Adakah undang-undang UK memaksa VPN anda menyimpan log pelayaran?

«Berpangkalan di UK, jadi mereka mesti menyimpan segala-galanya» ialah kenyataan ringkas yang lazim, dan ia salah faham mekanismenya. Bahagian 4 Akta Kuasa Siasatan beroperasi melalui notis penyimpanan yang disampaikan kepada pengendali telekomunikasi, dan kod amalan Pejabat Dalam Negeri bagi rejim itu menyatakan pendirian dengan jelas: pengendali tidak wajib menyimpan data komunikasi melainkan notis telah disampaikan kepadanya. Sama ada pembekal anda mempunyai notis sedemikian ialah fakta tentang pembekal itu, bukan tentang negara di kaki laman webnya.

Ayat tunggal itu juga merumus semula soalan. Daripada bertanya apa yang dikehendaki undang-undang UK secara umum, tanyakan pengendali mana, kategori data mana dan instrumen mana. Ketiga-tiga jawapan itu menentukan hampir segala-galanya. Segala yang sebelum itu hanyalah slogan.

Notis disampaikan, bukan diandaikan

Di bawah rangka kerja yang diperihalkan oleh kod itu, Setiausaha Negara menyampaikan notis penyimpanan, dan kod itu menetapkan cara keperluan dan keberkadaran dipertimbangkan bersama kelulusan Pesuruhjaya Kehakiman. Notis itu boleh menyatakan data, perkhidmatan dan pengaturan penyimpanan yang diliputinya. Ia ialah instrumen yang mempunyai skop, bukan kewajipan latar belakang yang terlekat pada kategori perniagaan.

Jadi kenyataan awam pembekal bahawa ia tidak menerima notis ialah dakwaan yang bermakna, dan senyapnya pembekal bukan bukti ke arah mana-mana. Kod itu juga menyekat pendedahan kewujudan atau kandungan notis, bermakna pengendali yang berpengetahuan mungkin tidak dapat memberikan jawapan bersih yang anda mahu. Sekatan itu bukan celah; ia sebahagian daripada reka bentuk rejim. Timbang jawapan itu sewajarnya.

Baca kenyataan itu sebagaimana adanya. Laporan ketelusan yang diterbitkan yang memperihalkan permintaan yang diterima ialah dokumen berbeza daripada notis penyimpanan, dan kedua-duanya bukan inventori lengkap data yang dipegang syarikat untuk tujuannya sendiri.

Apa yang dikira sebagai pengendali telekomunikasi

Kod itu menganggap konsep ini secara luas dan bergantung pada fakta, dan ia tidak mengecualikan setiap perkhidmatan tindanan yang kebetulan berjalan di atas rangkaian orang lain. Mengenakan langganan tidak menyelesaikan klasifikasi, dan begitu juga mengehoskan segala-galanya di negara lain. Itu ialah soalan tentang kaitan perkhidmatan dengan UK, yang dinilai oleh orang yang berkelayakan.

Apa yang anda boleh lakukan tanpa latihan undang-undang ialah berhenti menganggap frasa pemasaran sebagai spesifikasi. «Tiada log» memperihalkan dasar. Ia tidak memperihalkan kedudukan berkanun, dan kedua-duanya boleh benar serentak bagi pembekal yang tidak menyimpan apa-apa secara sukarela dan tidak menerima apa-apa secara wajib.

Metadata bukan kandungan mesej

Rejim notis melibatkan data komunikasi, iaitu siapa, bila dan bagaimana sesuatu komunikasi, bukan apa yang dikatakan. Kandungan berada di bawah kuasa yang sama sekali berbeza, dengan kebenaran yang berbeza. Menggabungkan kedua-duanya sebagai «log penuh» menghasilkan perdebatan yang tidak dapat diselesaikan, kerana kedua-dua kategori mempunyai laluan undang-undang berasingan dan selalunya tempoh penyimpanan berasingan.

Perbezaan ini juga yang praktikal bagi VPN. Pembekal mungkin menyimpan hampir tiada apa-apa tentang apa yang anda hantar sambil masih menyimpan rekod akaun, butiran pembayaran, cap masa sambungan atau mesej sokongan. Itu ialah rekod perniagaan biasa, ditadbir oleh dasar pembekal sendiri dan undang-undang perlindungan data, bukan oleh notis penyimpanan.

Itulah sebabnya dakwaan tentang notis tidak dapat menjawab soalan tentang data akaun. Dua instrumen berbeza, dua set had berbeza.

Simpan dua rekod, kerana dua soalan wujud

Untuk kegunaan harian, catat kategori yang pembekal kata diprosesnya, tujuan, siapa yang boleh mengakses dan berapa lama ia bertahan. Sertakan yang tidak menarik: rekod bil, tiket sokongan, isyarat penipuan, laporan ranap. Kenyataan tentang trafik terowong tidak harus dibenarkan menggantikan yang lain.

Untuk tuntutan rasmi, simpan dokumen itu dan salurkannya kepada sesiapa yang mengendalikan proses undang-undang, dengan tarikh ia diterima. Tanyakan entiti mana dan perkhidmatan mana yang dinamakannya, tindakan apa yang dikehendaki, apa tempohnya dan apa semakan atau rayuan yang tersedia. Semak terma kerahsiaan sebelum menjawab soalan sesiapa tentangnya, termasuk wartawan.

Kedua-dua rekod itu menjawab khalayak berbeza. Satu memberitahu pengguna apa yang dijangkakan; satu lagi memberitahu peguam apa yang perlu dilakukan minggu ini.

Cara membandingkan dua pembekal tanpa menipu diri

Minta dasar awam yang tepat dengan skop, tarikh dan perihalan kategori yang diliputinya. Kemudian semak sama ada dasar itu membezakan kandungan daripada metadata, penyimpanan sukarela daripada penyimpanan wajib, dan syarikat operasi daripada syarikat induknya. Jaminan kabur bertahan daripada penelitian justru kerana ia tidak pernah menamakan kategori.

Anggap maklumat yang hilang sebagai hilang, bukan sebagai menguntungkan. Sekatan pendedahan rejim bermakna «kami tidak menerima apa-apa» dan «kami tidak boleh berkata» boleh kelihatan sama dari luar, dan perbandingan yang menilai kesenyapan sebagai kemenangan sedang mengukur optimisme anda sendiri.

Kod amalan Pejabat Dalam Negeri untuk rejim notis ialah dokumen yang perlu dibaca sebelum mengulangi apa-apa dakwaan tentang apa yang dikehendaki Bahagian 4. Ia lebih panjang daripada catatan blog dan jauh lebih berhati-hati.