האם החוק הבריטי מחייב את ה-VPN שלך לשמור יומני גלישה?

„ממוקם בבריטניה, אז הם חייבים לשמור הכול” הוא קיצור נפוץ, והוא מבין את המנגנון לא נכון. חלק 4 של חוק סמכויות החקירה פועל באמצעות הודעות שימור שנמסרות למפעילי תקשורת, וקוד הנוהג של משרד הפנים לאותו משטר מבהיר את העמדה בפשטות: מפעיל אינו חייב לשמור נתוני תקשורת אלא אם נמסרה לו הודעה. השאלה אם לספק שלך יש הודעה כזו היא עובדה על אותו ספק, לא על המדינה שבתחתית האתר שלו.

המשפט האחד הזה גם מאפס את השאלה. במקום לשאול מה החוק הבריטי דורש באופן כללי, שאלו איזה מפעיל, איזה סוג נתונים ואיזה כלי. שלוש התשובות האלה קובעות כמעט כל דבר אחר. כל מה שלפניהן הוא סיסמה.

הודעה נמסרת, לא מניחה

לפי המסגרת שהקוד מתאר, מזכיר המדינה מוסר הודעת שימור, והקוד קובע כיצד נבחנים הכרח ומידתיות יחד עם אישור של נציב שיפוטי. ההודעה יכולה לפרט את הנתונים, את השירותים ואת הסדרי השימור שהיא מכסה. זהו כלי עם היקף, לא חובה רקעית שנדבקת לקטגוריית עסקים.

לכן הצהרה פומבית של ספק שלא קיבל הודעה היא טענה משמעותית, ושתיקתו של ספק אינה ראיה לשום כיוון. הקוד גם מגביל את חשיפת קיומה או תוכנה של הודעה, כלומר מפעיל בעל מידע טוב עשוי שלא להיות מסוגל לתת לך את התשובה הנקייה שאתה רוצה. ההגבלה הזו אינה פרצה; היא חלק מהתכנון של המשטר. שקלו את התשובה בהתאם.

קראו את ההצהרה כפי שהיא. דוח שקיפות מפורסם שמתאר בקשות שהתקבלו הוא מסמך שונה מהודעת שימור, ואף אחד מהם אינו מלאי מלא של הנתונים שחברה מחזיקה למטרות עצמה.

מה נחשב מפעיל תקשורת

הקוד מתייחס למושג באופן רחב ותלוי בעובדות, והוא אינו מוציא כל שירות שכבה עילית שמקרה המקרים פועל על הרשת של אחר. גביית מנוי אינה מכריעה את הסיווג, וגם לא אחסון הכול במדינה אחרת. זו שאלה על הקשרים של השירות לבריטניה, ומי שמוסמך לכך צריך להעריך אותה.

מה שאתם יכולים לעשות בלי הכשרה משפטית הוא להפסיק להתייחס למשפט שיווקי כמפרט. „בלי יומנים” מתאר מדיניות. הוא אינו מתאר מעמד חוקי, ושניהם יכולים להיות נכונים בו-זמנית אצל ספק שאינו שומר דבר מרצון ולא קיבל דבר בכפייה.

מטא-נתונים אינם תוכן ההודעה

משטר ההודעות נוגע לנתוני תקשורת, כלומר מי, מתי ואיך, ולא מה נאמר. התוכן נמצא תחת סמכויות אחרות לגמרי, באישור אחר. ערבוב שניהם ל„יומנים מלאים” יוצר ויכוחים שאינם ניתנים להכרעה, מפני שלשתי הקטגוריות מסלולים משפטיים נפרדים ולעיתים קרובות תקופות שימור נפרדות.

ההבחנה הזו היא גם המעשית ב-VPN. ספק עשוי להחזיק כמעט כלום על מה ששלחת ובו-זמנית להחזיק רשומות חשבון, פרטי תשלום, חותמות זמן של חיבור או הודעות תמיכה. אלה רשומות עסקיות רגילות, שנשלטות על ידי המדיניות של הספק עצמו ועל ידי דיני הגנת הנתונים, ולא על ידי הודעת שימור.

לכן טענה על הודעה אינה יכולה לענות על שאלה על נתוני חשבון. שני כלים שונים, שתי קבוצות גבולות שונות.

נהלו שני רשומות, מפני שיש שתי שאלות

לצרכים יומיומיים, רשמו את הקטגוריות שהספק שלכם אומר שהוא מעבד, את המטרה, מי יכול לגשת אליהן וכמה זמן הן נשמרות. כללו את הלא-זוהרות: רשומות חיוב, פניות תמיכה, אותות הונאה, דוחות קריסה. הצהרה על תעבורת המנהרה לא צריכה לבוא במקום כל השאר.

מול דרישה רשמית, שמרו את המסמך והעבירו אותו למי שמטפל בהליכים משפטיים, עם התאריך שבו הגיע. שאלו איזה ישות ואיזה שירות נזכרים, איזו פעולה נדרשת, מהם המועדים ואיזה עיון או ערעור קיים. בדקו את תנאי הסודיות לפני שתענו לשאלות של כל אחד בנוגע לכך, כולל של עיתונאי.

שתי הרשומות האלה עונות לקהלים שונים. האחת אומרת למשתמש למה לצפות; האחרת אומרת לעורך דין מה לעשות השבוע.

איך להשוות שני ספקים בלי לרמות את עצמכם

בקשו מדיניות ציבורית מדויקת עם היקף, תאריך ותיאור של הקטגוריות שהיא מכסה. אחר כך בדקו אם המדיניות מבחינה בין תוכן למטא-נתונים, בין שימור מרצון לשימור כפוי, ובין חברת ההפעלה לחברת האם שלה. הבטחות מעורפלות שורדות בחינה דווקא מפני שהן אף פעם לא נוקבות בשם קטגוריה.

התייחסו למידע חסר כאל חסר ולא כאל חיובי. הגבלות החשיפה של המשטר אומרות ש„לא קיבלנו דבר” ו„איננו יכולים לומר” יכולות להיראות זהות מבחוץ, והשוואה שמעניקה ניקוד לשתיקה כאל ניצחון מודדת את האופטימיות שלכם.

קוד הנוהג של משרד הפנים למשטר ההודעות הוא המסמך שכדאי לקרוא לפני שחוזרים על טענה כלשהי בדבר מה שחלק 4 דורש. הוא ארוך יותר מפוסט בבלוג וזהיר הרבה יותר.