Unha solicitude estranxeira de datos chega a un provedor de VPN dos EUA

Chega unha carta de investigadores doutro país que pregunta por un cliente, e a cuestión sobre a mesa é a que obriga a calquera. A resposta honesta é que depende de tres cousas: quen a recibiu, que rexistros nomea e que autoridade invoca. A localización dun servidor VPN non responde a ningunha delas. Tampouco a disposición xeral do provedor a colaborar, que é unha postura comercial e non unha análise xurídica.

Trate a carta como o inicio dunha avaliación, non como unha conclusión cun selo.

A carta nomea un servizo, non un sistema

Comece identificando a entidade xurídica que recibiu a solicitude e o servizo ao que se refire. Unha marca, unha aplicación e a empresa que opera un servidor de saída concreto poden ser tres partes distintas, e só unha delas ten os rexistros que se piden. Despois sitúe a solicitude nun sistema, porque os rexistros da conta, os metadatos de conexión, os enderezos do túnel, os tickets de asistencia e os datos de pagamento viven en lugares distintos con retencións distintas.

Separe a coacción, o permiso e o deber

Unha solicitude voluntaria, un procedemento obtido mediante un mecanismo xurídico interno e unha orde cuberta por un acordo internacional son instrumentos distintos. Levan obrigas distintas e motivos de oposición distintos.

O Departamento de Xustiza dos EUA describe os acordos executivos cualificados como unha vía para que determinadas ordes estranxeiras se dirixan aos provedores baixo as condicións do acordo. Iso é un mecanismo específico, non unha regra segundo a cal calquera policía de calquera lugar poida esixir calquera rexistro de VPN. Para os servizos estadounidenses cubertos, 18 USC 2702 regula por separado a divulgación voluntaria, distinguindo o contido das comunicacións da demais información dos clientes e enumerando as excepcións aplicables.

A disposición a axudar, o permiso legal para axudar e o deber legal de axudar son tres preguntas separadas, e a entrada de blog dun provedor adoita responder só á primeira.

Defina que significa o IP do cliente

Unha solicitude do enderezo IP do cliente necesita unha definición antes que unha resposta. Pode significar o enderezo de orixe observado no momento da conexión, unha saída pública compartida que usan moitos clientes, o enderezo do túnel asignado a unha sesión ou un enderezo rexistrado durante unha interacción de facturación. Pregunte que evento e que intervalo de tempo cobre a solicitude, porque a resposta decide que sistema se consulta.

Un provedor pode ter rexistros da conta sen ter historial de navegación, e esas son respostas distintas á mesma frase da carta.

Primeiro preserve, despois decida

Se opera o servizo, conserve a solicitude orixinal e encamínea sen demora a quen teña a revisión xurídica. Verifique o remitente, a acción solicitada, o alcance, os prazos e calquera requisito de confidencialidade por unha canle na que xa confíe. Decida a base xurídica e a resposta antes de divulgar nada ou de cambiar unha configuración de retención. Un cambio de retención feito con présa convértese en proba sobre como trata os rexistros o servizo.

Que mirar cando vostede é o cliente

Lea a descrición do provedor sobre o tratamento de solicitudes legais xunto coa súa política de datos por categorías. Busque unha entidade responsable identificable e un proceso de revisión descrito.

Constituírse nun país con servidores de saída noutro non fai que todas as solicitudes estranxeiras sexan iguais, nin as fai todas inválidas. A pregunta útil é que rexistros existen, quen pode chegar a eles e que proceso hai entre unha solicitude e unha divulgación. Un provedor que pode responder iso con claridade é máis fácil de avaliar que un que responde cun eslogan, e a resposta vale máis que o país de saída da listaxe.