A lei británica obriga a túa VPN a gardar rexistros de navegación?

«Con sede no Reino Unido, así que deben gardalo todo» é unha simplificación habitual, e entende mal o mecanismo. A parte 4 da Investigatory Powers Act funciona mediante avisos de retención notificados a operadores de telecomunicacións, e o código de prácticas do Home Office para ese réxime expón a posición con claridade: un operador non está obrigado a conservar datos de comunicacións salvo que se lle notificase un aviso. Se o teu provedor ten un é un feito sobre ese provedor, non sobre o país do seu pé de páxina.

Esa única frase tamén reformula a pregunta. En lugar de preguntar que esixe a lei británica en xeral, pregunta que operador, que categoría de datos e que instrumento. Eses tres respostas deciden case todo o demais. Todo o anterior é un eslogan.

Un aviso notifícase, non se supón

Segundo o marco que describe o código, o secretario de Estado notifica un aviso de retención, e o código establece como se consideran a necesidade e a proporcionalidade xunto coa aprobación dun comisario xudicial. O aviso pode especificar os datos, os servizos e as modalidades de retención que cobre. É un instrumento cun alcance, non unha obriga de fondo pegada a unha categoría empresarial.

Por iso a declaración pública dun provedor de que non recibiu ningún aviso é unha afirmación significativa, e o silencio dun provedor non é proba en ningunha dirección. O código tamén restrinxe revelar a existencia ou o contido dun aviso, o que significa que un operador ben informado pode non ser quen de darche a resposta limpa que queres. Esa restrición non é unha fenda; forma parte do deseño do réxime. Pondera a resposta en consecuencia.

Le a declaración polo que é. Un informe de transparencia publicado que describe solicitudes recibidas é un documento distinto dun aviso de retención, e ningún dos dous é un inventario completo dos datos que unha empresa garda para os seus propios fins.

Que conta como operador de telecomunicacións

O código trata o concepto de forma ampla e dependente dos feitos, e non exclúe todos os servizos superpostos que casualmente corren sobre a rede doutro. Cobrar unha subscrición non resolve a clasificación, nin aloxalo todo noutro país. É unha cuestión sobre as conexións do servizo co Reino Unido, e debe avaliarla alguén cualificado para facelo.

O que podes facer sen formación xurídica é deixar de tratar unha frase de márketing como unha especificación. «Sen rexistros» describe unha política. Non describe unha posición legal, e ambas as dúas poden ser certas á vez para un provedor que non conserva nada voluntariamente e non recibiu nada de forma obrigatoria.

Os metadatos non son o contido da mensaxe

O réxime de avisos refírese aos datos de comunicacións, é dicir, quen, cando e como, non ao que se dixo. O contido está baixo poderes completamente distintos, con outra autorización. Xuntar ambos en «rexistros completos» produce debates irresolubles, porque as dúas categorías teñen vías legais separadas e a miúdo períodos de retención separados.

Esta distinción é tamén a práctica para unha VPN. Un provedor pode non gardar case nada sobre o que enviaches e, con todo, gardar rexistros de conta, datos de pagamento, marcas de tempo de conexión ou mensaxes de asistencia. Son rexistros comerciais ordinarios, rexidos pola política do propio provedor e pola lei de protección de datos, non por un aviso de retención.

Por iso unha afirmación sobre un aviso non pode responder a unha pregunta sobre os datos da conta. Dous instrumentos distintos, dous conxuntos de límites distintos.

Leva dous rexistros, porque existen dúas preguntas

Para o uso diario, anota as categorías que o teu provedor di que trata, a finalidade, quen pode acceder a elas e canto duran. Inclúe as pouco vistosas: rexistros de facturación, tíckets de asistencia, sinais de fraude, informes de fallos. Unha declaración sobre o tráfico do túnel non debería substituír o resto.

Ante unha esixencia formal, conserva o documento e énvíao a quen xestione os procesos legais, coa data en que chegou. Pregunta que entidade e que servizo se nomean, que acción se require, cales son os prazos e que revisión ou apelación existe. Comproba as condicións de confidencialidade antes de responder as preguntas de calquera sobre iso, incluídas as dun xornalista.

Eses dous rexistros responden a públicos distintos. Un di ao usuario que esperar; o outro di ao avogado que facer esta semana.

Como comparar dous provedores sen enganarte

Pide unha política pública precisa cun alcance, unha data e unha descrición das categorías que cobre. Despois comproba se a política distingue o contido dos metadatos, a retención voluntaria da forzada e a empresa operadora da súa matriz. As garantías vagas superan o escrutinio precisamente porque nunca nomean unha categoría.

Trata a información que falta como ausente e non como favorable. As restricións de divulgación do réxime fan que «non recibimos nada» e «non podemos dicilo» poidan parecer idénticos desde fóra, e unha comparación que puntúa o silencio como unha vitoria mide o teu propio optimismo.

O código de prácticas do Home Office para o réxime de avisos é o documento que hai que ler antes de repetir calquera afirmación sobre o que esixe a parte 4. É máis longo ca unha entrada de blog e bastante máis coidadoso.