Zapisi, čuvanje ili buduće bilježenje: koji zahtjev?
Zahtjev za već postojećim zapisima, nalog za čuvanje i nalog za buduće prikupljanje tri su različite radnje. Prvo pročitajte koju dokument dopušta.
Naslov tvrdi da je pružatelju VPN-a naloženo predati zapise, a komentari zaključuju da svaki VPN sada mora bilježiti. Dokument iza naslova možda je tražio zapise koji su već postojali, možda je zamolio pružatelja da zadrži ono što ima dok se ne pribavi daljnji postupak, ili je odobrio prikupljanje određenih atributa ubuduće. To su tri različite radnje s tri različite granice. Pročitajte koju dokument provodi prije nego donesete zaključak.
Tri radnje koje nazivaju sudskim pozivom
Riječ u naslovu obično je kategorijska pogreška, a ne laž. Zahtjev za postojećim zapisima, nalog za čuvanje i odobrenje prospektivnog prikupljanja dolaze kao pravni papiri i nisu zamjenjivi. Svaki imenuje drugu radnju, drugi vremenski raspon i drugi skup primatelja. Čitanje koji se primjenjuje traje minutu i sprječava većinu loših zaključaka.
| Operation | What it asks for | What it does not do |
|---|---|---|
| Records request | Information already held by the provider | Create data that was never collected |
| Preservation | Keep existing records while process continues | Disclose them to the requester |
| Prospective collection | Capture specified attributes going forward | Read the contents of communications |
Ta je tablica pomagalo za čitanje, a ne pravna taksonomija, i važan je konkretni instrument. Klasifikacija usluge, njezina nadležnost i podaci navedeni u dokumentu mijenjaju analizu, zato je korisno pitanje uvijek "koja radnja, u kojem razdoblju, za koje kategorije".
Ono što već postoji drugo je pitanje
Za primjer iz Sjedinjenih Država, 18 USC 2703 pruža različite putove za komunikacije i za zapise klijenata, a pododjeljak (c)(2) određuje neke podatke o pretplatnicima dostupne propisanim postupkom. Ne kaže da je svaka vrsta podatka dostupna istim instrumentom.
Ta je razlika ona na koju politika privatnosti ne može odgovoriti umjesto vas. Izjava o čuvanju povijesti pregledavanja možda ne govori ništa o zapisu računa, zapisu plaćanja ili zahtjevu za podršku, jer su to različite kategorije s različitim čuvanjem.
Zato čitajte politiku kao popis kategorija, a ne kao jedno obećanje. Pitajte koji zapisi postoje, koliko dugo i pod čijom kontrolom, i tretirajte "ne vodimo nikakve zapise" kao tvrdnju o jednoj kategoriji dok pružatelj ne kaže drukčije. Zatim pitajte koju kategoriju zahtjev zapravo imenuje. Nesklad između tih dvaju odgovora mjesto je na kojem većina javnih rasprava o VPN bilježenju pogreši.
Čuvanje nije otkrivanje
Čuvanje traži od pružatelja da zadrži dokaze koje već posjeduje dok se ne pribavi daljnji postupak. Ne predaje te dokaze nikome i ne stvara novi tok zapisa. Tu je razliku lako izgubiti u sažetku koji kaže da je pružatelj "naložen da čuva podatke".
Za osobu koja čita vijest, to znači da nalog za čuvanje nije dokaz da je pružatelj promijenio svoju praksu prikupljanja. Za operatera koji ga primi, to znači da se obveza odnosi na to da se nešto ne uništi, što je mnogo uža radnja od gradnje cjevovoda.
Oba čitanja vode istom praktičnom pravilu: zamrznite relevantno stanje i prestanite ga mijenjati dok kvalificirana osoba ne pregleda zahtjev. Brzo brisanje i brzo prikupljanje dva su načina da se stanje pogorša. Pisana bilješka o tome što je postojalo kad je zahtjev stigao vrijedi više od svake kasnije rekonstrukcije.
Buduće prikupljanje ima vlastito ovlaštenje
Prospektivno prikupljanje opet je zaseban mehanizam. U Sjedinjenim Državama nalozi za pen register i trap and trace prema 18 USC 3123 uređuju ovlaštenje, određene atribute komunikacija, pomoć, vremenska razdoblja i neotkrivanje, dok definicije u članku 3127 isključuju sadržaj komunikacija iz tih kategorija.
To je isključenje dio koji ljudi propuste kad zaključe da nalog dopušta čitanje poruka. Kategorija se odnosi na atribute, ne na sadržaj, i zakon je konkretan o tome što pokriva. Uklapa li se određeni zahtjev unutar te granice pitanje je za odvjetnika, a ne za blog.
Iz toga također slijedi da uobičajena politika bez zapisa nekog pružatelja nije pravni štit. Politika opisuje što se prikuplja prema zadanim postavkama; obveza opisuje što se mora učiniti prema valjanom instrumentu. Obje tvrdnje mogu biti istodobno istinite i ipak se u praksi sukobljavati.
Što učiniti kad zahtjev stigne
Odmah proslijedite dokument odgovornom pregledniku i sačuvajte ga točno onako kako je primljen, uključujući zaglavlja i privitke. Zabilježite rokove, uvjete povjerljivosti i navedene kategorije, jer ta tri čimbenika određuju sve što slijedi.
Ne sastavljajte promjenu prikupljanja ili brisanja iz mrežnog sažetka. Ne obavještavajte pogođenog korisnika prije nego provjerite primjenjuje li se neotkrivanje, i ne pretpostavljajte da se primjenjuje bez čitanja instrumenta.
Ako birate pružatelja umjesto da ga vodite, pročitajte politiku podataka uz njegovo izvješće o transparentnosti i primijetite praznine. Odsutnost objavljenih zahtjeva nije dokaz da su zahtjevi tehnički nemogući, a objavljena politika nije dokaz da ne postoji druga kategorija.