Czy zagraniczny dostawca VPN może zignorować amerykański wniosek o dane?
Etykieta kraju wyjaśnia bardzo niewiele. Prześledź podmiot zawierający umowę, co może pozyskać i gdzie kończy się ograniczona amerykańska ustawa o ujawnianiu.
Etykiety krajów rozwiązują najmniejsze pytanie w aktach prawnych dostawcy. Trzy warunki decydują, czy zagraniczny adres cokolwiek zmienia, gdy nadchodzi żądanie: czy podmiot, który je otrzymuje, jest nim związany, czy ten podmiot posiada lub kontroluje zapis oraz która kategoria zapisu jest objęta żądaniem. Pomylisz choć jeden z nich, a etykieta ozdobi wniosek, na który nie zasłużyłeś.
Przechodź je w tej kolejności, bo każdy może zakończyć analizę, zanim zacznie się następny. To, co dalej, jest mapą należytej staranności, a nie rankingiem krajów, z jedną ściśle ograniczoną ustawą amerykańską jako przykładem.
Zacznij od podmiotu wskazanego w umowie
Umowa z klientem wskazuje podmiot i ten podmiot niesie relację z tobą. Marka na stronie może należeć do spółki dominującej, tunel może obsługiwać spółka zależna, a rozliczenia mogą leżeć u resellera lub operatora płatności zarejestrowanego zupełnie gdzie indziej. Poproś o nazwę prawną i numer rejestracyjny wydrukowane na fakturze, a potem zapytaj, która z tych organizacji odpowiada na wezwanie sądowe. Wspólne logo nie wyjaśnia niczego z tego.
Rozdzielaj cztery lokalizacje podczas pracy: gdzie spółka jest zarejestrowana, dokąd prowadzą adresy wyjściowe, gdzie faktycznie stoi sprzęt i gdzie przetwarzane są dane konta. Zdanie, które rozstrzyga jedną z nich, nie rozstrzyga pozostałych trzech, a dostawca odpowiadający tylko na najłatwiejsze mówi ci, gdzie szukać dalej.
Posiadanie, przechowywanie lub kontrola wygrywa z geografią
Ograniczony przykład amerykański czyni tę różnicę konkretną. 18 USC 2713 nakazuje dostawcom objętym tym rozdziałem zachowywać i ujawniać komunikację i zapisy klientów znajdujące się w ich posiadaniu, przechowywaniu lub kontroli, a jego tekst nie zależy od tego, czy te zapisy leżą w kraju, czy poza nim. Obowiązek przylega do podmiotów i kategorii zapisów, które ustawa faktycznie obejmuje, a to węższy zbiór niż każdy dostawca reklamujący zagraniczny adres.
Inwentarz odpowiada więcej niż slogan. Dostawca, który naprawdę nie przechowuje zapisów połączeń, nie ma czego zachowywać w tej kategorii, choć ten sam dostawca wciąż może mieć e-mail rejestracyjny, token płatności i załączniki do pomocy technicznej, które mieszczą się dokładnie w obowiązku. Przyjęcie odpowiedzi o logowaniu bez pytania, co jeszcze istnieje, pozostawia większość akt bez zbadania. Wniosek o dane rzadko opiera się wyłącznie na tunelu.
Liczy się to, kto może pozyskać zapis, a nie na którym kontynencie leży dysk, a podmiot, który może go pozyskać, jest podmiotem, który trzeba zbadać. Strona wymieniająca kraje wyjściowe odpowiada na inne pytanie.
Dopasuj kategorię zapisu do tego, co przekazałeś
Język przechowywania jest zwykle pisany według kategorii, a ogólna strona prywatności rozmywa go w jeden pewny siebie akapit. Wyciągnij konkretne klauzule i zanotuj, jakie kategorie wymieniają. Następnie porównaj tę listę z zapisami, które tworzy twoje własne użytkowanie, bo tylko ta część wspólna ciebie dotyczy.
| Record type | Who tends to hold it | What the country label settles |
|---|---|---|
| Signup email and account metadata | Contracting entity or its identity provider | Nothing about retention |
| Payment instrument | Processor, reseller, or bank | Little; another company may answer first |
| Support attachments | Support desk, in-house or outsourced | Whether the desk belongs to the same entity |
| Tunnel connection records | Operator, if collected at all | Only whether collection is claimed |
| Device and app identifiers | App vendor | Which policy covers the app, not the tunnel |
Zwykle dwa wiersze rozstrzygają praktyczne pytanie. Załączniki do pomocy technicznej i dane płatności istnieją, bo sam je dostarczyłeś, więc przetrwają nawet wtedy, gdy dostawca twierdzi, że w ogóle nie loguje. Zapisy połączeń to kategoria sporna, a dostawca utrzymujący, że ich nie przechowuje, powinien umieć opisać, jak jego rozliczenia i obsługa nadużyć unikają ich tworzenia.
Zostaw nieznaną komórkę pustą w notatkach, zamiast pozwolić, by wypełniła ją odpowiedź obok. Pusta komórka jest uczciwsza niż domysł zaimportowany z kraju wyjściowego.
Przedstaw wszystkie trzy warunki dostawcy na piśmie
Zapytaj, który podmiot otrzymuje postępowanie prawne, jakie kategorie ten podmiot może pozyskać, nie pytając nikogo innego, oraz jak jego raportowanie przejrzystości liczy wnioski, których odmawia lub na które nie może odpowiedzieć. Zapytaj o te trzy w jednej wiadomości, aby odpowiedzi można było porównać. Odpowiedź, która dotyczy kraju, ale nie podmiotu, albo podmiotu, ale nie kategorii, odpowiedziała na pytanie, którego nie zadałeś. Cisza w jednym warunku jest sama w sobie ustaleniem.
Zastosuj te same warunki do prawa, na którym się opierasz. Obowiązek ujawnienia napisany dla konkretnego rozdziału wiąże dostawców objętych tym rozdziałem, a jego sformułowanie terytorialne mówi o tym, gdzie leżą zapisy, a nie o tym, która spółka musi odpowiedzieć. Pewne siebie podsumowanie, w tym to, traktuj jako powód, by przeczytać tekst, który rządzi twoim dostawcą.
Zapisz podmiot, kategorie i przepis, który sprawdziłeś, i opatrz notatkę datą. Taki zapis przetrwa zmiany marki i przepisany marketing, i daje prawnikowi lub audytorowi coś konkretnego na start, gdy pytanie przestaje być hipotetyczne.