Dwong de Britse wet je VPN om surfgedrag te loggen?

‘In het Verenigd Koninkrijk gevestigd, dus ze moeten alles bewaren’ is een gangbare verkorting, en die begrijpt het mechanisme verkeerd. Deel 4 van de Investigatory Powers Act werkt via bewaarplichtberichten die aan telecommunicatieaanbieders worden uitgebracht, en de gedragscode van het Home Office voor die regeling zegt het onomwonden: een aanbieder is niet verplicht communicatiegegevens te bewaren tenzij hem een bericht is uitgebracht. Of jouw provider er een heeft, is een feit over die provider, niet over het land in zijn footer.

Die ene zin herformuleert ook de vraag. Vraag niet wat de Britse wet in het algemeen eist, maar welke operator, welke gegevenscategorie en welk instrument. Die drie antwoorden bepalen bijna al het overige. Alles daarvoor is een slogan.

Een bericht wordt uitgebracht, niet verondersteld

Binnen het kader dat de code beschrijft, brengt de staatssecretaris een bewaarplichtbericht uit, en de code legt vast hoe noodzakelijkheid en evenredigheid worden beoordeeld, samen met goedkeuring door een rechterlijke commissaris. Het bericht kan de gegevens, diensten en bewaarregelingen aangeven die het bestrijkt. Het is een instrument met een reikwijdte, geen achtergrondverplichting die aan een bedrijfscategorie kleeft.

Een publieke verklaring van een provider dat hij geen bericht heeft ontvangen, is dus een betekenisvolle bewering, en stilte van een provider is in geen van beide richtingen bewijs. De code beperkt ook het bekendmaken van het bestaan of de inhoud van een bericht, waardoor een goed geïnformeerde operator je misschien niet het heldere antwoord kan geven dat je wilt. Die beperking is geen maas in de wet; zij hoort bij het ontwerp van de regeling. Weeg het antwoord daarnaar.

Lees de verklaring voor wat zij is. Een gepubliceerd transparantieverslag over ontvangen verzoeken is een ander document dan een bewaarplichtbericht, en geen van beide is een volledige inventaris van de gegevens die een bedrijf voor eigen doeleinden bewaart.

Wat geldt als telecommunicatieaanbieder

De code behandelt het begrip ruim en feitelijk, en zondert niet elke overlaydienst uit die toevallig over iemands anders netwerk loopt. Een abonnement in rekening brengen beslecht de classificatie niet, en alles in een ander land hosten evenmin. Het is een vraag over de verbindingen van de dienst met het Verenigd Koninkrijk, beoordeeld door iemand die daartoe gekwalificeerd is.

Wat je zonder juridische opleiding kunt doen, is ophouden een marketingzin als specificatie te behandelen. ‘Geen logs’ beschrijft een beleid. Het beschrijft geen wettelijke positie, en beide kunnen tegelijk waar zijn voor een provider die niets vrijwillig bewaart en niets verplichts heeft ontvangen.

Metadata is geen berichtinhoud

De berichtenregeling betreft communicatiegegevens: het wie, wanneer en hoe van een communicatie, niet wat er is gezegd. Inhoud valt onder heel andere bevoegdheden, met een andere machtiging. Beide op één hoop gooien als ‘volledige logs’ levert onoplosbare discussies op, omdat de twee categorieën gescheiden juridische routes en vaak gescheiden bewaartermijnen hebben.

Dat onderscheid is ook het praktische voor een VPN. Een provider kan bijna niets bewaren over wat je hebt verzonden en toch accountgegevens, betaalgegevens, verbindingstijdstempels of supportberichten hebben. Dat zijn gewone bedrijfsgegevens, beheerst door het beleid van de provider en de gegevensbeschermingswet, niet door een bewaarplichtbericht.

Daarom kan een bewering over een bericht geen antwoord geven op een vraag over accountgegevens. Twee verschillende instrumenten, twee verschillende sets grenzen.

Houd twee dossiers bij, want er zijn twee vragen

Noteer voor alledaags gebruik de categorieën die je provider zegt te verwerken, het doel, wie er toegang toe heeft en hoe lang ze blijven. Neem de onglamoureuze mee: factuurgegevens, supporttickets, fraudesignalen, crashrapporten. Een verklaring over tunnelverkeer mag de rest niet vervangen.

Bewaar bij een formeel verzoek het document en stuur het naar wie juridische procedures afhandelt, met de datum van ontvangst. Vraag welke entiteit en welke dienst erin genoemd worden, welke actie vereist is, welke termijnen gelden en welke toetsing of welk beroep openstaat. Controleer de vertrouwelijkheidsvoorwaarden voordat je iemand antwoord geeft, ook een journalist.

Die twee dossiers bedienen verschillende doelgroepen. Het ene vertelt een gebruiker wat te verwachten; het andere vertelt een advocaat wat deze week te doen.

Hoe je twee providers vergelijkt zonder jezelf voor de gek te houden

Vraag om een precies openbaar beleid met een reikwijdte, een datum en een beschrijving van de categorieën die het dekt. Controleer dan of het beleid inhoud van metadata onderscheidt, vrijwillige bewaring van gedwongen bewaring, en het exploitatiebedrijf van zijn moederbedrijf. Vage toezeggingen doorstaan de toets juist omdat ze nooit een categorie noemen.

Behandel ontbrekende informatie als ontbrekend, niet als gunstig. De openbaarmakingsbeperkingen van de regeling betekenen dat ‘we hebben niets ontvangen’ en ‘we kunnen het niet zeggen’ er van buitenaf identiek kunnen uitzien, en een vergelijking die stilte als winst scoort, meet je eigen optimisme.

De gedragscode van het Home Office voor de berichtenregeling is het document dat je moet lezen voordat je enige bewering herhaalt over wat deel 4 vereist. Hij is langer dan een blogpost en aanzienlijk zorgvuldiger.