Zagraniczny wniosek o dane trafia do amerykańskiego dostawcy VPN

Przychodzi list od śledczych z innego kraju z pytaniem o klienta, a pytanie na stole brzmi, do czego to kogokolwiek zobowiązuje. Uczciwa odpowiedź: to zależy od trzech rzeczy — kto go otrzymał, jakie rejestry wymienia i na jaką podstawę się powołuje. Lokalizacja jednego serwera VPN nie odpowiada na żadne z nich. Podobnie ogólna gotowość dostawcy do współpracy, bo to postawa biznesowa, a nie analiza prawna.

Traktuj list jako początek oceny, a nie jako konkluzję z pieczątką.

List wymienia usługę, a nie system

Zacznij od ustalenia osoby prawnej, która otrzymała wniosek, oraz usługi, której on dotyczy. Marka, aplikacja i firma obsługująca konkretny serwer wyjściowy mogą być trzema różnymi stronami, a tylko jedna z nich ma żądane rejestry. Następnie przypisz wniosek do systemu, bo rejestry konta, metadane połączeń, adresy tuneli, zgłoszenia do pomocy i dane płatności znajdują się w różnych miejscach z różnymi okresami przechowywania.

Oddziel przymus, zgodę i obowiązek

Wniosek dobrowolny, procedura uzyskana w ramach krajowego mechanizmu prawnego i nakaz objęty porozumieniem międzynarodowym to różne instrumenty. Niosą różne obowiązki i różne podstawy sprzeciwu.

Departament Sprawiedliwości USA opisuje kwalifikowane porozumienia wykonawcze jako drogę, którą niektóre zagraniczne nakazy mogą być kierowane do dostawców na warunkach porozumienia. To konkretny mechanizm, a nie reguła, że każda policja w dowolnym miejscu może żądać dowolnego rejestru VPN. W przypadku objętych usług amerykańskich 18 USC 2702 odrębnie reguluje dobrowolne ujawnianie, odróżniając treść komunikacji od innych informacji o klientach i wymieniając mające zastosowanie wyjątki.

Gotowość do pomocy, prawne pozwolenie na pomoc i prawny obowiązek pomocy to trzy odrębne pytania, a wpis na blogu dostawcy zwykle odpowiada tylko na pierwsze.

Zdefiniuj, co oznacza IP klienta

Wniosek o adres IP klienta potrzebuje definicji, zanim potrzebuje odpowiedzi. Może oznaczać adres źródłowy zaobserwowany w momencie połączenia, współdzielone wyjście publiczne używane przez wielu klientów, adres tunelu przypisany do sesji lub adres zarejestrowany podczas interakcji rozliczeniowej. Zapytaj, którego zdarzenia i jakiego przedziału czasu dotyczy wniosek, bo odpowiedź decyduje, który system zostanie odpytywany.

Dostawca może mieć rejestry konta bez historii przeglądania, a to są różne odpowiedzi na to samo zdanie w liście.

Najpierw zabezpiecz, potem decyduj

Jeśli prowadzisz usługę, zachowaj oryginalny wniosek i szybko przekaż go osobie odpowiedzialnej za przegląd prawny. Zweryfikuj nadawcę, żądaną czynność, zakres, terminy i wszelkie wymogi poufności kanałem, któremu już ufasz. Zdecyduj o podstawie prawnej i odpowiedzi, zanim cokolwiek ujawnisz lub zmienisz ustawienie przechowywania. Zmiana przechowywania dokonana w pośpiechu sama staje się dowodem na to, jak usługa traktuje rejestry.

Na co patrzeć, gdy jesteś klientem

Czytaj opis dostawcy dotyczący obsługi wniosków prawnych obok jego polityki danych właściwej dla kategorii. Szukaj identyfikowalnego podmiotu odpowiedzialnego i opisanego procesu przeglądu.

Rejestracja w jednym kraju z serwerami wyjściowymi w innym nie czyni wszystkich zagranicznych wniosków takimi samymi ani nie czyni ich wszystkich nieważnymi. Użyteczne pytanie brzmi, jakie rejestry istnieją, kto może do nich dotrzeć i jaki proces stoi między wnioskiem a ujawnieniem. Dostawcę, który potrafi odpowiedzieć na to jasno, łatwiej ocenić niż tego, który odpowiada sloganem, a odpowiedź jest warta więcej niż kraj wyjściowy w zestawieniu.