Une demande étrangère de données arrive chez un fournisseur de VPN américain

Une lettre d'enquêteurs d'un autre pays arrive pour demander des informations sur un client, et la question sur la table est ce qu'elle oblige quiconque à faire. La réponse honnête est que cela dépend de trois choses : qui l'a reçue, quels enregistrements elle nomme et quelle autorité elle invoque. L'emplacement d'un seul serveur VPN ne répond à aucune d'elles. Pas plus que la volonté générale du fournisseur de coopérer, qui relève d'une posture commerciale et non d'une analyse juridique.

Traitez la lettre comme le début d'une évaluation, non comme une conclusion munie d'un tampon.

La lettre nomme un service, pas un système

Commencez par identifier l'entité juridique qui a reçu la demande et le service qu'elle concerne. Une marque, une application et l'entreprise qui exploite un serveur de sortie donné peuvent être trois parties différentes, et une seule d'entre elles détient les enregistrements demandés. Ensuite, rattachez la demande à un système, car les données de compte, les métadonnées de connexion, les adresses de tunnel, les tickets d'assistance et les détails de paiement vivent à des endroits différents avec des durées de conservation différentes.

Séparez la contrainte, l'autorisation et le devoir

Une demande volontaire, une procédure obtenue par un mécanisme juridique interne et une ordonnance couverte par un accord international sont des instruments différents. Ils portent des obligations différentes et des motifs d'opposition différents.

Le ministère de la Justice des États-Unis décrit les accords exécutifs qualifiés comme une voie permettant à certaines ordonnances étrangères d'être adressées à des fournisseurs selon les conditions de l'accord. C'est un mécanisme précis, pas une règle selon laquelle n'importe quelle police n'importe où pourrait exiger n'importe quel enregistrement VPN. Pour les services américains couverts, 18 USC 2702 régit séparément la divulgation volontaire, en distinguant le contenu des communications des autres informations clients et en énumérant les exceptions applicables.

La volonté d'aider, l'autorisation légale d'aider et l'obligation légale d'aider sont trois questions distinctes, et l'article de blog d'un fournisseur ne répond généralement qu'à la première.

Définissez ce que signifie l'IP du client

Une demande portant sur l'adresse IP du client a besoin d'une définition avant d'avoir besoin d'une réponse. Elle peut désigner l'adresse source observée au moment de la connexion, une sortie publique partagée utilisée par de nombreux clients, l'adresse de tunnel attribuée à une session ou une adresse enregistrée lors d'une interaction de facturation. Demandez quel événement et quel intervalle de temps la demande couvre, car la réponse décide quel système est interrogé.

Un fournisseur peut détenir des données de compte sans détenir un historique de navigation, et ce sont des réponses différentes à la même phrase de la lettre.

Préservez d'abord, décidez ensuite

Si vous exploitez le service, conservez la demande d'origine et transmettez-la rapidement à qui détient la revue juridique. Vérifiez l'expéditeur, l'action demandée, la portée, les délais et toute exigence de confidentialité par un canal auquel vous faites déjà confiance. Décidez de la base juridique et de la réponse avant de divulguer quoi que ce soit ou de modifier un paramètre de conservation. Une modification de conservation faite dans la précipitation devient elle-même une preuve de la manière dont le service traite les enregistrements.

Ce qu'il faut regarder quand vous êtes le client

Lisez la description par le fournisseur du traitement des demandes légales à côté de sa politique de données par catégorie. Cherchez une entité responsable identifiable et un processus de revue décrit.

Une constitution dans un pays avec des serveurs de sortie dans un autre ne rend pas toutes les demandes étrangères identiques, ni ne les rend toutes invalides. La question utile est quels enregistrements existent, qui peut y accéder et quel processus se trouve entre une demande et une divulgation. Un fournisseur capable de répondre clairement à cela est plus facile à évaluer qu'un autre qui répond par un slogan, et la réponse vaut plus que le pays de sortie dans la fiche.