Czy brytyjski VPN przechowuje historię przeglądania? Przeczytaj zawiadomienie
Obowiązek ustawowy i polityka produktu to dwa różne pytania. Sprawdź operatora, kategorię danych i dokument, zanim uwierzysz w jakiekolwiek twierdzenie o przechowywaniu.
Strona subskrypcji nie może odpowiedzieć na pytanie o przechowywanie, podobnie jak sam kraj rejestracji operatora. Ramy, które tu mają znaczenie, to część 4 ustawy o uprawnieniach śledczych, która działa poprzez zawiadomienia o przechowywaniu doręczane operatorom telekomunikacyjnym a nie poprzez ogólną zasadę, że każdy VPN przechowuje każdy zapis przeglądania. Czy twój dostawca jest objęty, i co musi przechowywać, to dwa odrębne pytania z dwiema odrębnymi odpowiedziami.
O co naprawdę pyta to pytanie
Ludzie zwykle mają na myśli, co mój dostawca trzyma na mój temat, podczas gdy prawo odpowiada, co ten operator musi przechowywać na podstawie doręczonego mu zawiadomienia. Te dwie rzeczy się pokrywają, ale nie są identyczne. Operator może trzymać dane z własnych powodów operacyjnych i nie przechowywać niczego dodatkowo na podstawie zawiadomienia, albo odwrotnie. Odpowiedzieć na jedno i wierzyć, że odpowiedziało się na drugie, to miejsce, w którym ta rozmowa najczęściej się rozjeżdża.
Zacznij od oddzielenia obowiązku ustawowego od zwykłej polityki produktu.
Potem oddziel kategorie. Dane telekomunikacyjne i treść komunikacji są traktowane inaczej, a sformułowanie pełne logi nie nazywa żadnego z nich. Lista tego, co jest zbierane, dlaczego, kto może do tego dotrzeć i jak długo żyje, mówi ci więcej niż jakikolwiek przymiotnik w twierdzeniu marketingowym.
Zakres: który operator, które dane, który dokument
Zawiadomienie o przechowywaniu dotyczy operatora, a ten termin obejmuje kategorię zależną od faktów, a nie uporządkowaną listę typów przedsiębiorstw. Pobieranie opłaty subskrypcyjnej nie rozstrzyga klasyfikacji w żadnym kierunku. Czy dana usługa się w niej mieści, to pytanie do wykwalifikowanego doradcy znającego rzeczywiste fakty.
Zawiadomienie określa też dane i ustalenia, a nie po prostu wszystko. Opublikowany kodeks postępowania opisuje stosowane testy, w tym konieczność i proporcjonalność, oraz rolę zatwierdzania przez komisarza sądowego. Przeczytaj ten mechanizm, zanim przeczytasz streszczenie, bo wyjaśnia, dlaczego dwaj dostawcy pod jedną ustawą mogą mieć bardzo różne obowiązki. Kodeks mówi też jasno, że reżim nie jest powszechnym nakazem przechowywania.
Trzymaj ten mechanizm osobno od podsłuchu, od ingerencji w urządzenia i od żądań dotyczących danych już posiadanych. Każdy ma własne warunki i własne zatwierdzenia.
Dwa rejestry, prowadzone osobno
W zwykłej działalności prowadź rejestr tego, co przetwarzasz, dlaczego, kto może uzyskać dostęp i jak długo to przechowujesz. Liczą się rejestry konta i wsparcia, wraz z wszystkim, co związane z tunelem, i nigdy nie wolno dopuścić, by oświadczenie o jednej kategorii domyślnie obejmowało pozostałe.
| Record | What it holds | Who owns it |
|---|---|---|
| Routine data inventory | Categories, purposes, access, retention period | Privacy or security owner |
| Formal demand file | Instrument, scope, deadlines, review path | Legal reviewer |
W przypadku formalnego żądania zachowaj dokument i bez zwłoki przekaż go odpowiedzialnemu recenzentowi.
Zapytaj, której podmiotu i której usługi dotyczy, jakiego działania wymaga, jakie terminy obowiązują i jaki przegląd istnieje. Sprawdź wszelkie ograniczenia poufności przed publikacją lub omówieniem, ponieważ kodeks zawiera ograniczenia w ujawnianiu istnienia lub treści zawiadomienia. Te ograniczenia należą do procedury postępowania, a nie do późniejszej refleksji.
Co polityka publiczna może ci powiedzieć, a czego nie
Porównując dostawców, szukaj precyzyjnej polityki z oświadczeniem o zakresie, a nie uspokajającego zdania. Przydatna polityka wymienia przechowywane kategorie, okres przechowywania dla każdej z nich i podstawę prawną, na której się opiera. Podaje też, który podmiot jest stroną umowy, ponieważ marka i jej spółka operacyjna nie zawsze są tym samym. Niejasne uspokojenie i niejasny alarm są równie nieinformacyjne.
Brak opublikowanych zawiadomień też nie jest inwentarzem technicznym, ponieważ ograniczenia ujawniania mogą uniemożliwić operatorowi potwierdzenie jednego.
Traktuj opublikowany kodeks jako ramy, a dokumenty własnego dostawcy jako twierdzenie, które należy wobec niego sprawdzić. Tam, gdzie oba się nie spotykają, zadaj pisemne pytanie, które wymienia kategorię danych i okres przechowywania. Odpowiedź albo odmowa odpowiedzi jest warta więcej niż kolejny wątek na forum o tym, czego rzekomo wymaga jakiś kraj.