Aufzeichnungen, Vorratshaltung oder künftige Protokollierung: Welches Ersuchen?

Eine Schlagzeile besagt, ein VPN-Anbieter sei angewiesen worden, Aufzeichnungen herauszugeben, und der Kommentarbereich schließt daraus, dass jetzt jedes VPN protokollieren müsse. Das Dokument hinter der Schlagzeile kann Aufzeichnungen verlangt haben, die bereits existierten, kann den Anbieter gebeten haben, zu behalten, was er hat, bis ein weiteres Verfahren erwirkt ist, oder kann die Erhebung bestimmter Merkmale für die Zukunft autorisiert haben. Das sind drei verschiedene Vorgänge mit drei verschiedenen Grenzen. Lesen Sie, welchen das Dokument durchführt, bevor Sie eine Schlussfolgerung ziehen.

Drei Vorgänge, die als Vorladung bezeichnet werden

Das Wort in der Schlagzeile ist meist ein Kategorienfehler und keine Lüge. Ein Ersuchen um bestehende Aufzeichnungen, eine Vorratsanordnung und eine Genehmigung zur prospektiven Erhebung kommen alle als juristisches Schriftstück an und sind nicht austauschbar. Jedes benennt eine andere Handlung, einen anderen Zeitraum und einen anderen Kreis von Empfängern. Zu lesen, welches zutrifft, dauert eine Minute und verhindert die meisten schlechten Schlussfolgerungen.

Diese Tabelle ist eine Lesehilfe, keine rechtliche Taxonomie, und das konkrete Instrument ist entscheidend. Die Klassifizierung eines Dienstes, seine Gerichtsbarkeit und die im Dokument genannten Informationen verändern alle die Analyse, weshalb die nützliche Frage immer lautet: "welcher Vorgang, über welchen Zeitraum, für welche Kategorien".

Was bereits existiert, ist eine andere Frage

Für ein Beispiel aus den Vereinigten Staaten bietet 18 USC 2703 unterschiedliche Wege für Kommunikationen und für Kundendaten, und Unterabschnitt (c)(2) benennt bestimmte Teilnehmerinformationen, die mit einem festgelegten Verfahren erhältlich sind. Es besagt nicht, dass jede Art von Information über dasselbe Instrument verfügbar ist.

Diese Unterscheidung ist die, die eine Datenschutzerklärung Ihnen nicht beantworten kann. Eine Aussage über die Aufbewahrung des Browserverlaufs sagt möglicherweise nichts über einen Kontodatensatz, einen Zahlungsdatensatz oder ein Support-Ticket, weil das verschiedene Kategorien mit unterschiedlicher Aufbewahrung sind.

Lesen Sie die Richtlinie also als Liste von Kategorien und nicht als einzelnes Versprechen. Fragen Sie, welche Aufzeichnungen existieren, wie lange und unter wessen Kontrolle, und behandeln Sie "wir führen keine Protokolle" als Aussage über eine Kategorie, bis der Anbieter etwas anderes sagt. Fragen Sie dann, welche Kategorie das Ersuchen tatsächlich benennt. Die Diskrepanz zwischen diesen beiden Antworten ist der Punkt, an dem die meisten öffentlichen Debatten über VPN-Protokollierung schiefgehen.

Vorratshaltung ist keine Offenlegung

Vorratshaltung verlangt von einem Anbieter, Beweise, die er bereits besitzt, zu behalten, bis ein weiteres Verfahren erwirkt ist. Sie übergibt diese Beweise niemandem und erzeugt keinen neuen Datenstrom. Die Unterscheidung geht leicht in einer Zusammenfassung verloren, die sagt, der Anbieter sei "angewiesen worden, Daten zu speichern".

Für den Leser der Nachricht bedeutet das, dass eine Vorratsanordnung kein Beleg dafür ist, dass ein Anbieter seine Erhebungspraxis geändert hat. Für den Betreiber, der eine erhält, bedeutet es, dass die Pflicht darin besteht, etwas nicht zu vernichten, was eine viel engere Handlung ist als der Aufbau einer Pipeline.

Beide Lesarten führen auf dieselbe praktische Regel: den relevanten Zustand einfrieren und aufhören, ihn zu ändern, bis eine qualifizierte Person das Ersuchen geprüft hat. Eilig löschen und eilig erheben sind beides Wege, die Lage zu verschlimmern. Eine schriftliche Notiz darüber, was zum Zeitpunkt des Zugangs bestand, ist mehr wert als jede spätere Rekonstruktion.

Die künftige Erhebung hat ihre eigene Rechtsgrundlage

Die prospektive Erhebung ist wieder ein eigenes Instrument. In den Vereinigten Staaten regeln Anordnungen zu pen register und trap and trace nach 18 USC 3123 die Genehmigung, bestimmte Kommunikationsmerkmale, Unterstützung, Zeiträume und Geheimhaltung, während die Definitionen in Abschnitt 3127 Kommunikationsinhalte von diesen Kategorien ausnehmen.

Diese Ausnahme ist der Teil, den Leute übersehen, wenn sie folgern, eine Anordnung erlaube das Lesen von Nachrichten. Die Kategorie betrifft Merkmale, nicht Inhalte, und das Gesetz ist konkret darin, was es abdeckt. Ob ein bestimmtes Ersuchen in diese Grenze passt, ist eine Frage für einen Anwalt und nicht für einen Blogbeitrag.

Daraus folgt auch, dass die gewöhnliche No-Logs-Richtlinie eines Anbieters kein rechtlicher Schutzschild ist. Eine Richtlinie beschreibt, was standardmäßig erhoben wird; eine Pflicht beschreibt, was unter einem gültigen Instrument geschehen muss. Beide Aussagen können gleichzeitig wahr sein und sich in der Praxis dennoch widersprechen.

Was zu tun ist, wenn ein Ersuchen eintrifft

Leiten Sie das Dokument sofort an die zuständige Prüfperson weiter und bewahren Sie es genau so auf, wie es eingegangen ist, einschließlich Kopfzeilen und Anhängen. Notieren Sie die Fristen, die Vertraulichkeitsbedingungen und die genannten Kategorien, denn diese drei Tatsachen bestimmen alles Weitere.

Stellen Sie keine Änderung der Erhebung oder Löschung aus einer Online-Zusammenfassung zusammen. Benachrichtigen Sie den betroffenen Nutzer nicht, bevor Sie geprüft haben, ob Geheimhaltung gilt, und nehmen Sie nicht an, dass sie gilt, ohne das Instrument gelesen zu haben.

Wenn Sie einen Anbieter auswählen statt einen zu betreiben, lesen Sie die Datenrichtlinie neben seinem Transparenzbericht und bemerken Sie die Lücken. Das Fehlen veröffentlichter Ersuchen ist kein Beweis dafür, dass Anforderungen technisch unmöglich sind, und eine veröffentlichte Richtlinie ist kein Beweis dafür, dass keine andere Kategorie existiert.