Registros, conservación o registro futuro: ¿qué solicitud?
Una solicitud de registros ya existentes, una exigencia de conservación y una orden de recogida futura son tres operaciones. Lea primero cuál autoriza el documento.
Un titular dice que se ordenó a un proveedor de VPN entregar registros, y el hilo de comentarios concluye que ahora toda VPN debe registrar. El documento detrás del titular puede haber pedido registros que ya existían, haber pedido al proveedor que conserve lo que tiene mientras se obtiene más proceso, o haber autorizado la recogida de atributos específicos en adelante. Son tres operaciones diferentes con tres límites diferentes. Lea cuál realiza el documento antes de sacar una conclusión.
Tres operaciones que se llaman citación
La palabra del titular suele ser un error de categoría más que una mentira. Una solicitud de registros existentes, una exigencia de conservación y una autorización de recogida prospectiva llegan todas como papeles legales, y no son intercambiables. Cada una nombra una acción distinta, un intervalo de tiempo distinto y un conjunto distinto de destinatarios. Leer cuál se aplica lleva un minuto y evita la mayoría de las conclusiones malas.
| Operation | What it asks for | What it does not do |
|---|---|---|
| Records request | Information already held by the provider | Create data that was never collected |
| Preservation | Keep existing records while process continues | Disclose them to the requester |
| Prospective collection | Capture specified attributes going forward | Read the contents of communications |
Esa tabla es una ayuda de lectura, no una taxonomía legal, y el instrumento concreto es lo que importa. La clasificación de un servicio, su jurisdicción y la información nombrada en el documento cambian el análisis, por eso la pregunta útil es siempre "qué operación, durante qué período, para qué categorías".
Lo que ya existe es otra cuestión
Para un ejemplo de Estados Unidos, 18 USC 2703 ofrece rutas distintas para las comunicaciones y para los registros de clientes, y la subsección (c)(2) identifica cierta información de abonado obtenible con un proceso especificado. No dice que toda clase de información esté disponible mediante el mismo instrumento.
Esa distinción es la que una política de privacidad no puede responder por usted. Una declaración sobre la conservación del historial de navegación puede no decir nada sobre un registro de cuenta, un registro de pago o un tique de soporte, porque son categorías distintas con conservaciones distintas.
Así que lea la política como una lista de categorías y no como una sola promesa. Pregunte qué registros existen, durante cuánto tiempo y bajo control de quién, y trate "no guardamos registros" como una afirmación sobre una categoría hasta que el proveedor diga lo contrario. Luego pregunte qué categoría nombra realmente la solicitud. La discrepancia entre esas dos respuestas es donde fallan la mayoría de los debates públicos sobre el registro de VPN.
La conservación no es la divulgación
La conservación pide a un proveedor que guarde pruebas que ya posee mientras se obtiene más proceso. No entrega esas pruebas a nadie y no crea un flujo nuevo de registros. La distinción se pierde fácilmente en un resumen que dice que el proveedor fue "obligado a retener datos".
Para la persona que lee la noticia, eso significa que una orden de conservación no es prueba de que un proveedor haya cambiado sus prácticas de recogida. Para el operador que recibe una, significa que la obligación consiste en no destruir algo, lo cual es una acción mucho más estrecha que construir una tubería.
Ambas lecturas apuntan a la misma regla práctica: congele el estado relevante y deje de cambiarlo hasta que alguien cualificado haya revisado la solicitud. Borrar con prisa y recoger con prisa son dos formas de empeorar la situación. Una nota escrita de lo que existía cuando llegó el requerimiento vale más que cualquier reconstrucción posterior.
La recogida futura tiene su propia autoridad
La recogida prospectiva es de nuevo un mecanismo aparte. En Estados Unidos, las órdenes de pen register y trap and trace según 18 USC 3123 tratan la autorización, atributos de comunicación especificados, asistencia, períodos de tiempo y no divulgación, mientras que las definiciones de la sección 3127 excluyen el contenido de las comunicaciones de esas categorías.
Esa exclusión es la parte que la gente pasa por alto cuando concluye que una orden autoriza leer mensajes. La categoría trata de atributos, no de contenido, y el estatuto es específico sobre qué cubre. Si una solicitud concreta encaja dentro de ese límite es una pregunta para un abogado y no para una entrada de blog.
También se sigue que la política habitual de no registros de un proveedor no es un escudo legal. Una política describe qué se recoge por defecto; una obligación describe qué debe hacerse bajo un instrumento válido. Ambas afirmaciones pueden ser ciertas a la vez y aun así entrar en conflicto en la práctica.
Qué hacer cuando llega una solicitud
Dirija el documento de inmediato al revisor responsable y consérvelo exactamente como se recibió, incluidas cabeceras y adjuntos. Anote los plazos, las condiciones de confidencialidad y las categorías nombradas, porque esos tres hechos determinan todo lo que sigue.
No componga un cambio de recogida o de borrado a partir de un resumen en línea. No notifique al usuario afectado antes de comprobar si se aplica la no divulgación, y no asuma que se aplica sin leer el instrumento.
Si está eligiendo un proveedor en lugar de operar uno, lea la política de datos junto a su informe de transparencia y advierta los huecos. La ausencia de solicitudes publicadas no es prueba de que los requerimientos sean técnicamente imposibles, y una política publicada no es prueba de que no exista otra categoría.