les categories que es guarden, el període de conservació de cadascuna i la base legal en què es basa. També indica quina entitat és la part contractant, perquè una marca i la seva empresa operadora no sempre són la mateixa cosa. La tranquil·litat vague i l’alarma vaga són igual de poc informatives.
L’absència d’avisos publicats tampoc no és un inventari tècnic, perquè els límits de divulgació poden impedir que un operador en confirmi un.
Tracta el codi publicat com el marc i els documents del teu proveïdor com l’afirmació que cal contrastar-hi. Quan els dos no coincideixin, fes una pregunta per escrit que nomeni la categoria de dades i el període de conservació. La resposta, o la negativa a respondre, val més que un altre fil de fòrum sobre què suposadament exigeix un país.