英国法はVPNに閲覧ログの保存を義務づけるのか

「英国拠点だからすべて保存しているはず」というのはよくある短縮理解だが、仕組みを取り違えている。Investigatory Powers Act の第4部は、電気通信事業者に送達される保存通知によって機能する。この制度についての内務省の行動規範は、立場を明快に述べている。通知が送達されていない限り、事業者に通信データの保存義務はない。あなたのプロバイダーに通知があるかどうかは、そのプロバイダーについての事実であり、フッターに書かれた国についての事実ではない。

その一文は問いの立て方も変える。英国法が一般に何を要求するかを尋ねる代わりに、どの事業者か、どのデータ区分か、どの手段かを尋ねる。この三つの答えがほぼすべてを決める。その前にあるのはスローガンだ。

通知は送達されるもので、推定されるものではない

規範が描く枠組みでは、国務大臣が保存通知を送達し、規範は司法委員の承認とともに必要性と比例性がどう検討されるかを示している。通知は、対象となるデータ、サービス、保存の取り決めを特定できる。これは範囲を持つ手段であり、業種に付随する背景的な義務ではない。

したがって、通知を受けていないというプロバイダーの公開声明は意味のある主張であり、プロバイダーの沈黙はどちらの方向の証拠にもならない。規範は通知の存在や内容の開示も制限しているため、よく情報を得た事業者でも、あなたが望む明快な答えを返せないことがある。その制限は抜け穴ではなく、制度の設計の一部だ。答えはその前提で重みづけしてほしい。

声明は声明として読むべきだ。受け取った要請を記述した公開の透明性レポートは保存通知とは別の文書であり、どちらも企業が自らの目的で保持するデータの完全な一覧ではない。

何が電気通信事業者とみなされるか

規範はこの概念を広く、事実に依存するものとして扱い、他人のネットワーク上でたまたま動くオーバーレイサービスをすべて除外してはいない。サブスクリプションを課金することが区分を決めるわけでも、すべてを他国でホストすることが決めるわけでもない。これはサービスと英国とのつながりについての問いであり、評価する資格のある者が評価すべきものだ。

法律の訓練なしにできるのは、マーケティング表現を仕様書として扱うのをやめることだ。「ログなし」は方針を述べている。法的な立場を述べているわけではなく、自発的に何も保存せず、強制的に何も受け取っていないプロバイダーでは、両方が同時に真になりうる。

メタデータはメッセージの内容ではない

通知制度が扱うのは通信データ、つまり誰が・いつ・どのようにであって、何が話されたかではない。内容はまったく別の権限の下にあり、別の承認を要する。両者を「完全なログ」にまとめると解決不能な議論になる。二つの区分は法的経路が別であり、保存期間も別であることが多いからだ。

この区別はVPNにとっても実務的だ。プロバイダーはあなたが送った内容についてほとんど何も保持していなくても、アカウント記録、支払い情報、接続のタイムスタンプ、サポートのメッセージは保持していることがある。これらは通常の事業記録であり、保存通知ではなく、プロバイダー自身の方針とデータ保護法によって規律される。

だから通知についての主張は、アカウントデータについての問いには答えられない。別の手段、別の限界の集合だ。

問いが二つあるのだから、記録も二つ持つ

日常的な目的では、プロバイダーが処理すると述べている区分、目的、誰がアクセスできるか、どれだけ保持されるかを書き留める。地味なものも含める。請求記録、サポートチケット、不正のシグナル、クラッシュレポートだ。トンネルの通信量についての説明が、それ以外の代わりになってはいけない。

正式な要求に対しては、文書を保存し、到着日とともに法務手続を扱う担当へ回す。どの主体とどのサービスが名指しされているか、どんな対応が必要か、期限はいつか、どんな審査や不服申立てがあるかを尋ねる。誰かの質問に答える前に、記者の質問も含めて、守秘条件を確認する。

この二つの記録は別の相手に答える。一つは利用者に何を期待すべきかを伝え、もう一つは弁護士に今週何をすべきかを伝える。

自分を欺かずに二つのプロバイダーを比べる方法

範囲、日付、対象となる区分の説明を備えた正確な公開方針を求める。そのうえで、その方針が内容とメタデータ、任意の保存と強制の保存、運営会社と親会社を区別しているかを確認する。曖昧な保証が精査を生き延びるのは、区分を決して名指ししないからにほかならない。

欠けている情報は有利ではなく欠けているものとして扱う。制度の開示制限のため、「何も受け取っていない」と「言えない」は外から見ると同じに見えうる。沈黙を勝ち点にする比較は、あなた自身の楽観を測っているにすぎない。

内務省の通知制度に関する行動規範は、第4部が何を求めるかについての主張を繰り返す前に読むべき文書だ。ブログ記事より長く、はるかに慎重に書かれている。