Een buitenlands dataverzoek belandt bij een Amerikaanse VPN-aanbieder

Er komt een brief van onderzoekers uit een ander land binnen met een vraag over een klant, en de vraag op tafel is waartoe die iemand verplicht. Het eerlijke antwoord is dat het van drie dingen afhangt: wie hem heeft ontvangen, welke gegevens hij noemt en welke bevoegdheid hij aanvoert. De locatie van één VPN-server beantwoordt geen van die vragen. Dat geldt ook voor de algemene bereidheid van de aanbieder om mee te werken, want dat is een zakelijke houding en geen juridische analyse.

Behandel de brief als het begin van een beoordeling, niet als een conclusie met een stempel erop.

De brief noemt een dienst, geen systeem

Begin met het vaststellen van de rechtspersoon die het verzoek heeft ontvangen en de dienst waarop het betrekking heeft. Een merk, een app en het bedrijf dat een bepaalde uitgangsserver beheert, kunnen drie verschillende partijen zijn, en slechts één daarvan heeft de opgevraagde gegevens. Koppel het verzoek daarna aan een systeem, want accountgegevens, verbindingsmetadata, tunneladressen, supporttickets en betalingsgegevens staan op verschillende plekken met verschillende bewaartermijnen.

Scheid dwang, toestemming en plicht

Een vrijwillig verzoek, een procedure verkregen via een binnenlands juridisch mechanisme en een bevel dat onder een internationale regeling valt, zijn verschillende instrumenten. Ze dragen verschillende verplichtingen en verschillende gronden voor bezwaar.

Het Amerikaanse ministerie van Justitie beschrijft kwalificerende uitvoerende overeenkomsten als een route waarlangs bepaalde buitenlandse bevelen onder de voorwaarden van de overeenkomst aan aanbieders kunnen worden gericht. Dat is een specifiek mechanisme, geen regel dat elke politie waar dan ook elk VPN-gegeven kan opeisen. Voor gedekte Amerikaanse diensten regelt 18 USC 2702 afzonderlijk de vrijwillige openbaarmaking, onderscheidt de inhoud van communicatie van andere klantinformatie en somt de toepasselijke uitzonderingen op.

Bereidheid om te helpen, juridische toestemming om te helpen en een juridische plicht om te helpen zijn drie aparte vragen, en een blogpost van een aanbieder beantwoordt meestal alleen de eerste.

Definieer wat het IP van de klant betekent

Een verzoek om het IP-adres van de klant heeft een definitie nodig voordat het een antwoord nodig heeft. Het kan gaan om het bronadres dat bij de verbinding is waargenomen, een gedeelde openbare uitgang die veel klanten gebruiken, het tunneladres dat aan een sessie is toegewezen, of een adres dat tijdens een factureringsinteractie is vastgelegd. Vraag welk evenement en welk tijdsinterval het verzoek bestrijkt, want het antwoord bepaalt welk systeem wordt bevraagd.

Een aanbieder kan accountgegevens hebben zonder browsergeschiedenis te hebben, en dat zijn verschillende antwoorden op dezelfde zin in de brief.

Bewaar eerst, beslis daarna

Als u de dienst beheert, bewaar dan het oorspronkelijke verzoek en stuur het snel door naar wie de juridische toets heeft. Verifieer de afzender, de gevraagde actie, de reikwijdte, de termijnen en elke vertrouwelijkheidseis via een kanaal dat u al vertrouwt. Beslis de juridische grondslag en het antwoord voordat u iets openbaart of een bewaarinstelling wijzigt. Een bewaarwijziging die in haast is gedaan, wordt zelf bewijs van hoe de dienst met gegevens omgaat.

Waar u op moet letten als u de klant bent

Lees de beschrijving van de aanbieder over de omgang met juridische verzoeken naast zijn categoriespecifieke databeleid. Zoek een identificeerbare verantwoordelijke entiteit en een beschreven toetsingsproces.

Oprichting in het ene land met uitgangsservers in het andere maakt niet alle buitenlandse verzoeken gelijk, en maakt ze ook niet allemaal ongeldig. De nuttige vraag is welke gegevens bestaan, wie erbij kan komen en welk proces tussen een verzoek en een openbaarmaking staat. Een aanbieder die dat helder kan beantwoorden, is makkelijker te beoordelen dan een die met een slogan antwoordt, en het antwoord is meer waard dan het uitgangsland in de lijst.