En utenlandsk dataforespørsel lander hos en amerikansk VPN-leverandør

Et brev fra etterforskere i et annet land kommer inn og spør om en kunde, og spørsmålet på bordet er hva det forplikter noen til å gjøre. Det ærlige svaret er at det avhenger av tre ting: hvem som mottok det, hvilke oppføringer det nevner, og hvilken hjemmel det påberoper seg. Plasseringen til én VPN-server svarer ikke på noen av disse. Det gjør heller ikke leverandørens generelle vilje til å samarbeide, for det er en forretningsholdning og ikke en juridisk analyse.

Behandle brevet som starten på en vurdering, ikke som en konklusjon med stempel på.

Brevet nevner en tjeneste, ikke et system

Start med å identifisere den juridiske enheten som mottok forespørselen, og tjenesten den gjelder. Et merke, en app og selskapet som driver en bestemt utgangsserver kan være tre forskjellige parter, og bare én av dem har oppføringene som etterspørres. Deretter kartlegg forespørselen mot et system, fordi kontooppføringer, tilkoblingsmetadata, tunneladresser, støttetibakker og betalingsdetaljer ligger på forskjellige steder med forskjellig lagringstid.

Skill tvang, tillatelse og plikt

En frivillig forespørsel, en prosess innhentet gjennom en innenlandsk rettslig mekanisme og en kjennelse som dekkes av en internasjonal ordning er forskjellige instrumenter. De bærer forskjellige forpliktelser og forskjellige grunner til innsigelse.

Det amerikanske justisdepartementet beskriver kvalifiserende utøvende avtaler som en vei for at visse utenlandske kjennelser kan rettes til leverandører under avtalens vilkår. Det er en spesifikk mekanisme, ikke en regel om at enhver politistyrke hvor som helst kan kreve enhver VPN-oppføring. For dekkede amerikanske tjenester 18 USC 2702 regulerer separat frivillig utlevering, skiller kommunikasjonsinnhold fra annen kundeinformasjon og lister opp unntakene som gjelder.

Vilje til å hjelpe, juridisk tillatelse til å hjelpe og juridisk plikt til å hjelpe er tre separate spørsmål, og en leverandørs blogginnlegg svarer vanligvis bare på det første.

Definer hva kundens IP betyr

En forespørsel om kundens IP-adresse trenger en definisjon før den trenger et svar. Det kan bety kildeadressen som ble observert ved tilkobling, en delt offentlig utgang som mange kunder bruker, tunneladressen som er tildelt en økt, eller en adresse som ble registrert under en faktureringsinteraksjon. Spør hvilken hendelse og hvilket tidsintervall forespørselen dekker, fordi svaret avgjør hvilket system som blir spurt.

En leverandør kan ha kontooppføringer uten å ha nettleserhistorikk, og det er forskjellige svar på den samme setningen i brevet.

Sikre først, bestem deretter

Hvis du driver tjenesten, ta vare på den opprinnelige forespørselen og send den raskt videre til den som har den juridiske vurderingen. Verifiser avsenderen, handlingen som bes om, omfanget, fristene og eventuelle konfidensialitetskrav gjennom en kanal du allerede stoler på. Bestem det rettslige grunnlaget og svaret før du utleverer noe eller endrer en lagringsinnstilling. En lagringsendring gjort i hast blir selv bevis på hvordan tjenesten behandler oppføringer.

Hva du bør se etter når du er kunden

Les leverandørens beskrivelse av håndtering av juridiske forespørsler ved siden av dens kategorispesifikke datapolicy. Se etter en identifiserbar ansvarlig enhet og en beskrevet vurderingsprosess.

Inkorporering i ett land med utgangsservere i et annet gjør ikke alle utenlandske forespørsler like, og gjør dem heller ikke alle ugyldige. Det nyttige spørsmålet er hvilke oppføringer som finnes, hvem som kan nå dem, og hvilken prosess som står mellom en forespørsel og en utlevering. En leverandør som kan svare klart på dette, er lettere å vurdere enn en som svarer med et slagord, og svaret er verdt mer enn utgangslandet i listen.