Journaux, conservation ou enregistrement futur : quelle demande ?

Un titre affirme qu'un fournisseur VPN a reçu l'ordre de remettre des journaux, et le fil de commentaires conclut que tout VPN doit désormais enregistrer. Le document derrière le titre a peut-être demandé des journaux qui existaient déjà, demandé au fournisseur de conserver ce qu'il a le temps d'obtenir une procédure ultérieure, ou autorisé la collecte d'attributs déterminés à l'avenir. Ce sont trois opérations différentes avec trois limites différentes. Lisez laquelle le document effectue avant de conclure.

Trois opérations qu'on appelle une assignation

Le mot du titre est généralement une erreur de catégorie plutôt qu'un mensonge. Une demande de journaux existants, une injonction de conservation et une autorisation de collecte prospective arrivent toutes comme des pièces juridiques, et elles ne sont pas interchangeables. Chacune nomme une action différente, une plage temporelle différente et un ensemble différent de destinataires. Lire laquelle s'applique prend une minute et évite la plupart des mauvaises conclusions.

Ce tableau est une aide à la lecture, non une taxonomie juridique, et l'instrument précis compte. La classification d'un service, sa compétence et les informations nommées dans le document modifient toutes l'analyse, ce qui explique pourquoi la question utile est toujours « quelle opération, sur quelle période, pour quelles catégories ».

Ce qui existe déjà est une autre question

Pour un exemple américain, 18 USC 2703 prévoit des voies différentes pour les communications et pour les dossiers clients, et le sous-paragraphe (c)(2) identifie certaines informations d'abonné obtenables par une procédure déterminée. Il ne dit pas que toute catégorie d'information est disponible par le même instrument.

Cette distinction est celle à laquelle une politique de confidentialité ne peut pas répondre à votre place. Une déclaration sur la conservation de l'historique de navigation peut ne rien dire d'un dossier de compte, d'un dossier de paiement ou d'un ticket d'assistance, car ce sont des catégories différentes avec des conservations différentes.

Lisez donc la politique comme une liste de catégories plutôt que comme une promesse unique. Demandez quels journaux existent, pendant combien de temps et sous le contrôle de qui, et traitez « nous ne conservons aucun journal » comme une affirmation sur une catégorie jusqu'à ce que le fournisseur dise le contraire. Demandez ensuite quelle catégorie la demande nomme réellement. L'écart entre ces deux réponses est là où la plupart des débats publics sur la journalisation VPN se trompent.

La conservation n'est pas la divulgation

La conservation demande à un fournisseur de garder des preuves qu'il possède déjà le temps d'obtenir une procédure ultérieure. Elle ne remet ces preuves à personne et ne crée pas un nouveau flux de journaux. La distinction se perd facilement dans un résumé qui dit que le fournisseur a été « sommé de conserver des données ».

Pour la personne qui lit la nouvelle, cela signifie qu'une injonction de conservation n'est pas la preuve qu'un fournisseur a changé ses pratiques de collecte. Pour l'opérateur qui en reçoit une, cela signifie que l'obligation porte sur le fait de ne pas détruire quelque chose, ce qui est une action bien plus étroite que de construire un pipeline.

Les deux lectures mènent à la même règle pratique : gelez l'état concerné et cessez de le modifier jusqu'à ce qu'une personne qualifiée ait examiné la demande. Supprimer dans la hâte et collecter dans la hâte sont deux façons d'aggraver la situation. Une note écrite de ce qui existait à l'arrivée de la demande vaut plus que toute reconstruction ultérieure.

La collecte future a sa propre autorité

La collecte prospective est encore un mécanisme distinct. Aux États-Unis, les ordonnances de pen register et de trap and trace au titre de 18 USC 3123 traitent de l'autorisation, d'attributs de communication déterminés, de l'assistance, des périodes et de la non-divulgation, tandis que les définitions de l'article 3127 excluent le contenu des communications de ces catégories.

Cette exclusion est la partie que les gens manquent lorsqu'ils concluent qu'une ordonnance autorise la lecture des messages. La catégorie porte sur des attributs, non sur le contenu, et la loi est précise sur ce qu'elle couvre. Savoir si une demande particulière entre dans cette limite est une question pour un avocat plutôt que pour un billet de blog.

Il s'ensuit aussi que la politique ordinaire de non-journalisation d'un fournisseur n'est pas un bouclier juridique. Une politique décrit ce qui est collecté par défaut ; une obligation décrit ce qui doit être fait en vertu d'un instrument valide. Ces deux affirmations peuvent être vraies en même temps et néanmoins entrer en conflit dans la pratique.

Que faire lorsqu'une demande arrive

Acheminez le document immédiatement vers le réviseur responsable et conservez-le exactement tel que reçu, y compris les en-têtes et les pièces jointes. Notez les délais, les conditions de confidentialité et les catégories nommées, car ces trois faits déterminent tout ce qui suit.

Ne composez pas un changement de collecte ou de suppression à partir d'un résumé en ligne. Ne notifiez pas l'utilisateur concerné avant d'avoir vérifié si la non-divulgation s'applique, et ne supposez pas qu'elle s'applique sans lire l'instrument.

Si vous choisissez un fournisseur plutôt que d'en exploiter un, lisez la politique de données à côté de son rapport de transparence et remarquez les lacunes. L'absence de demandes publiées n'est pas la preuve que les exigences sont techniquement impossibles, et une politique publiée n'est pas la preuve qu'aucune autre catégorie n'existe.