海外のデータ請求が米国のVPNプロバイダーに届くとき

他国の捜査官からの書簡が届き、ある顧客について尋ねている。テーブルの上の問いは、それが誰に何を義務づけるのかという点だ。正直な答えは、三つの要素にかかっている。誰が受け取ったのか、どの記録を名指ししているのか、どの権限を主張しているのか。VPNサーバー一つの所在地は、そのどれにも答えない。プロバイダーの一般的な協力姿勢も同じで、それはビジネス上の立場であり、法的分析ではない。

書簡は評価の出発点として扱うべきで、判を押した結論として扱うべきではない。

書簡が名指しするのはサービスであり、システムではない

まず、請求を受け取った法的実体と、それが関係するサービスを特定する。ブランド、アプリ、特定の出口サーバーを運営する会社は、三つの異なる当事者になり得るが、そのうち実際に求められた記録を保持しているのは一つだけだ。次に、請求をシステムに対応づける。アカウント記録、接続メタデータ、トンネルアドレス、サポートチケット、支払いの詳細は、それぞれ別の場所に別の保存期間で存在しているからだ。

強制、許可、義務を分ける

任意の請求、国内の法的手段を通じて得られた手続、国際的な取り決めに基づく命令は、それぞれ別の道具だ。課される義務も、異議を述べる根拠も異なる。

米国司法省は、適格な行政協定を、一定の外国命令を協定の条件の下でプロバイダーに送るための経路として説明している。これは特定の仕組みであり、どこかの警察が何でもVPN記録を要求できるという規則ではない。対象となる米国のサービスについては、18 USC 2702が任意開示を別に規律し、通信の内容を他の顧客情報と区別し、適用される例外を列挙している。

助けたいという意向、助ける法的許可、助ける法的義務は三つの別の問いであり、プロバイダーのブログ記事は通常、最初の一つにしか答えていない。

顧客のIPが何を意味するかを定義する

顧客のIPアドレスの請求は、答えの前に定義を必要とする。接続時に観測された送信元アドレス、多くの顧客が使う共有の公開出口、セッションに割り当てられたトンネルアドレス、請求のやり取りの際に記録されたアドレスのいずれかを指し得る。請求がどの出来事とどの時間帯を対象にしているかを尋ねるべきだ。答えによって、どのシステムに照会するかが決まる。

プロバイダーは閲覧履歴を持たずにアカウント記録だけを持つことがあり、それは書簡の同じ一文に対する別の答えだ。

まず保全し、次に判断する

サービスを運営しているなら、元の請求を保管し、法的検討を担う担当者へ速やかに回す。送信者、求められた行為、範囲、期限、守秘義務の有無を、すでに信頼している経路で確認する。何かを開示したり保存設定を変えたりする前に、法的根拠と回答を決める。慌てて行った保存設定の変更は、サービスが記録をどう扱うかについての証拠そのものになる。

顧客の立場で見るべき点

プロバイダーによる法的請求への対応の説明を、カテゴリー別のデータ方針と並べて読む。責任主体が特定でき、検討の手順が説明されているかを見る。

ある国で法人を設立し、別の国に出口サーバーを置いても、すべての外国の請求が同じになるわけではなく、すべてが無効になるわけでもない。有用な問いは、どの記録が存在し、誰がそれに到達でき、請求と開示の間にどのような手続があるかだ。それを明快に答えられるプロバイダーは、スローガンで答える相手より評価しやすい。そしてその答えは、一覧に載る出口の国よりも価値がある。