Ein utalandsk dataførespurnad landar hos ein amerikansk VPN-leverandør

Eit brev frå etterforskarar i eit anna land kjem inn og spør om ein kunde, og spørsmålet på bordet er kva det forpliktar nokon til å gjere. Det ærlege svaret er at det avheng av tre ting: kven som tok imot det, kva oppføringar det nemner, og kva heimel det påberoper seg. Plasseringa til éin VPN-server svarar ikkje på nokon av desse. Det gjer heller ikkje den generelle viljen til leverandøren til å samarbeide, for det er ei forretningshaldning og ikkje ei juridisk analyse.

Handter brevet som starten på ei vurdering, ikkje som ein konklusjon med stempel på.

Brevet nemner ei teneste, ikkje eit system

Start med å identifisere den juridiske eininga som tok imot førespurnaden, og tenesta ho gjeld. Eit merke, ein app og selskapet som driv ein bestemd utgangsserver kan vere tre ulike partar, og berre éin av dei har oppføringane som blir etterspurde. Deretter kartlegg førespurnaden mot eit system, fordi kontoøppføringar, tilknytingsmetadata, tunneladresser, støttetibakkar og betalingsdetaljar ligg på ulike stader med ulik lagringstid.

Skil tvang, løyve og plikt

Ein frivillig førespurnad, ein prosess henta inn gjennom ein innanlandsk rettsleg mekanisme og ein kjennelse som er dekt av ei internasjonal ordning er ulike instrument. Dei ber ulike plikter og ulike grunnar til innvending.

Det amerikanske justisdepartementet skildrar kvalifiserande utøvande avtalar som ein veg for at visse utanlandske kjennelsar kan rettast til leverandørar under vilkåra i avtala. Det er ein spesifikk mekanisme, ikkje ei regel om at kvar politistyrke kvar som helst kan krevje kvar ei VPN-oppføring. For dekte amerikanske tenester 18 USC 2702 regulerer separat frivillig utlevering, skil kommunikasjonsinnhald frå annan kundeinformasjon og listar opp unntaka som gjeld.

Vilje til å hjelpe, juridisk løyve til å hjelpe og juridisk plikt til å hjelpe er tre separate spørsmål, og ein bloggpost hos ein leverandør svarar vanlegvis berre på det fyrste.

Definer kva kundens IP tyder

Ein førespurnad om IP-adressa til kunden treng ein definisjon før han treng eit svar. Det kan tyde kjeldeadressa som vart observert ved tilknyting, ein delt offentleg utgang som mange kundar brukar, tunneladressa som er tildelt ei økt, eller ei adresse som vart registrert under ein faktureringsinteraksjon. Spør kva hending og kva tidsintervall førespurnaden dekkjer, fordi svaret avgjer kva system som blir spurt.

Ein leverandør kan ha kontoøppføringar utan å ha nettlesarhistorikk, og det er ulike svar på den same setninga i brevet.

Sikre fyrst, avgjer deretter

Viss du driv tenesta, ta vare på den opphavlege førespurnaden og send han raskt vidare til den som har den juridiske vurderinga. Stadfest avsendararen, handlinga som blir beden om, omfanget, fristane og eventuelle krav om konfidensialitet gjennom ein kanal du allereie stolar på. Avgjer det rettslege grunnlaget og svaret før du utleverer noko eller endrar ei lagringsinnstilling. Ei lagringsending gjord i hast blir sjølv bevis på korleis tenesta handsamar oppføringar.

Kva du bør sjå etter når du er kunden

Les skildringa til leverandøren av handsaming av juridiske førespurnader ved sida av den kategorispesifikke datapolicyen hans. Sjå etter ein identifiserbar ansvarleg eining og ein skildra vurderingsprosess.

Innlemming i eitt land med utgangsservarar i eit anna gjer ikkje alle utanlandske førespurnader like, og gjer dei heller ikkje alle ugyldige. Det nyttige spørsmålet er kva oppføringar som finst, kven som kan nå dei, og kva prosess som står mellom ein førespurnad og ei utlevering. Ein leverandør som kan svare klart på dette, er lettare å vurdere enn ein som svarar med eit slagord, og svaret er verdt meir enn utgangslandet i lista.