Pakottaako Britannian laki VPN-palvelusi pitämään selauslokeja?

„Kotipaikka Britanniassa, joten heidän on pakko säilyttää kaikki“ on yleinen lyhennys, ja se ymmärtää mekanismin väärin. Investigatory Powers Act -lain 4. osa toimii säilyttämisilmoituksilla, jotka annetaan tiedonsiirtopalvelujen operaattoreille, ja sisäministeriön toimintasäännöstö kyseisestä järjestelmästä ilmaisee kannan selvästi: operaattorin ei tarvitse säilyttää viestintätietoja, ellei sille ole annettu ilmoitusta. Se, onko palveluntarjoajallasi sellainen, on tosiasia tuosta palveluntarjoajasta, ei sen alatunnisteessa olevasta maasta.

Tuo yksi lause asettaa myös kysymyksen uudelleen. Sen sijaan että kysyisit, mitä Britannian laki yleisesti vaatii, kysy mikä operaattori, mikä tietoluokka ja mikä väline. Ne kolme vastausta ratkaisevat lähes kaiken muun. Kaikki ennen niitä on iskulause.

Ilmoitus annetaan, ei oleteta

Säännöstön kuvaamassa kehyksessä valtiosihteeri antaa säilyttämisilmoituksen, ja säännöstö kertoo, miten tarpeellisuus ja oikeasuhtaisuus arvioidaan yhdessä tuomarikomissaarin hyväksynnän kanssa. Ilmoitus voi määritellä tiedot, palvelut ja säilyttämisjärjestelyt, jotka se kattaa. Se on väline, jolla on soveltamisala, ei liiketoimintaluokkaan takertuva taustavelvoite.

Niinpä palveluntarjoajan julkinen ilmoitus siitä, ettei se ole saanut ilmoitusta, on merkityksellinen väite, eikä palveluntarjoajan vaikeneminen ole todiste kumpaankaan suuntaan. Säännöstö rajoittaa myös ilmoituksen olemassaolon tai sisällön paljastamista, mikä tarkoittaa, että hyvin perillä oleva operaattori ei välttämättä voi antaa sitä puhdasta vastausta, jonka haluat. Rajoitus ei ole porsaanreikä; se on osa järjestelmän suunnittelua. Punnitse vastausta sen mukaisesti.

Lue ilmoitus sellaisena kuin se on. Julkaistu avoimuusraportti, joka kuvaa vastaanotettuja pyyntöjä, on eri asiakirja kuin säilyttämisilmoitus, eikä kumpikaan ole täydellinen luettelo tiedoista, joita yritys pitää omiin tarkoituksiinsa.

Mikä lasketaan tiedonsiirto-operaattoriksi

Säännöstö käsittelee käsitettä laajasti ja tosiseikoista riippuen, eikä se rajaa pois jokaista päällekkäispalvelua, joka sattuu toimimaan jonkun toisen verkossa. Tilauksen veloittaminen ei ratkaise luokitusta, eikä kaiken isännöiminen toisessa maassa. Se on kysymys palvelun yhteyksistä Britanniaan, ja sen arvioi joku, jolla on siihen pätevyys.

Sen, minkä voit tehdä ilman oikeudellista koulutusta, on lopettaa markkinointilauseen kohteleminen spesifikaationa. „Ei lokeja“ kuvaa käytäntöä. Se ei kuvaa lainsäädännöllistä asemaa, ja molemmat voivat olla totta yhtä aikaa palveluntarjoajalle, joka ei säilytä mitään vapaaehtoisesti eikä ole saanut mitään pakotettuna.

Metatiedot eivät ole viestin sisältöä

Ilmoitusjärjestelmä koskee viestintätietoja eli sitä, kuka, milloin ja miten, ei sitä, mitä sanottiin. Sisältö kuuluu aivan eri valtuuksien alle, eri luvalla. Molempien laittaminen „täysiksi lokeiksi“ tuottaa väittelyitä, joita ei voi ratkaista, koska kahdella luokalla on erilliset oikeudelliset reitit ja usein erilliset säilytysajat.

Tämä ero on käytännöllinen myös VPN:lle. Palveluntarjoaja voi pitää lähes mitään tietoa siitä, mitä lähetit, ja silti pitää tilikirjauksia, maksutietoja, yhteyksien aikaleimoja tai tukiviestejä. Ne ovat tavallisia liiketoimintakirjauksia, joita säätelevät palveluntarjoajan oma käytäntö ja tietosuojalaki, ei säilyttämisilmoitus.

Siksi ilmoitusta koskeva väite ei voi vastata tilin tietoja koskevaan kysymykseen. Kaksi eri välinettä, kaksi eri rajoitusten joukkoa.

Pidä kahta kirjaa, koska kysymyksiä on kaksi

Arkikäyttöön kirjoita ylös luokat, joiden palveluntarjoajasi sanoo käsittelevän tietoja, käyttötarkoitus, kuka niihin pääsee ja kuinka kauan ne kestävät. Sisällytä ne, jotka eivät ole loistokkaita: laskutustiedot, tukipyynnöt, petossignaalit, kaatumisraportit. Tunneliliikennettä koskeva lausunto ei saisi korvata muuta.

Muodollisen vaatimuksen kohdalla säilytä asiakirja ja toimita se sille, joka hoitaa oikeudelliset prosessit, saapumispäivämäärän kanssa. Kysy, mikä taho ja mikä palvelu nimetään, mitä toimenpiteitä vaaditaan, mitkä määräajat ovat ja mitä tarkistusta tai muutoksenhakua on saatavilla. Tarkista luottamuksellisuusehdot ennen kuin vastaat kenenkään kysymyksiin siitä, myös toimittajan.

Nämä kaksi kirjaa vastaavat eri yleisöille. Toinen kertoo käyttäjälle, mitä odottaa; toinen kertoo asianajajalle, mitä tällä viikolla tehdä.

Näin vertailet kahta palveluntarjoajaa pettämättä itseäsi

Pyydä täsmällinen julkinen käytäntö, jossa on soveltamisala, päivämäärä ja kuvaus kattamistaan luokista. Tarkista sitten, erottaako käytäntö sisällön metatiedoista, vapaaehtoisen säilyttämisen pakotetusta ja toimintayhtiön emoyhtiöstään. Epämääräiset vakuuttelut kestävät tarkastelun juuri siksi, etteivät ne koskaan nimeä luokkaa.

Kohtele puuttuvaa tietoa puuttuvana, älä suotuisana. Järjestelmän paljastamisrajoitukset tarkoittavat, että „emme ole saaneet mitään“ ja „emme voi sanoa“ voivat näyttää ulkopuolelta samalta, ja vertailu, joka pisteyttää vaikenemisen voitoksi, mittaa omaa optimismiasi.

Sisäministeriön toimintasäännöstö ilmoitusjärjestelmästä on asiakirja, joka kannattaa lukea ennen kuin toistaa mitään väitettä siitä, mitä 4. osa vaatii. Se on pidempi kuin blogikirjoitus ja huomattavasti huolellisempi.