Tvingar britisk lov VPN-en din til å lagre nettlesarloggar?

«Basert i Storbritannia, så dei må behalde alt» er ei vanleg forkorting, og ho tar feil av mekanismen. Del 4 av etterforskingsfullmaktslova verkar gjennom oppbevaringsvarsel som blir sende til teleoperatørar, og praksiskoden til Home Office for ordninga seier det klårt: ein operatør er ikkje pliktig til å oppbevare kommunikasjonsdata med mindre eit varsel er sendt til han. Om leverandøren din har eit slikt varsel, er eit faktum om leverandøren, ikkje om landet i botnteksta.

Den eine setninga stiller òg spørsmålet på nytt. I staden for å spørje kva britisk lov krev generelt, spør kva operatør, kva datakategori og kva instrument. Dei tre svara avgjer nesten alt anna. Alt før dei er eit slagord.

Eit varsel blir sendt, det blir ikkje føresett

Under rammeverket koden skildrar, sender statssekretæren eit oppbevaringsvarsel, og koden fastset korleis naudsyn og høvelegheit blir vurderte saman med godkjenning frå ein judisiell kommissær. Varselet kan angi dataa, tenestene og oppbevaringsordningane det dekkjer. Det er eit instrument med eit omfang, ikkje ei bakgrunnsplikt som heftar ved ein verksemdskategori.

Så ei offentleg utsegn frå ein leverandør om at han ikkje har motteke noko varsel, er ei meiningsfull påstand, og tagnaden til leverandøren er ikkje prov i noka retning. Koden avgrensar òg å openberre at eit varsel finst eller kva det inneheld, noko som betyr at ein velinformert operatør kan vere ute av stand til å gje deg det reine svaret du vil ha. Den avgrensinga er ikkje eit smutthol; ho er ein del av utforminga av ordninga. Veg svaret deretter.

Les utsegna for det ho er. Ein publisert openheitsrapport som skildrar mottekne førespurnader, er eit anna dokument enn eit oppbevaringsvarsel, og ingen av dei er ei fullstendig oversikt over dataa eit selskap oppbevarer for eigne føremål.

Kva som blir rekna som teleoperatør

Koden handsamar omgrepet breitt og faktabasert, og han unntar ikkje kvar overlappande teneste som tilfeldigvis køyrer over nettet til nokon andre. Å ta betalt for eit abonnement avgjer ikkje klassifiseringa, og det gjer heller ikkje å hoste alt i eit anna land. Det er eit spørsmål om sambanda tenesta har til Storbritannia, vurdert av nokon som er kvalifisert.

Det du kan gjere utan juridisk utdanning, er å slutte å behandle ein marknadsføringsfrase som ein spesifikasjon. «Ingen loggar» skildrar ein politikk. Han skildrar ikkje ein lovfesta posisjon, og begge kan vere sanne samtidig for ein leverandør som ikkje oppbevarer noko frivillig og ikkje har motteke noko pålagt.

Metadata er ikkje meldingsinnhald

Varselordninga gjeld kommunikasjonsdata, altså kven, når og korleis, ikkje kva som vart sagt. Innhald ligg under heilt andre fullmakter, med ei anna godkjenning. Å slå begge saman til «fulle loggar» gir argument som ikkje kan løysast, fordi dei to kategoriane har skilde juridiske vegar og ofte skilde oppbevaringsperiodar.

Denne skilnaden er òg den praktiske for ein VPN. Ein leverandør kan oppbevare nesten ingenting om det du sende, men likevel ha kontoopplysningar, betalingsdetaljar, tilkoplingstidsstempel eller støttemeldingar. Det er vanlege forretningsopplysningar, styrte av politikken til leverandøren og personvernlova, ikkje av eit oppbevaringsvarsel.

Difor kan ein påstand om eit varsel ikkje svare på eit spørsmål om kontodata. To ulike instrument, to ulike sett med grenser.

Hald to register, fordi det finst to spørsmål

For dagleg bruk, skriv ned kategoriane leverandøren seier han handsamar, føremålet, kven som har tilgang og kor lenge dei varer. Ta med dei lite glamorøse: fakturaopplysningar, støttehenvendingar, svindelsignal, krasjrapportar. Ei utsegn om tunneltrafikk bør ikkje få stå i staden for resten.

Ved eit formelt krav, ta vare på dokumentet og send det til den som handterer rettslege prosessar, med datoen det kom. Spør kva eining og kva teneste det namngir, kva handling som krevst, kva fristar som gjeld, og kva gjennomgang eller klage som er tilgjengeleg. Sjekk konfidensialitetsvilkåra før du svarer nokon på spørsmål om det, òg ein journalist.

Dei to registra svarer til ulike målgrupper. Det eine fortel ein brukar kva som kan vente; det andre fortel ein advokat kva som må gjerast denne veka.

Korleis samanlikne to leverandørar utan å lure seg sjølv

Be om ein presis offentleg politikk med omfang, dato og skildring av kategoriane han dekkjer. Sjekk så om politikken skil innhald frå metadata, frivillig oppbevaring frå pålagd oppbevaring, og det operative selskapet frå morselskapet. Vage lovnader overlever gransking nettopp fordi dei aldri namngir ein kategori.

Handsame manglande informasjon som manglande, ikkje som gunstig. Openberringsgrensene i ordninga betyr at «vi har ikkje motteke noko» og «vi kan ikkje seie det» kan sjå identiske ut utanfrå, og ei samanlikning som gir stillheit poeng som siger, måler din eigen optimisme.

Praksiskoden til Home Office for varselordninga er dokumentet du bør lese før du gentek noko påstand om kva del 4 krev. Han er lengre enn eit blogginnlegg og monaleg meir omhyggeleg.