Rejestry, zachowanie czy przyszłe logowanie: które żądanie?
Żądanie już posiadanych rejestrów, nakaz zachowania i nakaz przyszłego zbierania to trzy operacje. Najpierw przeczytaj, którą dokument dopuszcza.
Nagłówek mówi, że dostawca VPN został zobowiązany do wydania rejestrów, a komentarze wnioskują, że teraz każdy VPN musi logować. Dokument za nagłówkiem mógł żądać rejestrów, które już istniały, prosić dostawcę o zachowanie tego, co ma, do czasu uzyskania dalszej procedury, albo zezwalać na zbieranie określonych atrybutów na przyszłość. To trzy różne operacje o trzech różnych granicach. Przeczytaj, którą wykonuje dokument, zanim wyciągniesz wniosek.
Trzy operacje nazywane wezwaniem
Słowo w nagłówku to zwykle błąd kategorii, a nie kłamstwo. Żądanie istniejących rejestrów, nakaz zachowania i zezwolenie na zbieranie prospektywne przychodzą jako papiery prawne i nie są wymienne. Każde nazywa inną czynność, inny zakres czasowy i inny zestaw odbiorców. Przeczytanie, które obowiązuje, zajmuje minutę i zapobiega większości złych wniosków.
| Operation | What it asks for | What it does not do |
|---|---|---|
| Records request | Information already held by the provider | Create data that was never collected |
| Preservation | Keep existing records while process continues | Disclose them to the requester |
| Prospective collection | Capture specified attributes going forward | Read the contents of communications |
Ta tabela to pomoc w czytaniu, nie taksonomia prawna, i liczy się konkretny instrument. Klasyfikacja usługi, jej jurysdykcja i informacje wymienione w dokumencie zmieniają analizę, dlatego użyteczne pytanie zawsze brzmi "która operacja, za jaki okres, dla których kategorii".
To, co już istnieje, to inne pytanie
Dla przykładu ze Stanów Zjednoczonych 18 USC 2703 przewiduje różne drogi dla komunikacji i dla rejestrów klientów, a podsekcja (c)(2) wskazuje pewne informacje o abonentach dostępne w określonej procedurze. Nie mówi, że każdy rodzaj informacji jest dostępny tym samym instrumentem.
To rozróżnienie jest tym, na które polityka prywatności nie może odpowiedzieć za ciebie. Oświadczenie o zachowywaniu historii przeglądania może nic nie mówić o rekordzie konta, rekordzie płatności czy zgłoszeniu do pomocy, bo to różne kategorie o różnym zachowaniu.
Czytaj więc politykę jako listę kategorii, a nie jako jedną obietnicę. Pytaj, jakie rejestry istnieją, jak długo i pod czyją kontrolą, i traktuj "nie prowadzimy żadnych logów" jako twierdzenie o jednej kategorii, dopóki dostawca nie powie inaczej. Potem pytaj, którą kategorię żądanie faktycznie nazywa. Rozbieżność między tymi dwiema odpowiedziami to miejsce, w którym większość publicznych debat o logowaniu VPN idzie źle.
Zachowanie nie jest ujawnieniem
Zachowanie prosi dostawcę o przechowanie dowodów, które już posiada, do czasu uzyskania dalszej procedury. Nie przekazuje tych dowodów nikomu i nie tworzy nowego strumienia rejestrów. To rozróżnienie łatwo zgubić w podsumowaniu, które mówi, że dostawca został "zobowiązany do przechowywania danych".
Dla osoby czytającej wiadomość oznacza to, że nakaz zachowania nie jest dowodem, iż dostawca zmienił praktyki zbierania. Dla operatora, który go otrzymuje, oznacza, że obowiązek dotyczy nieniszczenia czegoś, co jest znacznie węższą czynnością niż budowa rurociągu.
Oba odczytania prowadzą do tej samej praktycznej reguły: zamroź właściwy stan i przestań go zmieniać, dopóki wykwalifikowana osoba nie przejrzy żądania. Pośpieszne usuwanie i pośpieszne zbieranie to dwa sposoby pogorszenia sytuacji. Pisemna notatka o tym, co istniało w chwili nadejścia żądania, jest warta więcej niż jakakolwiek późniejsza rekonstrukcja.
Przyszłe zbieranie ma własne upoważnienie
Zbieranie prospektywne to znów odrębny mechanizm. W Stanach Zjednoczonych nakazy pen register i trap and trace na podstawie 18 USC 3123 dotyczą upoważnienia, określonych atrybutów komunikacji, pomocy, terminów i nieujawniania, a definicje w artykule 3127 wyłączają treść komunikacji z tych kategorii.
To wyłączenie jest częścią, którą ludzie pomijają, gdy wnioskują, że nakaz pozwala czytać wiadomości. Kategoria dotyczy atrybutów, nie treści, a ustawa jest konkretna co do tego, co obejmuje. Czy dane żądanie mieści się w tej granicy, to pytanie do prawnika, a nie do wpisu na blogu.
Wynika z tego także, że zwykła polityka braku logów nie jest prawną tarczą. Polityka opisuje, co jest zbierane domyślnie; obowiązek opisuje, co trzeba zrobić na podstawie ważnego instrumentu. Oba twierdzenia mogą być równocześnie prawdziwe i nadal kłócić się w praktyce.
Co zrobić, gdy żądanie nadchodzi
Natychmiast przekaż dokument odpowiedzialnemu recenzentowi i zachowaj go dokładnie tak, jak go otrzymano, wraz z nagłówkami i załącznikami. Zanotuj terminy, warunki poufności i nazwane kategorie, bo te trzy fakty decydują o wszystkim, co następuje.
Nie składaj zmiany zbierania ani usuwania na podstawie internetowego podsumowania. Nie powiadamiaj dotkniętego użytkownika, zanim nie sprawdzisz, czy obowiązuje nieujawnianie, i nie zakładaj, że obowiązuje, bez przeczytania instrumentu.
Jeśli wybierasz dostawcę, a nie go prowadzisz, przeczytaj politykę danych obok jego raportu o przejrzystości i zauważ luki. Brak opublikowanych żądań nie jest dowodem, że wymagania są technicznie niemożliwe, a opublikowana polityka nie jest dowodem, że nie istnieje inna kategoria.