La loi britannique oblige-t-elle votre VPN à conserver des journaux de navigation ?

« Basé au Royaume-Uni, donc ils doivent tout garder » est un raccourci courant, et il se trompe sur le mécanisme. La partie 4 de l'Investigatory Powers Act fonctionne par notifications de conservation adressées aux opérateurs de télécommunications, et le code de pratique du Home Office pour ce régime énonce clairement la position : un opérateur n'est pas tenu de conserver des données de communications sauf si une notification lui a été adressée. Que votre fournisseur en ait une est un fait sur ce fournisseur, pas sur le pays dans son pied de page.

Cette seule phrase reformule aussi la question. Au lieu de demander ce que la loi britannique exige en général, demandez quel opérateur, quelle catégorie de données et quel instrument. Ces trois réponses décident de presque tout le reste. Tout ce qui les précède est un slogan.

Une notification est adressée, pas supposée

Selon le cadre que décrit le code, le secrétaire d'État adresse une notification de conservation, et le code expose comment la nécessité et la proportionnalité sont appréciées avec l'approbation d'un commissaire judiciaire. La notification peut préciser les données, les services et les modalités de conservation qu'elle couvre. C'est un instrument doté d'une portée, non une obligation de fond attachée à une catégorie d'activité.

Une déclaration publique d'un fournisseur affirmant n'avoir reçu aucune notification est donc une affirmation significative, et le silence d'un fournisseur n'est une preuve dans aucun sens. Le code restreint aussi la divulgation de l'existence ou du contenu d'une notification, ce qui signifie qu'un opérateur bien informé peut être incapable de vous donner la réponse nette que vous voulez. Cette restriction n'est pas une faille ; elle fait partie de la conception du régime. Pesez la réponse en conséquence.

Lisez la déclaration pour ce qu'elle est. Un rapport de transparence publié décrivant les demandes reçues est un document différent d'une notification de conservation, et ni l'un ni l'autre n'est un inventaire complet des données qu'une entreprise détient pour ses propres besoins.

Ce qui compte comme opérateur de télécommunications

Le code traite la notion de façon large et dépendante des faits, et il n'exclut pas tout service en superposition qui se trouve fonctionner sur le réseau d'un autre. Facturer un abonnement ne tranche pas la classification, pas plus que tout héberger dans un autre pays. C'est une question sur les liens du service avec le Royaume-Uni, et elle doit être évaluée par quelqu'un qualifié pour le faire.

Ce que vous pouvez faire sans formation juridique, c'est cesser de traiter une phrase marketing comme une spécification. « Aucun journal » décrit une politique. Elle ne décrit pas une position légale, et les deux peuvent être vraies à la fois pour un fournisseur qui ne conserve rien volontairement et n'a rien reçu d'obligatoire.

Les métadonnées ne sont pas le contenu du message

Le régime des notifications concerne les données de communications, c'est-à-dire qui, quand et comment, plutôt que ce qui a été dit. Le contenu relève de pouvoirs entièrement différents, avec une autorisation différente. Mettre les deux dans « journaux complets » produit des débats insolubles, car les deux catégories ont des voies juridiques distinctes et souvent des durées de conservation distinctes.

Cette distinction est aussi la pratique pour un VPN. Un fournisseur peut ne conserver presque rien sur ce que vous avez envoyé tout en conservant des registres de compte, des données de paiement, des horodatages de connexion ou des messages d'assistance. Ce sont des registres commerciaux ordinaires, régis par la politique du fournisseur et par le droit de la protection des données, non par une notification de conservation.

C'est pourquoi une affirmation sur une notification ne peut pas répondre à une question sur les données de compte. Deux instruments différents, deux ensembles de limites différents.

Tenez deux registres, parce qu'il existe deux questions

Pour l'usage quotidien, notez les catégories que votre fournisseur dit traiter, la finalité, qui peut y accéder et combien de temps elles durent. Incluez les peu glorieuses : registres de facturation, tickets d'assistance, signaux de fraude, rapports de plantage. Une déclaration sur le trafic du tunnel ne devrait pas remplacer le reste.

Face à une demande formelle, conservez le document et transmettez-le à qui traite les procédures juridiques, avec la date de réception. Demandez quelle entité et quel service sont nommés, quelle action est requise, quels sont les délais et quel réexamen ou recours existe. Vérifiez les conditions de confidentialité avant de répondre aux questions de quiconque à ce sujet, y compris celles d'un journaliste.

Ces deux registres répondent à des publics différents. L'un dit à l'utilisateur à quoi s'attendre ; l'autre dit à l'avocat quoi faire cette semaine.

Comment comparer deux fournisseurs sans se tromper soi-même

Demandez une politique publique précise avec une portée, une date et une description des catégories qu'elle couvre. Vérifiez ensuite si la politique distingue le contenu des métadonnées, la conservation volontaire de la conservation contrainte et la société d'exploitation de sa maison mère. Les assurances vagues survivent à l'examen précisément parce qu'elles ne nomment jamais une catégorie.

Traitez l'information manquante comme manquante et non comme favorable. Les restrictions de divulgation du régime font que « nous n'avons rien reçu » et « nous ne pouvons pas le dire » peuvent sembler identiques de l'extérieur, et une comparaison qui note le silence comme une victoire mesure votre propre optimisme.

Le code de pratique du Home Office pour le régime des notifications est le document à lire avant de répéter une quelconque affirmation sur ce que la partie 4 exige. Il est plus long qu'un billet de blog et nettement plus prudent.