La legge britannica obbliga la tua VPN a conservare i registri di navigazione?

«Ha sede nel Regno Unito, quindi devono conservare tutto» è una scorciatoia comune, e sbaglia il meccanismo. La parte 4 dell'Investigatory Powers Act funziona tramite avvisi di conservazione notificati agli operatori di telecomunicazioni, e il codice di condotta del Home Office per quel regime enuncia la posizione con chiarezza: un operatore non è tenuto a conservare dati delle comunicazioni se non gli è stato notificato un avviso. Se il tuo fornitore ne abbia uno è un fatto su quel fornitore, non sul paese nel suo piè di pagina.

Quella singola frase reimposta anche la domanda. Invece di chiedere che cosa richieda la legge britannica in generale, chiedi quale operatore, quale categoria di dati e quale strumento. Quelle tre risposte decidono quasi tutto il resto. Tutto ciò che le precede è uno slogan.

Un avviso si notifica, non si presume

Secondo il quadro che il codice descrive, il segretario di Stato notifica un avviso di conservazione, e il codice stabilisce come necessità e proporzionalità siano valutate insieme all'approvazione di un commissario giudiziario. L'avviso può specificare i dati, i servizi e le modalità di conservazione che copre. È uno strumento con una portata, non un obbligo di fondo appiccicato a una categoria d'impresa.

Perciò la dichiarazione pubblica di un fornitore di non aver ricevuto alcun avviso è un'affermazione significativa, e il silenzio di un fornitore non è prova in nessuna direzione. Il codice limita anche la divulgazione dell'esistenza o del contenuto di un avviso, il che significa che un operatore ben informato potrebbe non riuscire a darti la risposta netta che vuoi. Quel limite non è una scappatoia; fa parte del disegno del regime. Pesane la risposta di conseguenza.

Leggi la dichiarazione per quello che è. Un rapporto di trasparenza pubblicato che descrive le richieste ricevute è un documento diverso da un avviso di conservazione, e nessuno dei due è un inventario completo dei dati che un'azienda detiene per i propri fini.

Che cosa conta come operatore di telecomunicazioni

Il codice tratta il concetto in modo ampio e dipendente dai fatti, e non esclude ogni servizio sovrapposto che capita di girare sulla rete di qualcun altro. Far pagare un abbonamento non risolve la classificazione, né lo fa ospitare tutto in un altro paese. È una questione sui collegamenti del servizio con il Regno Unito, e deve valutarla chi è qualificato per farlo.

Ciò che puoi fare senza formazione giuridica è smettere di trattare una frase di marketing come una specifica. «Nessun registro» descrive una politica. Non descrive una posizione legale, e le due cose possono essere vere insieme per un fornitore che non conserva nulla volontariamente e non ha ricevuto nulla d'obbligo.

I metadati non sono il contenuto del messaggio

Il regime degli avvisi riguarda i dati delle comunicazioni, cioè chi, quando e come, non che cosa è stato detto. Il contenuto ricade sotto poteri del tutto diversi, con un'autorizzazione diversa. Mettere entrambi in «registri completi» produce discussioni irresolubili, perché le due categorie hanno percorsi legali separati e spesso periodi di conservazione separati.

Questa distinzione è anche quella pratica per una VPN. Un fornitore può non conservare quasi nulla su ciò che hai inviato e conservare comunque registri dell'account, dati di pagamento, marche temporali di connessione o messaggi di assistenza. Sono registri commerciali ordinari, regolati dalla politica del fornitore stesso e dalla legge sulla protezione dei dati, non da un avviso di conservazione.

Per questo un'affermazione su un avviso non può rispondere a una domanda sui dati dell'account. Due strumenti diversi, due insiemi di limiti diversi.

Tieni due registri, perché esistono due domande

Per l'uso quotidiano, annota le categorie che il tuo fornitore dice di trattare, la finalità, chi può accedervi e quanto durano. Includi quelle poco glamour: registri di fatturazione, ticket di assistenza, segnali di frode, rapporti di crash. Una dichiarazione sul traffico del tunnel non dovrebbe sostituire il resto.

Davanti a una richiesta formale, conserva il documento e inoltralo a chi gestisce i procedimenti legali, con la data in cui è arrivato. Chiedi quale entità e quale servizio siano nominati, quale azione sia richiesta, quali siano le scadenze e quale riesame o appello esista. Controlla i termini di riservatezza prima di rispondere alle domande di chiunque al riguardo, comprese quelle di un giornalista.

Quei due registri rispondono a pubblici diversi. Uno dice all'utente cosa aspettarsi; l'altro dice all'avvocato cosa fare questa settimana.

Come confrontare due fornitori senza ingannare te stesso

Chiedi una politica pubblica precisa con una portata, una data e una descrizione delle categorie che copre. Poi verifica se la politica distingue il contenuto dai metadati, la conservazione volontaria da quella imposta e la società operativa dalla sua capogruppo. Le garanzie vaghe superano l'esame proprio perché non nominano mai una categoria.

Tratta le informazioni mancanti come mancanti e non come favorevoli. Le restrizioni alla divulgazione del regime fanno sì che «non abbiamo ricevuto nulla» e «non possiamo dirlo» possano sembrare identici dall'esterno, e un confronto che segna il silenzio come vittoria misura il tuo ottimismo.

Il codice di condotta del Home Office per il regime degli avvisi è il documento da leggere prima di ripetere qualsiasi affermazione su ciò che richiede la parte 4. È più lungo di un post di blog e molto più accurato.