Kann ein ausländischer VPN-Anbieter eine US-Datenanfrage ignorieren?
Ein Länderkürzel beantwortet sehr wenig. Verfolgen Sie die Vertragseinheit, was sie herausgeben kann und wo ein eng begrenztes US-Offenlegungsgesetz greift.
Länderkürzel lösen die kleinste Frage in der Rechtsakte eines Anbieters. Drei Bedingungen entscheiden, ob eine Auslandsadresse ändert, was geschieht, wenn eine Anforderung eintrifft: ob die empfangende Einheit daran gebunden ist, ob diese Einheit den Datensatz besitzt oder kontrolliert, und welche Kategorie von Datensatz die Anforderung erreicht. Wer eine davon falsch beantwortet, schmückt mit dem Kürzel eine Schlussfolgerung, die nicht verdient ist.
Arbeiten Sie sie in dieser Reihenfolge ab, denn jede kann die Analyse beenden, bevor die nächste beginnt. Was folgt, ist eine Landkarte der Sorgfaltspflicht, keine Länderrangliste, mit einem eng begrenzten US-Gesetz als durchgerechnetes Beispiel.
Beginnen Sie bei der im Vertrag genannten Einheit
Der Kundenvertrag nennt eine Einheit, und diese Einheit trägt die Beziehung zu Ihnen. Die Marke auf der Website kann einem Mutterunternehmen gehören, der Tunnel von einer Tochtergesellschaft betrieben werden und die Abrechnung bei einem Reseller oder Zahlungsdienstleister liegen, der wieder anderswo registriert ist. Fragen Sie nach dem auf der Rechnung gedruckten Firmennamen und der Registernummer und dann, welche dieser Organisationen eine Vorladung beantwortet. Ein gemeinsames Logo erklärt davon nichts.
Trennen Sie bei der Arbeit vier Orte: wo das Unternehmen registriert ist, wohin die Ausgangsadressen zeigen, wo die Hardware tatsächlich steht und wo Kontodaten verarbeitet werden. Eine Aussage, die einen davon klärt, klärt die anderen drei nicht, und ein Anbieter, der nur die leichte beantwortet, sagt Ihnen, wo Sie weitersuchen sollen.
Besitz, Gewahrsam oder Kontrolle schlägt Geografie
Ein begrenztes US-Beispiel macht den Unterschied konkret. 18 USC 2713 verpflichtet Anbieter, die das Kapitel erfasst, Kundenkommunikation und Datensätze, die in ihrem Besitz, Gewahrsam oder ihrer Kontrolle stehen, zu bewahren und offenzulegen, und der Wortlaut hängt nicht davon ab, ob diese Datensätze im Inland oder im Ausland liegen. Die Pflicht haftet an Einheiten und Datensatzkategorien, die das Gesetz tatsächlich erreicht, also an einer engeren Menge als jeder Anbieter, der mit einer Auslandsadresse wirbt.
Ein Bestandsverzeichnis beantwortet mehr als ein Slogan. Ein Anbieter, der wirklich keine Verbindungsdaten führt, hat in dieser Kategorie nichts zu bewahren, während derselbe Anbieter weiterhin eine Anmelde-E-Mail, ein Zahlungstoken und Supportanhänge halten kann, die genau in die Pflicht fallen. Eine Antwort zum Logging anzunehmen, ohne zu fragen, was sonst existiert, lässt den größten Teil der Akte ungeprüft. Eine Datenanfrage hängt selten am Tunnel allein.
Entscheidend ist, wer einen Datensatz herausgeben kann, nicht auf welchem Kontinent die Platte liegt, und die Einheit, die ihn herausgeben kann, ist die zu prüfende Einheit. Eine Seite mit Ausgangsländern beantwortet eine andere Frage.
Gleichen Sie die Datensatzkategorie mit dem ab, was Sie übergeben haben
Aufbewahrungssprache wird meist je Kategorie geschrieben, und eine allgemeine Datenschutzseite verwischt sie zu einem selbstsicheren Absatz. Ziehen Sie die konkreten Klauseln heraus und notieren Sie, welche Kategorien sie nennen. Vergleichen Sie diese Liste dann mit den Datensätzen, die Ihre eigene Nutzung erzeugt, denn die Überschneidung ist der einzige Teil, der Sie betrifft.
| Record type | Who tends to hold it | What the country label settles |
|---|---|---|
| Signup email and account metadata | Contracting entity or its identity provider | Nothing about retention |
| Payment instrument | Processor, reseller, or bank | Little; another company may answer first |
| Support attachments | Support desk, in-house or outsourced | Whether the desk belongs to the same entity |
| Tunnel connection records | Operator, if collected at all | Only whether collection is claimed |
| Device and app identifiers | App vendor | Which policy covers the app, not the tunnel |
Zwei Zeilen klären meist die praktische Frage. Supportanhänge und Zahlungsdetails existieren, weil Sie sie geliefert haben, also überleben sie, selbst wenn ein Anbieter behauptet, gar nichts zu loggen. Verbindungsdaten sind die umstrittene Kategorie, und ein Anbieter, der behauptet, keine zu führen, sollte beschreiben können, wie seine Abrechnung und Missbrauchsbearbeitung vermeiden, sie zu erzeugen.
Lassen Sie eine unbekannte Zelle in Ihren Notizen leer, statt die benachbarte Antwort sie füllen zu lassen. Eine Lücke ist ehrlicher als eine Vermutung, die aus dem Ausgangsland importiert wurde.
Legen Sie dem Anbieter alle drei Bedingungen schriftlich vor
Fragen Sie, welche Einheit rechtliche Verfahren erhält, welche Kategorien diese Einheit ohne Rückfrage bei anderen herausgeben kann und wie ihr Transparenzbericht Anfragen zählt, die sie ablehnt oder nicht beantworten kann. Stellen Sie diese drei in einer Nachricht, damit die Antworten vergleichbar sind. Eine Antwort, die das Land, aber nicht die Einheit behandelt, oder die Einheit, aber nicht die Kategorie, hat eine Frage beantwortet, die Sie nicht gestellt haben. Schweigen zu einer Bedingung ist selbst der Befund.
Wenden Sie dieselben Bedingungen auf das Gesetz an, auf das Sie sich stützen. Eine Offenlegungspflicht, die für ein bestimmtes Kapitel geschrieben ist, bindet die Anbieter, die dieses Kapitel erfasst, und ihre territoriale Formulierung spricht davon, wo Datensätze liegen, nicht davon, welches Unternehmen antworten muss. Behandeln Sie eine selbstsichere Zusammenfassung, diese eingeschlossen, als Grund, den Text zu lesen, der Ihren Anbieter regelt.
Notieren Sie die Einheit, die Kategorien und die geprüfte Vorschrift und datieren Sie die Notiz. Diese Aufzeichnung übersteht Umbenennungen und neu geschriebenes Marketing und gibt einem Anwalt oder Prüfer einen konkreten Ausgangspunkt, wenn die Frage aufhört, hypothetisch zu sein.