रिकॉर्ड, संरक्षण या भविष्य की लॉगिंग: कौन-सा अनुरोध?
पहले से मौजूद रिकॉर्ड का अनुरोध, संरक्षण का आदेश और भविष्य में संग्रह का आदेश तीन अलग कार्रवाइयाँ हैं। पहले पढ़ें कि दस्तावेज़ किसे अधिकृत करता है।
एक शीर्षक कहता है कि एक VPN प्रदाता को रिकॉर्ड सौंपने का आदेश दिया गया, और टिप्पणी-शृंखला निष्कर्ष निकालती है कि अब हर VPN को लॉग रखना ही होगा। शीर्षक के पीछे का दस्तावेज़ शायद पहले से मौजूद रिकॉर्ड माँग रहा था, या प्रदाता से कह रहा था कि जो उसके पास है उसे अगली प्रक्रिया मिलने तक रखे, या भविष्य में कुछ निर्दिष्ट विशेषताओं के संग्रह को अधिकृत कर रहा था। ये तीन अलग कार्रवाइयाँ हैं, तीन अलग सीमाओं के साथ। निष्कर्ष पर पहुँचने से पहले पढ़ें कि दस्तावेज़ कौन-सी करता है।
तीन कार्रवाइयाँ जिन्हें समन कहा जाता है
शीर्षक का शब्द आम तौर पर झूठ नहीं, श्रेणी-भूल होता है। मौजूदा रिकॉर्ड का अनुरोध, संरक्षण का आदेश और भविष्य के संग्रह की अनुमति सभी कानूनी कागज़ के रूप में आते हैं, और वे विनिमेय नहीं हैं। हर एक अलग कार्रवाई, अलग समय-सीमा और अलग प्राप्तकर्ताओं का समूह बताता है। कौन-सा लागू होता है, यह पढ़ने में एक मिनट लगता है और ज़्यादातर गलत निष्कर्ष रोक देता है।
| Operation | What it asks for | What it does not do |
|---|---|---|
| Records request | Information already held by the provider | Create data that was never collected |
| Preservation | Keep existing records while process continues | Disclose them to the requester |
| Prospective collection | Capture specified attributes going forward | Read the contents of communications |
यह तालिका पढ़ने में सहायक है, कानूनी वर्गीकरण नहीं, और विशिष्ट उपकरण ही मायने रखता है। किसी सेवा का वर्गीकरण, उसका क्षेत्राधिकार और दस्तावेज़ में नामित जानकारी सब विश्लेषण बदल देते हैं, इसलिए उपयोगी प्रश्न हमेशा यह है: "कौन-सी कार्रवाई, किस अवधि में, किन श्रेणियों के लिए"।
जो पहले से है वह अलग प्रश्न है
संयुक्त राज्य के उदाहरण के लिए, 18 USC 2703 संचार और ग्राहक रिकॉर्ड के लिए अलग मार्ग देता है, और उपधारा (c)(2) कुछ ग्राहक जानकारी निर्दिष्ट करती है जो निर्दिष्ट प्रक्रिया से प्राप्त हो सकती है। यह नहीं कहता कि हर प्रकार की जानकारी उसी उपकरण से उपलब्ध है।
यही वह भेद है जिसका उत्तर कोई गोपनीयता नीति आपकी ओर से नहीं दे सकती। ब्राउज़िंग इतिहास रखने के बारे में एक वक्तव्य खाता रिकॉर्ड, भुगतान रिकॉर्ड या सहायता टिकट के बारे में कुछ नहीं कह सकता, क्योंकि ये अलग-अलग अवधि वाली अलग श्रेणियाँ हैं।
इसलिए नीति को एक वादे के बजाय श्रेणियों की सूची की तरह पढ़ें। पूछें कि कौन-से रिकॉर्ड हैं, कितने समय तक और किसके नियंत्रण में, और प्रदाता के विपरीत कहने तक "हम कोई लॉग नहीं रखते" को एक श्रेणी के बारे में दावा मानें। फिर पूछें कि अनुरोध वास्तव में किस श्रेणी का नाम लेता है। इन दो उत्तरों में असंगति ही वह जगह है जहाँ VPN लॉगिंग पर ज़्यादातर सार्वजनिक बहस गलत होती है।
