Una sol·licitud de dades estrangera arriba a un proveïdor de VPN dels EUA

Arriba una carta dels investigadors d'un altre país que pregunta per un client, i la qüestió sobre la taula és a què obliga algú. La resposta honesta és que depèn de tres coses: qui l'ha rebuda, quins registres esmenta i quina autoritat invoca. La ubicació d'un servidor VPN no respon a cap d'aquestes. Tampoc no ho fa la disposició general del proveïdor a col·laborar, que és una postura comercial i no una anàlisi jurídica.

Tracteu la carta com l'inici d'una avaluació, no com una conclusió amb un segell.

La carta esmenta un servei, no un sistema

Comenceu identificant l'entitat jurídica que ha rebut la sol·licitud i el servei al qual es refereix. Una marca, una aplicació i l'empresa que opera un servidor de sortida concret poden ser tres parts diferents, i només una d'elles té els registres que es demanen. Després situeu la sol·licitud en un sistema, perquè els registres del compte, les metadades de connexió, les adreces del túnel, els tiquets de suport i les dades de pagament viuen en llocs diferents amb retencions diferents.

Separeu la coacció, el permís i el deure

Una sol·licitud voluntària, un procediment obtingut mitjançant un mecanisme jurídic intern i una ordre coberta per un acord internacional són instruments diferents. Comporten obligacions diferents i motius d'oposició diferents.

El Departament de Justícia dels EUA descriu els acords executius qualificats com una via perquè determinades ordres estrangeres es dirigeixin als proveïdors sota les condicions de l'acord. Això és un mecanisme específic, no una regla que qualsevol policia de qualsevol lloc pugui exigir qualsevol registre de VPN. Per als serveis nord-americans coberts, 18 USC 2702 regula per separat la divulgació voluntària, distingint el contingut de les comunicacions de la resta d'informació dels clients i enumerant les excepcions aplicables.

La disposició a ajudar, el permís legal per ajudar i el deure legal d'ajudar són tres qüestions separades, i l'article del blog d'un proveïdor normalment només respon la primera.

Definiu què vol dir la IP del client

Una sol·licitud de l'adreça IP del client necessita una definició abans que una resposta. Pot voler dir l'adreça d'origen observada en el moment de la connexió, una sortida pública compartida que fan servir molts clients, l'adreça del túnel assignada a una sessió o una adreça registrada durant una interacció de facturació. Pregunteu quins esdeveniments i quin interval de temps cobreix la sol·licitud, perquè la resposta decideix quin sistema es consulta.

Un proveïdor pot tenir registres del compte sense tenir historial de navegació, i aquestes són respostes diferents a la mateixa frase de la carta.

Primer preserveu, després decidiu

Si opereu el servei, conserveu la sol·licitud original i encamineu-la de seguida a qui tingui la revisió jurídica. Verifiqueu el remitent, l'acció sol·licitada, l'abast, els terminis i qualsevol requisit de confidencialitat per un canal en què ja confieu. Decidiu la base jurídica i la resposta abans de divulgar res o de canviar una configuració de retenció. Un canvi de retenció fet amb presses es converteix en prova sobre com tracta els registres el servei.

Què cal mirar quan sou el client

Llegiu la descripció del proveïdor sobre el tractament de sol·licituds legals al costat de la seva política de dades per categories. Busqueu una entitat responsable identificable i un procés de revisió descrit.

Constituir-se en un país amb servidors de sortida en un altre no fa que totes les sol·licituds estrangeres siguin iguals, ni les fa totes invàlides. La pregunta útil és quins registres existeixen, qui hi pot arribar i quin procés hi ha entre una sol·licitud i una divulgació. Un proveïdor que pot respondre això amb claredat és més fàcil d'avaluar que un que respon amb un eslògan, i la resposta val més que el país de sortida del llistat.