Una richiesta estera di dati arriva a un fornitore VPN statunitense

Arriva una lettera di investigatori di un altro paese che chiede di un cliente, e la domanda sul tavolo è a cosa obbliga chiunque. La risposta onesta è che dipende da tre cose: chi l'ha ricevuta, quali registri nomina e quale autorità invoca. La posizione di un singolo server VPN non risponde a nessuna di esse. Nemmeno la disponibilità generale del fornitore a collaborare, che è una postura commerciale e non un'analisi giuridica.

Trattate la lettera come l'inizio di una valutazione, non come una conclusione con un timbro.

La lettera nomina un servizio, non un sistema

Iniziate identificando l'entità giuridica che ha ricevuto la richiesta e il servizio a cui si riferisce. Un marchio, un'app e la società che gestisce un particolare server di uscita possono essere tre parti diverse, e solo una di esse detiene i registri richiesti. Poi mappate la richiesta su un sistema, perché i registri dell'account, i metadati di connessione, gli indirizzi del tunnel, i ticket di assistenza e i dettagli di pagamento vivono in luoghi diversi con conservazioni diverse.

Separate coercizione, permesso e dovere

Una richiesta volontaria, un procedimento ottenuto tramite un meccanismo giuridico interno e un ordine coperto da un accordo internazionale sono strumenti diversi. Portano obblighi diversi e motivi di opposizione diversi.

Il Dipartimento di Giustizia degli Stati Uniti descrive gli accordi esecutivi qualificati come una via perché taluni ordini esteri siano indirizzati ai fornitori alle condizioni dell'accordo. È un meccanismo specifico, non una regola secondo cui qualsiasi polizia ovunque possa esigere qualsiasi registro VPN. Per i servizi statunitensi coperti, 18 USC 2702 disciplina separatamente la divulgazione volontaria, distinguendo il contenuto delle comunicazioni dalle altre informazioni sui clienti ed elencando le eccezioni applicabili.

La disponibilità ad aiutare, il permesso legale di aiutare e l'obbligo legale di aiutare sono tre questioni distinte, e il post di un blog di un fornitore di solito risponde solo alla prima.

Definite che cosa significa l'IP del cliente

Una richiesta dell'indirizzo IP del cliente ha bisogno di una definizione prima che di una risposta. Può significare l'indirizzo di origine osservato al momento della connessione, un'uscita pubblica condivisa usata da molti clienti, l'indirizzo del tunnel assegnato a una sessione o un indirizzo registrato durante un'interazione di fatturazione. Chiedete quale evento e quale intervallo di tempo copre la richiesta, perché la risposta decide quale sistema viene interrogato.

Un fornitore può detenere registri dell'account senza detenere una cronologia di navigazione, e queste sono risposte diverse alla stessa frase della lettera.

Prima preservate, poi decidete

Se gestite il servizio, conservate la richiesta originale e indirizzatela rapidamente a chi ha la revisione legale. Verificate il mittente, l'azione richiesta, la portata, le scadenze e qualsiasi requisito di riservatezza attraverso un canale di cui vi fidate già. Decidete la base giuridica e la risposta prima di divulgare qualcosa o di modificare un'impostazione di conservazione. Una modifica della conservazione fatta in fretta diventa essa stessa prova di come il servizio tratta i registri.

A cosa guardare quando siete il cliente

Leggete la descrizione del fornitore sulla gestione delle richieste legali accanto alla sua politica dei dati specifica per categoria. Cercate un'entità responsabile identificabile e un processo di revisione descritto.

La costituzione in un paese con server di uscita in un altro non rende uguali tutte le richieste estere, né le rende tutte invalide. La domanda utile è quali registri esistono, chi può raggiungerli e quale processo sta tra una richiesta e una divulgazione. Un fornitore che sa rispondere chiaramente è più facile da valutare di uno che risponde con uno slogan, e la risposta vale più del paese di uscita nell'elenco.