Speichert ein britisches VPN deinen Browserverlauf? Lies die Anordnung
Gesetzliche Pflicht und Produktpolitik sind verschiedene Fragen. Prüfe Betreiber, Datenkategorie und Instrument, bevor du einer Speicherbehauptung glaubst.
Eine Abonnementseite kann die Speicherfrage nicht beantworten, und das Registrierungsland des Betreibers allein auch nicht. Der Rahmen, auf den es hier ankommt, ist Teil 4 des Investigatory Powers Act, der über an Telekommunikationsbetreiber zugestellte Speicheranordnungen wirkt und nicht über eine pauschale Regel, dass jedes VPN jeden Browserdatensatz aufbewahrt. Ob dein Anbieter erfasst ist und was er aufbewahren muss, sind zwei getrennte Fragen mit zwei getrennten Antworten.
Was die Frage eigentlich fragt
Gemeint ist meist, was mein Anbieter über mich speichert, während das Gesetz beantwortet, was dieser Betreiber aufgrund einer ihm zugestellten Anordnung aufbewahren muss. Beides überschneidet sich, ist aber nicht identisch. Ein Betreiber kann Daten aus eigenen betrieblichen Gründen halten und aufgrund einer Anordnung nichts zusätzlich aufbewahren, oder umgekehrt. Eine Frage zu beantworten und zu glauben, man habe die andere beantwortet, ist der Punkt, an dem das meiste an diesem Gespräch schiefgeht.
Trenne zuerst die gesetzliche Pflicht von der gewöhnlichen Produktpolitik.
Trenne dann die Kategorien. Verkehrsdaten und der Inhalt von Kommunikation werden unterschiedlich behandelt, und eine Wendung wie vollständige Logs benennt keines von beidem. Eine Liste dessen, was erhoben wird, warum, wer darauf zugreifen kann und wie lange es lebt, sagt dir mehr als jedes Adjektiv in einer Marketingaussage.
Umfang: welcher Betreiber, welche Daten, welches Instrument
Eine Speicheranordnung gilt für einen Betreiber, und dieser Begriff umfasst eine sachverhaltsabhängige Kategorie statt einer ordentlichen Liste von Unternehmenstypen. Ein Abonnement zu berechnen, entscheidet die Einordnung in keine Richtung. Ob ein bestimmter Dienst darunterfällt, ist eine Frage für einen qualifizierten Berater mit den tatsächlichen Fakten.
Eine Anordnung benennt außerdem Daten und Vorkehrungen statt einfach alles. Der veröffentlichte Verhaltenskodex beschreibt die angewandten Prüfungen, einschließlich Erforderlichkeit und Verhältnismäßigkeit, sowie die Genehmigungsrolle eines Judicial Commissioner. Lies diesen Mechanismus, bevor du eine Zusammenfassung liest, denn er erklärt, warum zwei Anbieter unter einem Gesetz sehr unterschiedliche Pflichten tragen können. Der Kodex stellt auch ausdrücklich klar, dass das Regime kein allgemeines Speichergebot ist.
Halte diesen Mechanismus getrennt von Abhörmaßnahmen, von Eingriffen in Geräte und von Anfragen nach bereits gespeicherten Daten. Jedes hat seine eigenen Bedingungen und seine eigenen Genehmigungen.
Zwei Aufzeichnungen, getrennt geführt
Führe für den normalen Betrieb Buch darüber, was du verarbeitest, warum, wer darauf zugreifen darf und wie lange du es aufbewahrst. Konto- und Supportaufzeichnungen zählen dazu, ebenso alles Tunnelbezogene, und eine Aussage zu einer Kategorie darf niemals stillschweigend die anderen abdecken.
| Record | What it holds | Who owns it |
|---|---|---|
| Routine data inventory | Categories, purposes, access, retention period | Privacy or security owner |
| Formal demand file | Instrument, scope, deadlines, review path | Legal reviewer |
Bei einer förmlichen Aufforderung bewahre das Instrument auf und leite es unverzüglich an die zuständige Prüfperson weiter.
Frage, welche Stelle und welchen Dienst sie erfasst, welche Handlung sie verlangt, welche Fristen gelten und welche Überprüfung es gibt. Prüfe jede Vertraulichkeitsbeschränkung, bevor du sie veröffentlichst oder erörterst, denn der Kodex enthält Grenzen für die Offenlegung von Bestehen oder Inhalt einer Anordnung. Diese Grenzen gehören in das Bearbeitungsverfahren und nicht in den nachträglichen Gedanken.
Was eine öffentliche Richtlinie sagen kann und was nicht
Vergleiche Anbieter anhand einer präzisen Richtlinie mit einer Umfangserklärung statt eines beruhigenden Satzes. Eine brauchbare nennt die gespeicherten Kategorien, die Aufbewahrungsfrist für jede und die Rechtsgrundlage, auf die sie sich stützt. Sie sagt auch, welche Stelle Vertragspartei ist, denn eine Marke und ihr Betreiberunternehmen sind nicht immer dasselbe. Vage Beruhigung und vage Alarmierung sind gleichermaßen nichtssagend.
Auch das Fehlen veröffentlichter Anordnungen ist kein technisches Inventar, denn Offenlegungsgrenzen können einen Betreiber daran hindern, eine zu bestätigen.
Behandle den veröffentlichten Kodex als Rahmen und die eigenen Dokumente deines Anbieters als die Behauptung, die daran zu prüfen ist. Wo beide nicht zusammenkommen, stelle eine schriftliche Frage, die die Datenkategorie und die Aufbewahrungsfrist benennt. Die Antwort oder die Weigerung zu antworten ist mehr wert als ein weiterer Forenbeitrag darüber, was ein Land angeblich verlangt.