Un fournisseur de VPN étranger peut-il ignorer une demande de données américaine ?
Une étiquette de pays répond à très peu de choses. Suivez l'entité contractante, ce qu'elle peut produire et où atterrit une loi américaine de divulgation au champ étroit.
Les étiquettes de pays résolvent la plus petite question du dossier juridique d'un fournisseur. Trois conditions décident si une adresse à l'étranger change ce qui se passe lorsqu'une réquisition arrive : si l'entité qui la reçoit y est soumise, si cette entité détient ou contrôle l'enregistrement, et quelle catégorie d'enregistrement la réquisition atteint. Trompez-vous sur l'une d'elles et l'étiquette décore une conclusion que vous n'avez pas gagnée.
Traitez-les dans cet ordre, car chacune peut clore l'analyse avant que la suivante ne commence. Ce qui suit est une carte de diligence raisonnable, non un classement de pays, avec une loi américaine étroitement circonscrite comme exemple travaillé.
Commencez par l'entité nommée dans le contrat
Le contrat client nomme une entité, et c'est cette entité qui porte la relation avec vous. La marque du site peut appartenir à une maison mère, le tunnel peut être exploité par une filiale, et la facturation peut se trouver chez un revendeur ou un prestataire de paiement enregistré ailleurs encore. Demandez la dénomination légale et le numéro d'enregistrement imprimés sur la facture, puis demandez laquelle de ces organisations répond à une assignation. Un logo partagé n'explique rien de tout cela.
Distinguez quatre localisations pendant votre travail : où la société est enregistrée, où pointent les adresses de sortie, où se trouve réellement le matériel et où les données de compte sont traitées. Une déclaration qui règle l'une d'elles ne règle pas les trois autres, et un fournisseur qui ne répond que sur la plus facile vous dit où continuer à chercher.
La possession, la garde ou le contrôle l'emportent sur la géographie
Un exemple américain circonscrit rend la distinction concrète. 18 USC 2713 impose aux fournisseurs que le chapitre couvre de conserver et de divulguer les communications et les enregistrements clients qui sont en leur possession, sous leur garde ou sous leur contrôle, et son texte ne dépend pas de la question de savoir si ces enregistrements reposent dans le pays ou hors de ses frontières. L'obligation s'attache aux entités et aux catégories d'enregistrement que la loi atteint réellement, ensemble plus étroit que celui de tout fournisseur qui affiche une adresse étrangère.
Un inventaire répond plus qu'un slogan. Un fournisseur qui ne conserve vraiment aucun enregistrement de connexion n'a rien à préserver dans cette catégorie, alors que ce même fournisseur peut encore détenir un e-mail d'inscription, un jeton de paiement et des pièces jointes au support qui tombent en plein dans l'obligation. Accepter une réponse sur la journalisation sans demander ce qui existe d'autre laisse la majeure partie du dossier inexplorée. Une demande de données repose rarement sur le seul tunnel.
Ce qui compte, c'est qui peut produire un enregistrement, non sur quel continent repose le disque, et l'entité capable de le produire est celle qu'il faut examiner. Une page listant des pays de sortie répond à une autre question.
Alignez la catégorie d'enregistrement sur ce que vous avez transmis
Le langage de conservation s'écrit généralement par catégorie, et une page de confidentialité générale le brouille en un paragraphe assuré. Extrayez les clauses précises et notez quelles catégories elles nomment. Comparez ensuite cette liste aux enregistrements que crée votre propre usage, car le recouvrement est la seule partie qui vous concerne.
| Record type | Who tends to hold it | What the country label settles |
|---|---|---|
| Signup email and account metadata | Contracting entity or its identity provider | Nothing about retention |
| Payment instrument | Processor, reseller, or bank | Little; another company may answer first |
| Support attachments | Support desk, in-house or outsourced | Whether the desk belongs to the same entity |
| Tunnel connection records | Operator, if collected at all | Only whether collection is claimed |
| Device and app identifiers | App vendor | Which policy covers the app, not the tunnel |
Deux lignes tranchent généralement la question pratique. Les pièces jointes au support et les détails de paiement existent parce que vous les avez fournis, ils survivent donc même quand un fournisseur affirme ne journaliser rien. Les enregistrements de connexion sont la catégorie contestée, et un fournisseur qui affirme n'en conserver aucun devrait pouvoir décrire comment sa facturation et son traitement des abus évitent de les créer.
Laissez une cellule inconnue vide dans vos notes plutôt que de laisser la réponse voisine la remplir. Un blanc est plus honnête qu'une conjecture importée du pays de sortie.
Posez les trois conditions au fournisseur par écrit
Demandez quelle entité reçoit la procédure judiciaire, quelles catégories cette entité peut produire sans demander à quiconque, et comment son rapport de transparence compte les demandes qu'elle refuse ou auxquelles elle ne peut répondre. Posez les trois dans un seul message pour que les réponses soient comparables. Une réponse qui traite le pays mais pas l'entité, ou l'entité mais pas la catégorie, a répondu à une question que vous n'avez pas posée. Le silence sur une condition est lui-même le constat.
Appliquez les mêmes conditions à la loi sur laquelle vous vous appuyez. Un devoir de divulgation écrit pour un chapitre précis lie les fournisseurs que ce chapitre couvre, et sa formulation territoriale parle de l'endroit où reposent les enregistrements, non de la société qui doit répondre. Traitez un résumé assuré, y compris celui-ci, comme une raison de lire le texte qui régit votre fournisseur.
Notez l'entité, les catégories et la disposition que vous avez vérifiée, et datez la note. Cet enregistrement survit aux changements de marque et aux réécritures marketing, et il donne à un avocat ou à un auditeur un point de départ concret lorsque la question cesse d'être hypothétique.