संरक्षण प्रकटीकरण नहीं है
संरक्षण प्रदाता से कहता है कि जो साक्ष्य पहले से उसके पास है उसे अगली प्रक्रिया मिलने तक रखे। यह वह साक्ष्य किसी को नहीं सौंपता, और रिकॉर्ड की नई धारा नहीं बनाता। "प्रदाता को डेटा रखने का आदेश दिया गया" कहने वाले सारांश में यह भेद खोना आसान है।
समाचार पढ़ने वाले के लिए इसका अर्थ है कि संरक्षण आदेश इस बात का सबूत नहीं है कि प्रदाता ने अपनी संग्रह पद्धतियाँ बदल दीं। आदेश पाने वाले संचालक के लिए इसका अर्थ है कि दायित्व कुछ नष्ट न करने के बारे में है, जो पाइपलाइन बनाने से कहीं अधिक संकीर्ण कार्रवाई है।
दोनों पाठ एक ही व्यावहारिक नियम पर पहुँचते हैं: संबंधित स्थिति को स्थिर करें और योग्य व्यक्ति द्वारा अनुरोध की समीक्षा होने तक उसे बदलना बंद करें। जल्दबाज़ी में मिटाना और जल्दबाज़ी में संग्रह करना दोनों स्थिति को बिगाड़ने के तरीके हैं। माँग आने के समय क्या मौजूद था, इसका लिखित नोट बाद के किसी भी पुनर्निर्माण से अधिक मूल्यवान है।
भविष्य के संग्रह का अपना अधिकार है
भविष्य का संग्रह फिर एक अलग तंत्र है। संयुक्त राज्य में, 18 USC 3123 के अंतर्गत pen register और trap and trace आदेश अधिकृति, निर्दिष्ट संचार विशेषताओं, सहायता, समय-अवधि और गैर-प्रकटीकरण से संबंधित हैं, जबकि धारा 3127 की परिभाषाएँ संचार की सामग्री को उन श्रेणियों से बाहर रखती हैं।
यही अपवाद वह हिस्सा है जो लोग तब छोड़ देते हैं जब वे निष्कर्ष निकालते हैं कि आदेश संदेश पढ़ने को अधिकृत करता है। श्रेणी विशेषताओं के बारे में है, सामग्री के बारे में नहीं, और कानून इस बारे में विशिष्ट है कि वह क्या कवर करता है। कोई विशेष अनुरोध उस सीमा के भीतर बैठता है या नहीं, यह ब्लॉग पोस्ट नहीं, वकील का प्रश्न है।
इससे यह भी निकलता है कि प्रदाता की सामान्य नो-लॉग नीति कानूनी ढाल नहीं है। नीति बताती है कि डिफ़ॉल्ट रूप से क्या एकत्र होता है; दायित्व बताता है कि वैध उपकरण के अंतर्गत क्या किया जाना चाहिए। ये दोनों कथन एक साथ सत्य हो सकते हैं और फिर भी व्यवहार में टकरा सकते हैं।
अनुरोध आने पर क्या करें
दस्तावेज़ को तुरंत ज़िम्मेदार समीक्षक तक पहुँचाएँ और उसे ठीक वैसे ही सुरक्षित रखें जैसे मिला था, हेडर और अनुलग्नकों सहित। समय-सीमाएँ, गोपनीयता की शर्तें और नामित श्रेणियाँ नोट करें, क्योंकि ये तीन तथ्य आगे के सब कुछ तय करते हैं।
किसी ऑनलाइन सारांश से संग्रह या विलोपन का बदलाव न गढ़ें। गैर-प्रकटीकरण लागू होता है या नहीं, यह जाँचने से पहले प्रभावित उपयोगकर्ता को सूचित न करें, और उपकरण पढ़े बिना यह न मानें कि वह लागू होता है।
यदि आप किसी प्रदाता का संचालन नहीं, चयन कर रहे हैं, तो डेटा नीति को उसकी पारदर्शिता रिपोर्ट के साथ पढ़ें और अंतरालों पर ध्यान दें। प्रकाशित अनुरोधों का अभाव इस बात का सबूत नहीं है कि माँगें तकनीकी रूप से असंभव हैं, और प्रकाशित नीति इस बात का सबूत नहीं है कि कोई दूसरी श्रेणी मौजूद नहीं है।