Registri, conservazione o registrazione futura: quale richiesta?
Una richiesta di registri già detenuti, un'ingiunzione di conservazione e un ordine di raccolta futura sono tre operazioni. Legga prima quale autorizza il documento.
Un titolo afferma che a un fornitore VPN è stato ordinato di consegnare registri, e il filo dei commenti conclude che ora ogni VPN deve registrare. Il documento dietro il titolo può aver chiesto registri già esistenti, aver chiesto al fornitore di conservare ciò che ha mentre si ottiene un ulteriore procedimento, oppure aver autorizzato la raccolta di attributi specifici in futuro. Sono tre operazioni diverse con tre limiti diversi. Legga quale esegue il documento prima di trarre una conclusione.
Tre operazioni chiamate citazione
La parola nel titolo è di solito un errore di categoria più che una bugia. Una richiesta di registri esistenti, un'ingiunzione di conservazione e un'autorizzazione alla raccolta prospettica arrivano tutte come carte legali, e non sono intercambiabili. Ognuna nomina un'azione diversa, un intervallo di tempo diverso e un insieme diverso di destinatari. Leggere quale si applica richiede un minuto e previene la maggior parte delle conclusioni sbagliate.
| Operation | What it asks for | What it does not do |
|---|---|---|
| Records request | Information already held by the provider | Create data that was never collected |
| Preservation | Keep existing records while process continues | Disclose them to the requester |
| Prospective collection | Capture specified attributes going forward | Read the contents of communications |
Quella tabella è un aiuto alla lettura, non una tassonomia legale, e conta lo strumento specifico. La classificazione di un servizio, la sua giurisdizione e le informazioni nominate nel documento cambiano tutte l'analisi, per questo la domanda utile è sempre "quale operazione, su quale periodo, per quali categorie".
Ciò che esiste già è un'altra questione
Per un esempio statunitense, 18 USC 2703 offre percorsi diversi per le comunicazioni e per i registri dei clienti, e la sottosezione (c)(2) individua alcune informazioni sull'abbonato ottenibili con un procedimento specificato. Non dice che ogni tipo di informazione sia disponibile con lo stesso strumento.
Questa distinzione è quella a cui una politica sulla privacy non può rispondere per lei. Una dichiarazione sulla conservazione della cronologia di navigazione può non dire nulla su un registro dell'account, un registro di pagamento o un ticket di assistenza, perché sono categorie diverse con conservazioni diverse.
Quindi legga la politica come un elenco di categorie e non come una singola promessa. Chieda quali registri esistono, per quanto tempo e sotto il controllo di chi, e tratti "non conserviamo registri" come un'affermazione su una categoria finché il fornitore non dice il contrario. Poi chieda quale categoria la richiesta nomina davvero. La discrepanza tra queste due risposte è dove la maggior parte dei dibattiti pubblici sulla registrazione VPN sbaglia.
La conservazione non è divulgazione
La conservazione chiede a un fornitore di custodire prove che già possiede mentre si ottiene un ulteriore procedimento. Non consegna quelle prove a nessuno e non crea un nuovo flusso di registri. La distinzione si perde facilmente in un riassunto che dice che al fornitore è stato "ordinato di conservare dati".
Per chi legge la notizia, ciò significa che un'ingiunzione di conservazione non è prova che un fornitore abbia cambiato le sue pratiche di raccolta. Per l'operatore che ne riceve una, significa che l'obbligo riguarda il non distruggere qualcosa, un'azione molto più ristretta che costruire una conduttura.
Entrambe le letture portano alla stessa regola pratica: congelare lo stato rilevante e smettere di modificarlo finché una persona qualificata non ha esaminato la richiesta. Cancellare in fretta e raccogliere in fretta sono due modi per peggiorare la situazione. Una nota scritta di ciò che esisteva quando è arrivata la richiesta vale più di qualsiasi ricostruzione successiva.
La raccolta futura ha una propria autorità
La raccolta prospettica è ancora un meccanismo separato. Negli Stati Uniti, gli ordini di pen register e trap and trace ai sensi del 18 USC 3123 riguardano l'autorizzazione, attributi di comunicazione specificati, assistenza, periodi di tempo e non divulgazione, mentre le definizioni della sezione 3127 escludono il contenuto delle comunicazioni da quelle categorie.
Quell'esclusione è la parte che le persone trascurano quando concludono che un ordine autorizzi la lettura dei messaggi. La categoria riguarda gli attributi, non il contenuto, e la legge è specifica su ciò che copre. Se una richiesta particolare rientri in quel limite è una questione per un avvocato e non per un post di blog.
Ne segue anche che la consueta politica di non registrazione di un fornitore non è uno scudo legale. Una politica descrive ciò che viene raccolto per impostazione predefinita; un obbligo descrive ciò che deve essere fatto in base a uno strumento valido. Entrambe le affermazioni possono essere vere insieme e tuttavia entrare in conflitto nella pratica.
Cosa fare quando arriva una richiesta
Inoltri immediatamente il documento al revisore responsabile e lo conservi esattamente come ricevuto, compresi intestazioni e allegati. Annoti le scadenze, i termini di riservatezza e le categorie nominate, perché questi tre fatti determinano tutto ciò che segue.
Non componga un cambiamento di raccolta o cancellazione da un riassunto online. Non informi l'utente interessato prima di aver verificato se si applica la non divulgazione, e non presuma che si applichi senza leggere lo strumento.
Se sta scegliendo un fornitore invece di gestirne uno, legga la politica sui dati accanto al suo rapporto di trasparenza e noti le lacune. L'assenza di richieste pubblicate non è prova che le pretese siano tecnicamente impossibili, e una politica pubblicata non è prova che non esista un'altra categoria.