Tvinger britisk lov din VPN til at gemme browserlogfiler?

“Bosiddende i Storbritannien, så de må gemme alt” er en almindelig forkortelse, og den misforstår mekanismen. Del 4 af Investigatory Powers Act fungerer gennem opbevaringspåbud, der meddeles telekommunikationsoperatører, og Home Offices code of practice for den ordning fastslår holdningen klart: en operatør har ikke pligt til at opbevare kommunikationsdata, medmindre der er meddelt et påbud. Om din udbyder har et, er et faktum om den udbyder, ikke om landet i dens sidefod.

Den ene sætning nulstiller også spørgsmålet. I stedet for at spørge, hvad britisk lov kræver generelt, så spørg, hvilken operatør, hvilken datakategori og hvilket instrument. De tre svar bestemmer næsten alt andet. Alt før dem er et slogan.

Et påbud meddeles, det forudsættes ikke

Efter den ramme, som koden beskriver, meddeler statssekretæren et opbevaringspåbud, og koden fastlægger, hvordan nødvendighed og proportionalitet vurderes sammen med en retskommissærs godkendelse. Påbuddet kan angive de data, de tjenester og de opbevaringsordninger, det dækker. Det er et instrument med et omfang, ikke en baggrundsforpligtelse, der hænger ved en forretningskategori.

Derfor er en udbyders offentlige erklæring om ikke at have modtaget et påbud en meningsfuld påstand, og en udbyders tavshed er ikke bevis i nogen retning. Koden begrænser også videregivelse af, at et påbud findes, eller hvad det indeholder, hvilket betyder, at en velinformeret operatør måske ikke kan give det klare svar, du ønsker. Den begrænsning er ikke et smuthul; den er en del af ordningens design. Vej svaret i overensstemmelse hermed.

Læs erklæringen for, hvad den er. En offentliggjort gennemsigtighedsrapport, der beskriver modtagne anmodninger, er et andet dokument end et opbevaringspåbud, og ingen af dem er en fuldstændig fortegnelse over de data, en virksomhed opbevarer til egne formål.

Hvad tæller som telekommunikationsoperatør

Koden behandler begrebet bredt og faktaafhængigt og undtager ikke enhver overlay-tjeneste, der tilfældigvis kører over en andens netværk. At opkræve et abonnement afgør ikke klassificeringen, og det gør hosting i et andet land heller ikke. Det er et spørgsmål om tjenestens forbindelser til Storbritannien, og det skal vurderes af nogen, der er kvalificeret til det.

Det, du kan gøre uden juridisk uddannelse, er at holde op med at behandle en marketingfrase som en specifikation. “Ingen logfiler” beskriver en politik. Den beskriver ikke en lovbestemt position, og begge kan være sande på én gang for en udbyder, der ikke opbevarer noget frivilligt og ikke har modtaget noget tvungent.

Metadata er ikke beskedindhold

Ordningen med påbud handler om kommunikationsdata, altså hvem, hvornår og hvordan, snarere end hvad der blev sagt. Indhold ligger under helt andre beføjelser med en anden autorisation. At slå begge sammen til “fulde logfiler” skaber diskussioner, der ikke kan løses, fordi de to kategorier har adskilte retlige veje og ofte adskilte opbevaringsperioder.

Denne sondring er også den praktiske for en VPN. En udbyder kan opbevare næsten intet om, hvad du sendte, og samtidig opbevare kontoregistreringer, betalingsoplysninger, forbindelsestidsstempler eller supportbeskeder. Det er almindelige forretningsregistreringer, styret af udbyderens egen politik og af databeskyttelsesretten, ikke af et opbevaringspåbud.

Derfor kan en påstand om et påbud ikke besvare et spørgsmål om kontodata. To forskellige instrumenter, to forskellige sæt grænser.

Før to registre, fordi der findes to spørgsmål

Til daglig brug: skriv de kategorier ned, som din udbyder siger, den behandler, formålet, hvem der kan få adgang til dem, og hvor længe de varer. Medtag de mindre prangende: faktureringsregistre, supportbilletter, svindelsignaler, nedbrudsrapporter. En udtalelse om tunneltrafik bør ikke erstatte resten.

Ved en formel anmodning: bevar dokumentet og send det videre til den, der håndterer juridiske processer, med datoen for modtagelsen. Spørg, hvilken enhed og hvilken tjeneste der nævnes, hvilken handling der kræves, hvilke frister der gælder, og hvilken revision eller klage der er mulig. Kontroller fortrolighedsvilkårene, før du besvarer nogens spørgsmål om det, også en journalists.

De to registre besvarer forskellige målgrupper. Det ene fortæller en bruger, hvad de kan forvente; det andet fortæller en advokat, hvad der skal gøres i denne uge.

Sådan sammenligner du to udbydere uden at narre dig selv

Bed om en præcis offentlig politik med et omfang, en dato og en beskrivelse af de kategorier, den dækker. Kontroller derefter, om politikken skelner indhold fra metadata, frivillig opbevaring fra tvungen opbevaring og driftselskabet fra moderselskabet. Vage forsikringer overlever netop granskning, fordi de aldrig nævner en kategori.

Behandl manglende information som manglende og ikke som gunstig. Ordningens videregivelsesbegrænsninger betyder, at “vi har ikke modtaget noget” og “det kan vi ikke sige” kan se identiske ud udefra, og en sammenligning, der scorer tavshed som en sejr, måler din egen optimisme.

Home Offices code of practice for ordningen med påbud er det dokument, du bør læse, før du gentager nogen påstand om, hvad del 4 kræver. Det er længere end et blogindlæg og betydeligt mere omhyggeligt.