En udenlandsk dataanmodning lander hos en amerikansk VPN-udbyder

Et brev fra efterforskere i et andet land ankommer og spørger til en kunde, og spørgsmålet på bordet er, hvad det forpligter nogen til at gøre. Det ærlige svar er, at det afhænger af tre ting: hvem der modtog det, hvilke registre det nævner, og hvilken hjemmel det påberåber sig. Placeringen af én VPN-server besvarer ingen af disse. Det gør udbyderens generelle vilje til at samarbejde heller ikke, for det er en forretningsholdning og ikke en juridisk analyse.

Behandl brevet som begyndelsen på en vurdering, ikke som en konklusion med stempel på.

Brevet nævner en tjeneste, ikke et system

Start med at identificere den juridiske enhed, der modtog anmodningen, og den tjeneste, den vedrører. Et brand, en app og det selskab, der driver en bestemt udgangsserver, kan være tre forskellige parter, og kun én af dem har de registre, der bedes om. Kortlæg derefter anmodningen til et system, fordi kontoregistre, forbindelsesmetadata, tunneladresser, supportbilletter og betalingsoplysninger ligger forskellige steder med forskellig opbevaring.

Adskil tvang, tilladelse og pligt

En frivillig anmodning, en proces opnået gennem en indenlandsk juridisk mekanisme og en ordre omfattet af en international aftale er forskellige instrumenter. De bærer forskellige forpligtelser og forskellige grunde til indsigelse.

Det amerikanske justitsministerium beskriver kvalificerende udøvende aftaler som en vej for visse udenlandske ordrer til at blive rettet mod udbydere under aftalens betingelser. Det er en specifik mekanisme, ikke en regel om, at enhver politistyrke hvor som helst kan kræve enhver VPN-registrering. For omfattede amerikanske tjenester 18 USC 2702 regulerer særskilt frivillig videregivelse, skelner kommunikationsindhold fra andre kundeoplysninger og opregner de undtagelser, der gælder.

Vilje til at hjælpe, juridisk tilladelse til at hjælpe og juridisk pligt til at hjælpe er tre adskilte spørgsmål, og en udbyders blogindlæg besvarer normalt kun det første.

Definer, hvad kundens IP betyder

En anmodning om kundens IP-adresse har brug for en definition, før den har brug for et svar. Det kan betyde kildeadressen observeret ved forbindelsen, en delt offentlig udgang brugt af mange kunder, tunneladressen tildelt en session eller en adresse registreret under en betalingsinteraktion. Spørg, hvilken begivenhed og hvilket tidsinterval anmodningen dækker, fordi svaret afgør, hvilket system der bliver forespurgt.

En udbyder kan have kontoregistre uden at have browserhistorik, og det er forskellige svar på samme sætning i brevet.

Bevar først, beslut derefter

Hvis du driver tjenesten, skal du beholde den originale anmodning og hurtigt sende den videre til den, der har det juridiske review. Bekræft afsenderen, den ønskede handling, omfanget, deadlines og eventuelle krav om fortrolighed gennem en kanal, du allerede stoler på. Beslut det retslige grundlag og svaret, før du videregiver noget eller ændrer en opbevaringsindstilling. En opbevaringsændring foretaget i hast bliver i sig selv bevis for, hvordan tjenesten behandler registre.

Hvad du skal se efter, når du er kunden

Læs udbyderens beskrivelse af håndtering af juridiske anmodninger ved siden af dens kategorispecifikke datapolitik. Se efter en identificerbar ansvarlig enhed og en beskrevet reviewproces.

Registrering i ét land med udgangsservere i et andet gør ikke alle udenlandske anmodninger ens, og det gør dem heller ikke alle ugyldige. Det nyttige spørgsmål er, hvilke registre der findes, hvem der kan nå dem, og hvilken proces der står mellem en anmodning og en videregivelse. En udbyder, der kan svare klart på det, er lettere at vurdere end en, der svarer med et slogan, og svaret er mere værd end udgangslandet i listen.