Tvinger britisk lov din VPN til å lagre nettleserlogger?

«Basert i Storbritannia, så de må beholde alt» er en vanlig forkortelse, og den tar feil av mekanismen. Del 4 av etterforskningsfullmaktsloven virker gjennom oppbevaringsvarsler som sendes til telekomoperatører, og Home Offices praksiskode for ordningen sier det klart: en operatør er ikke forpliktet til å oppbevare kommunikasjonsdata med mindre et varsel er sendt til den. Om din leverandør har et slikt varsel, er et faktum om leverandøren, ikke om landet i bunnteksten.

Den ene setningen stiller også spørsmålet på nytt. I stedet for å spørre hva britisk lov krever generelt, spør hvilken operatør, hvilken datakategori og hvilket instrument. De tre svarene avgjør nesten alt annet. Alt før dem er et slagord.

Et varsel sendes, det forutsettes ikke

Under rammeverket koden beskriver, sender statssekretæren et oppbevaringsvarsel, og koden fastsetter hvordan nødvendighet og forholdsmessighet vurderes sammen med godkjenning fra en judisiell kommissær. Varselet kan angi dataene, tjenestene og oppbevaringsordningene det dekker. Det er et instrument med et omfang, ikke en bakgrunnsforpliktelse som hefter ved en virksomhetskategori.

Så en leverandørs offentlige uttalelse om at den ikke har mottatt noe varsel, er en meningsfull påstand, og leverandørens taushet er ikke bevis i noen retning. Koden begrenser også åpenhet om et varsels eksistens eller innhold, noe som betyr at en velinformert operatør kan være ute av stand til å gi deg det rene svaret du ønsker. Den begrensningen er ikke et smutthull; den er en del av ordningens design. Vei svaret deretter.

Les uttalelsen for det den er. En publisert åpenhetsrapport som beskriver mottatte forespørsler, er et annet dokument enn et oppbevaringsvarsel, og ingen av dem er en fullstendig oversikt over dataene et selskap oppbevarer for egne formål.

Hva regnes som telekomoperatør

Koden behandler begrepet bredt og faktabasert, og den unntar ikke enhver overleggstjeneste som tilfeldigvis kjører over andres nett. Å ta betalt for et abonnement avgjør ikke klassifiseringen, og det gjør heller ikke å hoste alt i et annet land. Det er et spørsmål om tjenestens forbindelser til Storbritannia, vurdert av noen som er kvalifisert.

Det du kan gjøre uten juridisk utdanning, er å slutte å behandle en markedsføringsfrase som en spesifikasjon. «Ingen logger» beskriver en policy. Den beskriver ikke en lovbestemt posisjon, og begge kan være sanne samtidig for en leverandør som ikke oppbevarer noe frivillig og ikke har mottatt noe pålagt.

Metadata er ikke meldingsinnhold

Varselordningen gjelder kommunikasjonsdata, altså hvem, når og hvordan, ikke hva som ble sagt. Innhold ligger under helt andre fullmakter, med annen autorisasjon. Å slå begge sammen til «fulle logger» gir argumenter som ikke kan løses, fordi de to kategoriene har separate juridiske veier og ofte separate oppbevaringsperioder.

Denne forskjellen er også den praktiske for en VPN. En leverandør kan oppbevare nesten ingenting om det du sendte, men likevel ha kontoopplysninger, betalingsdetaljer, tilkoblingstidsstempler eller støttemeldinger. Det er vanlige forretningsopplysninger, styrt av leverandørens egen policy og personvernlovgivningen, ikke av et oppbevaringsvarsel.

Derfor kan en påstand om et varsel ikke svare på et spørsmål om kontodata. To ulike instrumenter, to ulike sett med grenser.

Hold to registre, fordi det finnes to spørsmål

For daglig bruk, skriv ned kategoriene leverandøren sier den behandler, formålet, hvem som har tilgang og hvor lenge de varer. Ta med de lite glamorøse: fakturaopplysninger, støttehenvendelser, svindelsignaler, krasjrapporter. En uttalelse om tunneltrafikk bør ikke få stå i stedet for resten.

Ved et formelt krav, ta vare på dokumentet og send det til den som håndterer rettslige prosesser, med datoen det kom. Spør hvilken enhet og hvilken tjeneste det navngir, hvilken handling som kreves, hvilke frister som gjelder, og hvilken gjennomgang eller klage som er tilgjengelig. Sjekk konfidensialitetsvilkårene før du svarer noen på spørsmål om det, også en journalists.

De to registrene svarer til ulike målgrupper. Det ene forteller en bruker hva som kan forventes; det andre forteller en advokat hva som må gjøres denne uken.

Hvordan sammenligne to leverandører uten å lure seg selv

Be om en presis offentlig policy med omfang, dato og beskrivelse av kategoriene den dekker. Sjekk deretter om policyen skiller innhold fra metadata, frivillig oppbevaring fra pålagt oppbevaring, og det operative selskapet fra morselskapet. Vage forsikringer overlever gransking nettopp fordi de aldri navngir en kategori.

Behandle manglende informasjon som manglende, ikke som gunstig. Ordningens åpenhetsbegrensninger betyr at «vi har ikke mottatt noe» og «vi kan ikke si» kan se identiske ut utenfra, og en sammenligning som gir stillhet poeng som seier, måler din egen optimisme.

Home Offices praksiskode for varselordningen er dokumentet du bør lese før du gjentar noen påstand om hva del 4 krever. Den er lengre enn et blogginnlegg og betydelig mer omhyggelig.