A lei britânica obriga a sua VPN a guardar registos de navegação?

«Sediada no Reino Unido, por isso tem de guardar tudo» é um atalho comum, e compreende mal o mecanismo. A Parte 4 da Lei dos Poderes de Investigação funciona através de notificações de retenção entregues a operadores de telecomunicações, e o código de práticas do Home Office para esse regime diz a posição sem rodeios: um operador não é obrigado a conservar dados de comunicações a menos que lhe tenha sido entregue uma notificação. Se o seu fornecedor tem uma é um facto sobre esse fornecedor, não sobre o país no rodapé.

Essa única frase também repõe a pergunta. Em vez de perguntar o que exige a lei britânica em geral, pergunte qual operador, qual categoria de dados e qual instrumento. Essas três respostas decidem quase tudo o resto. Tudo o que vem antes delas é um slogan.

A notificação é entregue, não se presume

No quadro que o código descreve, o Secretário de Estado entrega uma notificação de retenção, e o código estabelece como a necessidade e a proporcionalidade são consideradas juntamente com a aprovação de um comissário judicial. A notificação pode especificar os dados, os serviços e as soluções de retenção que abrange. É um instrumento com um âmbito, não uma obrigação de fundo que se cola a uma categoria de atividade.

Assim, uma declaração pública do fornecedor de que não recebeu qualquer notificação é uma afirmação com significado, e o silêncio do fornecedor não é prova em nenhum sentido. O código limita também a divulgação da existência ou do conteúdo de uma notificação, o que significa que um operador bem informado pode não conseguir dar-lhe a resposta limpa que deseja. Essa limitação não é uma lacuna; faz parte do desenho do regime. Pese a resposta em conformidade.

Leia a declaração pelo que é. Um relatório de transparência publicado que descreva pedidos recebidos é um documento diferente de uma notificação de retenção, e nenhum deles é um inventário completo dos dados que uma empresa guarda para os seus próprios fins.

O que conta como operador de telecomunicações

O código trata o conceito de forma ampla e dependente dos factos, e não exclui todos os serviços sobrepostos que por acaso correm sobre a rede de outra pessoa. Cobrar uma subscrição não resolve a classificação, e alojar tudo noutro país também não. É uma questão sobre as ligações do serviço ao Reino Unido, avaliada por quem esteja qualificado para o fazer.

O que pode fazer sem formação jurídica é deixar de tratar uma frase de marketing como especificação. «Sem registos» descreve uma política. Não descreve uma posição legal, e ambas podem ser verdadeiras ao mesmo tempo para um fornecedor que nada retém voluntariamente e nada recebeu por imposição.

Metadados não são o conteúdo da mensagem

O regime das notificações diz respeito a dados de comunicações, ou seja, quem, quando e como, e não o que foi dito. O conteúdo está sob poderes completamente diferentes, com autorização diferente. Juntar ambos em «registos completos» produz discussões que não se resolvem, porque as duas categorias têm vias legais separadas e muitas vezes prazos de retenção separados.

Esta distinção é também a prática para uma VPN. Um fornecedor pode guardar quase nada sobre o que enviou e ainda assim ter registos de conta, dados de pagamento, marcas temporais de ligação ou mensagens de apoio. São registos comerciais comuns, regidos pela política do fornecedor e pela lei de proteção de dados, não por uma notificação de retenção.

É por isso que uma afirmação sobre uma notificação não pode responder a uma pergunta sobre dados de conta. Dois instrumentos diferentes, dois conjuntos de limites diferentes.

Guarde dois registos, porque existem duas perguntas

Para o uso diário, anote as categorias que o fornecedor diz tratar, a finalidade, quem lhes pode aceder e quanto tempo duram. Inclua as pouco glamorosas: registos de faturação, pedidos de apoio, sinais de fraude, relatórios de falhas. Uma declaração sobre o tráfego do túnel não deve substituir as restantes.

Num pedido formal, preserve o documento e encaminhe-o para quem trata do processo legal, com a data de chegada. Pergunte que entidade e que serviço nomeia, que ação é exigida, quais são os prazos e que revisão ou recurso está disponível. Verifique os termos de confidencialidade antes de responder a perguntas de qualquer pessoa, incluindo de um jornalista.

Esses dois registos respondem a públicos diferentes. Um diz ao utilizador o que esperar; o outro diz ao advogado o que fazer esta semana.

Como comparar dois fornecedores sem se enganar

Peça uma política pública precisa, com âmbito, data e descrição das categorias que abrange. Depois verifique se a política distingue conteúdo de metadados, retenção voluntária de retenção imposta e a empresa operadora da sua empresa-mãe. As garantias vagas sobrevivem ao escrutínio precisamente porque nunca nomeiam uma categoria.

Trate a informação em falta como em falta, não como favorável. As restrições de divulgação do regime fazem com que «não recebemos nada» e «não podemos dizer» possam parecer idênticos do exterior, e uma comparação que pontua o silêncio como vitória está a medir o seu próprio otimismo.

O código de práticas do Home Office para o regime de notificações é o documento a ler antes de repetir qualquer afirmação sobre o que a Parte 4 exige. É mais longo do que uma publicação de blogue e consideravelmente mais cuidadoso.