Registre, bevarelse eller fremtidig logning: hvilken anmodning?

En overskrift siger, at en VPN-udbyder blev beordret til at udlevere registre, og kommentarsporet konkluderer, at enhver VPN nu må logge. Dokumentet bag overskriften kan have anmodet om registre, der allerede fandtes, have bedt udbyderen om at beholde det, den har, mens yderligere proces opnås, eller have tilladt indsamling af bestemte attributter fremover. Det er tre forskellige operationer med tre forskellige grænser. Læs, hvilken dokumentet udfører, før du drager en konklusion.

Tre operationer, der kaldes en stævning

Ordet i overskriften er normalt en kategorifejl snarere end en løgn. En anmodning om eksisterende registre, et bevaringskrav og en tilladelse til prospektiv indsamling ankommer alle som juridiske papirer, og de kan ikke udskiftes. Hver enkelt angiver en anden handling, et andet tidsrum og et andet sæt modtagere. At læse, hvilken der gælder, tager et minut og forhindrer de fleste dårlige konklusioner.

Tabellen er en læsehjælp, ikke en juridisk taksonomi, og det konkrete instrument er det afgørende. En tjenestes klassificering, dens jurisdiktion og de oplysninger, der nævnes i dokumentet, ændrer alle analysen, og derfor er det nyttige spørgsmål altid "hvilken operation, over hvilken periode, for hvilke kategorier".

Det, der allerede findes, er et andet spørgsmål

Som et amerikansk eksempel giver 18 USC 2703 forskellige veje for kommunikation og for kunderegistre, og underafsnit (c)(2) identificerer visse abonnentoplysninger, der kan opnås med en bestemt proces. Det siger ikke, at enhver form for information er tilgængelig gennem det samme instrument.

Den sondring er den, en privatlivspolitik ikke kan besvare for dig. En erklæring om bevarelse af browserhistorik siger måske intet om en kontoregistrering, en betalingsregistrering eller en supportbillet, fordi det er forskellige kategorier med forskellig bevarelse.

Så læs politikken som en liste over kategorier snarere end som et enkelt løfte. Spørg, hvilke registre der findes, hvor længe og under hvis kontrol, og behandl "vi fører ingen logfiler" som en påstand om én kategori, indtil udbyderen siger andet. Spørg derefter, hvilken kategori anmodningen faktisk angiver. Uoverensstemmelsen mellem de to svar er, hvor de fleste offentlige diskussioner om VPN-logning går galt.

Bevarelse er ikke videregivelse

Bevarelse beder en udbyder om at beholde beviser, den allerede er i besiddelse af, mens yderligere proces opnås. Det overdrager ikke beviserne til nogen og skaber ikke en ny strøm af registre. Sondringen er let at miste i et resumé, der siger, at udbyderen blev "beordret til at opbevare data".

For den person, der læser nyheden, betyder det, at en bevaringsordre ikke er bevis på, at en udbyder har ændret sin indsamlingspraksis. For den operatør, der modtager en, betyder det, at forpligtelsen handler om ikke at ødelægge noget, hvilket er en meget snævrere handling end at bygge en pipeline.

Begge læsninger peger på den samme praktiske regel: frys den relevante tilstand, og stop med at ændre den, indtil en kvalificeret person har gennemgået anmodningen. Sletning i hast og indsamling i hast er begge måder at gøre situationen værre på. En skriftlig note om, hvad der fandtes, da kravet ankom, er mere værd end enhver senere rekonstruktion.

Fremtidig indsamling har sin egen hjemmel

Prospektiv indsamling er igen en separat mekanisme. I USA handler pen register- og trap and trace-ordrer i henhold til 18 USC 3123 om tilladelse, bestemte kommunikationsattributter, bistand, tidsperioder og fortielse, mens definitionerne i § 3127 udelukker kommunikationsindhold fra disse kategorier.

Den udelukkelse er den del, folk overser, når de konkluderer, at en ordre tillader læsning af beskeder. Kategorien handler om attributter, ikke indhold, og statutten er specifik om, hvad den dækker. Om en bestemt anmodning passer inden for den grænse, er et spørgsmål for en advokat snarere end et blogindlæg.

Det følger også, at en udbyders sædvanlige nologningspolitik ikke er et juridisk skjold. En politik beskriver, hvad der indsamles som standard; en forpligtelse beskriver, hvad der skal gøres under et gyldigt instrument. Begge udsagn kan være sande og alligevel være i konflikt i praksis.

Hvad man skal gøre, når en anmodning ankommer

Send dokumentet videre til den ansvarlige gennemgåer med det samme, og bevar det præcis som modtaget, inklusive headere og vedhæftede filer. Noter fristerne, fortrolighedsvilkårene og de nævnte kategorier, fordi disse tre fakta styrer alt, hvad der følger.

Sæt ikke en ændring af indsamling eller sletning sammen ud fra et onlineresumé. Underret ikke den berørte bruger, før du har kontrolleret, om fortielse gælder, og antag ikke, at den gør, uden at læse instrumentet.

Hvis du vælger en udbyder i stedet for at drive en, så læs datapolitikken ved siden af dens gennemsigtighedsrapport, og læg mærke til hullerne. Fraværet af offentliggjorte anmodninger er ikke bevis for, at krav er teknisk umulige, og en offentliggjort politik er ikke bevis for, at der ikke findes en anden kategori.