Slaat een Britse VPN je browsergeschiedenis op? Lees de kennisgeving
Wettelijke plicht en productbeleid zijn twee verschillende vragen. Controleer de operator, de datacategorie en het instrument voordat je een bewaarclaim gelooft.
Een abonnementspagina kan de bewaarvraag niet beantwoorden, en het registratieland van de operator alleen ook niet. Het kader dat hier telt is deel 4 van de Investigatory Powers Act, dat werkt via bewaarkennisgevingen die aan telecomoperators worden betekend in plaats van via een algemene regel dat elke VPN elk browserrecord bewaart. Of je provider onder het bereik valt, en wat hij moet bewaren, zijn twee afzonderlijke vragen met twee afzonderlijke antwoorden.
Wat de vraag eigenlijk vraagt
Mensen bedoelen meestal wat mijn provider over mij vasthoudt, terwijl de wet antwoordt wat deze operator moet bewaren op grond van een kennisgeving die hem is betekend. De twee overlappen zonder identiek te zijn. Een operator kan gegevens vasthouden om zijn eigen operationele redenen en niets extra bewaren op grond van een kennisgeving, of andersom. Op de ene antwoorden en denken dat je de andere hebt beantwoord, is waar dit gesprek meestal misgaat.
Begin met het scheiden van de wettelijke plicht van het gewone productbeleid.
Scheid vervolgens de categorieën. Communicatiegegevens en de inhoud van communicatie worden verschillend behandeld, en een frase als volledige logboeken noemt geen van beide. Een lijst van wat wordt verzameld, waarom, wie erbij kan en hoe lang het leeft, vertelt je meer dan welk bijvoeglijk naamwoord dan ook in een marketingclaim.
Reikwijdte: welke operator, welke gegevens, welk instrument
Een bewaarkennisgeving geldt voor een operator, en die term omvat een van de feiten afhankelijke categorie en niet een nette lijst van bedrijfstypen. Een abonnement in rekening brengen beslist de classificatie in geen enkele richting. Of een bepaalde dienst eronder valt, is een vraag voor een gekwalificeerde adviseur met de werkelijke feiten.
Een kennisgeving specificeert ook gegevens en regelingen en niet simpelweg alles. De gepubliceerde gedragscode beschrijft de toegepaste toetsen, waaronder noodzakelijkheid en evenredigheid, en de goedkeuringsrol van een rechterlijk commissaris. Lees dat mechanisme voordat je een samenvatting leest, want het verklaart waarom twee providers onder één wet heel verschillende verplichtingen kunnen dragen. De code zegt ook uitdrukkelijk dat het regime geen universeel bewaarmandaat is.
Houd dit mechanisme gescheiden van aftappen, van interferentie met apparatuur en van verzoeken om gegevens die al worden vastgehouden. Elk heeft zijn eigen voorwaarden en zijn eigen goedkeuringen.
Twee registers, gescheiden gehouden
Houd voor de gewone werking een overzicht bij van wat je verwerkt, waarom, wie er toegang toe heeft en hoe lang je het bewaart. Account- en supportregistraties tellen mee, samen met alles wat met de tunnel te maken heeft, en een verklaring over één categorie mag nooit impliciet de andere dekken.
| Record | What it holds | Who owns it |
|---|---|---|
| Routine data inventory | Categories, purposes, access, retention period | Privacy or security owner |
| Formal demand file | Instrument, scope, deadlines, review path | Legal reviewer |
Bewaar bij een formeel verzoek het instrument en stuur het zonder vertraging naar de verantwoordelijke beoordelaar.
Vraag welke entiteit en welke dienst het omvat, welke actie het vereist, welke termijnen gelden en welke toetsing bestaat. Controleer elke geheimhoudingsbeperking voordat je het publiceert of bespreekt, omdat de code beperkingen bevat op het onthullen van het bestaan of de inhoud van een kennisgeving. Die beperkingen horen in de behandelprocedure en niet in de nabeschouwing.
Wat een openbaar beleid je wel en niet kan vertellen
Zoek bij het vergelijken van providers naar een precies beleid met een reikwijdteverklaring in plaats van een geruststellende zin. Een nuttig beleid noemt de categorieën die worden vastgehouden, de bewaartermijn voor elk en de rechtsgrond waarop het steunt. Het vermeldt ook welke entiteit de contractpartij is, omdat een merk en het exploitatiebedrijf ervan niet altijd hetzelfde zijn. Vage geruststelling en vaag alarm zijn even oninformatief.
Het ontbreken van gepubliceerde kennisgevingen is ook geen technische inventaris, omdat openbaarmakingsbeperkingen een operator kunnen verhinderen er een te bevestigen.
Behandel de gepubliceerde code als het kader en de eigen documenten van je provider als de claim die daaraan moet worden getoetst. Waar de twee elkaar niet ontmoeten, stel je een schriftelijke vraag die de datacategorie en de bewaartermijn noemt. Het antwoord, of de weigering om te antwoorden, is meer waard dan een andere forumdraad over wat een land zogenaamd vereist.