Un VPN britannique conserve-t-il votre historique de navigation ? Lisez l’avis

Une page d’abonnement ne peut pas répondre à la question de la conservation, et le pays d’enregistrement de l’opérateur ne le peut pas davantage à lui seul. Le cadre qui compte ici est la partie 4 de la loi sur les pouvoirs d’enquête, qui agit par le biais de avis de conservation adressés aux opérateurs de télécommunications plutôt que par une règle générale selon laquelle chaque VPN conserve chaque enregistrement de navigation. La question de savoir si votre fournisseur est couvert et celle de ce qu’il doit conserver sont deux questions distinctes avec deux réponses distinctes.

Ce que la question demande réellement

Les gens veulent généralement dire « ce que mon fournisseur détient sur moi », alors que la loi répond « ce que cet opérateur doit conserver en vertu d’un avis qui lui a été adressé ». Les deux se recoupent sans être identiques. Un opérateur peut détenir des données pour ses propres raisons opérationnelles et ne rien conserver de plus en vertu d’un avis, ou l’inverse. Répondre à l’une et croire avoir répondu à l’autre, voilà où la majeure partie de cette conversation déraille.

Commencez par séparer l’obligation légale de la politique produit ordinaire.

Séparez ensuite les catégories. Les données de communication et le contenu des communications sont traités différemment, et une formule comme journaux complets ne désigne ni l’un ni l’autre. Une liste de ce qui est collecté, pourquoi, qui peut y accéder et combien de temps cela vit vous en dit plus que n’importe quel adjectif dans une allégation marketing.

Portée : quel opérateur, quelles données, quel instrument

Un avis de conservation s’applique à un opérateur, et ce terme recouvre une catégorie qui dépend des faits plutôt qu’une liste bien rangée de types de sociétés. Facturer un abonnement ne tranche la classification dans aucun sens. Savoir si un service particulier entre dans son champ est une question pour un conseiller qualifié disposant des faits réels.

Un avis précise aussi des données et des modalités plutôt que simplement tout. Le code de pratique publié décrit les tests appliqués, y compris la nécessité et la proportionnalité, ainsi que le rôle d’approbation d’un commissaire judiciaire. Lisez ce mécanisme avant de lire un résumé, car il explique pourquoi deux fournisseurs soumis à une même loi peuvent porter des obligations très différentes. Le code précise aussi explicitement que le régime n’est pas un mandat universel de conservation.

Gardez ce mécanisme distinct de l’interception, de l’atteinte aux équipements et des demandes portant sur des données déjà détenues. Chacun a ses propres conditions et ses propres approbations.

Deux registres, tenus séparément

Pour l’exploitation ordinaire, tenez un compte de ce que vous traitez, pourquoi, qui peut y accéder et combien de temps vous le conservez. Les registres de compte et de support comptent, tout comme ce qui touche au tunnel, et une déclaration sur une catégorie ne doit jamais être autorisée à couvrir les autres par implication.

En cas d’exigence formelle, conservez l’instrument et transmettez-le sans délai au réviseur responsable.

Demandez quelle entité et quel service elle couvre, quelle action elle exige, quels délais s’appliquent et quel réexamen existe. Vérifiez toute restriction de confidentialité avant de la publier ou d’en discuter, car le code contient des limites à la divulgation de l’existence ou du contenu d’un avis. Ces limites relèvent de la procédure de traitement, non de la réflexion après coup.

Ce qu’une politique publique peut dire et ne peut pas dire

Lorsque vous comparez des fournisseurs, cherchez une politique précise avec une déclaration de portée plutôt qu’une phrase rassurante. Une politique utile nomme les catégories détenues, la durée de conservation de chacune et la base légale sur laquelle elle s’appuie. Elle indique aussi quelle entité est la partie contractante, car une marque et sa société d’exploitation ne sont pas toujours la même. Le rassurement vague et l’alarme vague sont également peu informatifs.

L’absence d’avis publiés n’est pas non plus un inventaire technique, car des limites de divulgation peuvent empêcher un opérateur d’en confirmer un.

Traitez le code publié comme le cadre et les documents de votre fournisseur comme l’affirmation à vérifier par rapport à lui. Là où les deux ne se rejoignent pas, posez une question écrite qui nomme la catégorie de données et la durée de conservation. La réponse, ou le refus de répondre, vaut plus qu’un autre fil de forum sur ce qu’un pays est censé exiger.