Una solicitud extranjera de datos llega a un proveedor de VPN de EE. UU.

Llega una carta de investigadores de otro país que pregunta por un cliente, y la cuestión sobre la mesa es a qué obliga a cualquiera. La respuesta honesta es que depende de tres cosas: quién la recibió, qué registros nombra y qué autoridad invoca. La ubicación de un servidor VPN no responde a ninguna de ellas. Tampoco la disposición general del proveedor a colaborar, que es una postura comercial y no un análisis jurídico.

Trate la carta como el inicio de una evaluación, no como una conclusión con un sello.

La carta nombra un servicio, no un sistema

Empiece identificando la entidad jurídica que recibió la solicitud y el servicio al que se refiere. Una marca, una aplicación y la empresa que opera un servidor de salida concreto pueden ser tres partes distintas, y solo una de ellas tiene los registros que se piden. Después sitúe la solicitud en un sistema, porque los registros de la cuenta, los metadatos de conexión, las direcciones del túnel, los tickets de soporte y los datos de pago viven en lugares distintos con retenciones distintas.

Separe la coacción, el permiso y el deber

Una solicitud voluntaria, un procedimiento obtenido mediante un mecanismo jurídico interno y una orden cubierta por un acuerdo internacional son instrumentos distintos. Conllevan obligaciones distintas y motivos de oposición distintos.

El Departamento de Justicia de EE. UU. describe los acuerdos ejecutivos cualificados como una vía para que determinadas órdenes extranjeras se dirijan a los proveedores bajo las condiciones del acuerdo. Eso es un mecanismo específico, no una regla según la cual cualquier policía de cualquier lugar pueda exigir cualquier registro de VPN. Para los servicios estadounidenses cubiertos, 18 USC 2702 regula por separado la divulgación voluntaria, distinguiendo el contenido de las comunicaciones de la demás información de los clientes y enumerando las excepciones aplicables.

La disposición a ayudar, el permiso legal para ayudar y el deber legal de ayudar son tres preguntas separadas, y la entrada de blog de un proveedor suele responder solo a la primera.

Defina qué significa la IP del cliente

Una solicitud de la dirección IP del cliente necesita una definición antes que una respuesta. Puede significar la dirección de origen observada en el momento de la conexión, una salida pública compartida que usan muchos clientes, la dirección del túnel asignada a una sesión o una dirección registrada durante una interacción de facturación. Pregunte qué evento y qué intervalo de tiempo cubre la solicitud, porque la respuesta decide qué sistema se consulta.

Un proveedor puede tener registros de la cuenta sin tener historial de navegación, y esas son respuestas distintas a la misma frase de la carta.

Primero preserve, después decida

Si opera el servicio, conserve la solicitud original y encamínela sin demora a quien tenga la revisión jurídica. Verifique el remitente, la acción solicitada, el alcance, los plazos y cualquier requisito de confidencialidad por un canal en el que ya confíe. Decida la base jurídica y la respuesta antes de divulgar nada o de cambiar una configuración de retención. Un cambio de retención hecho con prisa se convierte en prueba sobre cómo trata los registros el servicio.

Qué mirar cuando usted es el cliente

Lea la descripción del proveedor sobre el tratamiento de solicitudes legales junto a su política de datos por categorías. Busque una entidad responsable identificable y un proceso de revisión descrito.

Constituirse en un país con servidores de salida en otro no hace que todas las solicitudes extranjeras sean iguales, ni las hace todas inválidas. La pregunta útil es qué registros existen, quién puede llegar a ellos y qué proceso hay entre una solicitud y una divulgación. Un proveedor que puede responder eso con claridad es más fácil de evaluar que uno que responde con un eslogan, y la respuesta vale más que el país de salida del listado.