Um pedido estrangeiro de dados chega a um fornecedor de VPN dos EUA

Chega uma carta de investigadores de outro país a perguntar por um cliente, e a questão em cima da mesa é a que obriga alguém. A resposta honesta é que depende de três coisas: quem a recebeu, que registos nomeia e que autoridade invoca. A localização de um servidor VPN não responde a nenhuma delas. Nem a disponibilidade geral do fornecedor para cooperar, que é uma postura comercial e não uma análise jurídica.

Trate a carta como o início de uma avaliação, não como uma conclusão com um selo.

A carta nomeia um serviço, não um sistema

Comece por identificar a entidade jurídica que recebeu o pedido e o serviço a que diz respeito. Uma marca, uma aplicação e a empresa que opera um determinado servidor de saída podem ser três partes diferentes, e só uma delas detém os registos pedidos. Depois situe o pedido num sistema, porque os registos da conta, os metadados de ligação, os endereços do túnel, os bilhetes de apoio e os dados de pagamento vivem em locais diferentes com retenções diferentes.

Separe a coação, a permissão e o dever

Um pedido voluntário, um procedimento obtido através de um mecanismo jurídico interno e uma ordem abrangida por um acordo internacional são instrumentos diferentes. Transportam obrigações diferentes e fundamentos de oposição diferentes.

O Departamento de Justiça dos EUA descreve os acordos executivos qualificados como uma via para que determinadas ordens estrangeiras sejam dirigidas aos fornecedores nas condições do acordo. Trata-se de um mecanismo específico, não de uma regra segundo a qual qualquer polícia em qualquer lugar possa exigir qualquer registo de VPN. Para os serviços americanos abrangidos, 18 USC 2702 regula separadamente a divulgação voluntária, distinguindo o conteúdo das comunicações das demais informações dos clientes e enumerando as exceções aplicáveis.

A disponibilidade para ajudar, a permissão legal para ajudar e o dever legal de ajudar são três questões distintas, e o artigo de blogue de um fornecedor costuma responder apenas à primeira.

Defina o que significa o IP do cliente

Um pedido do endereço IP do cliente precisa de uma definição antes de precisar de uma resposta. Pode significar o endereço de origem observado no momento da ligação, uma saída pública partilhada usada por muitos clientes, o endereço do túnel atribuído a uma sessão ou um endereço registado durante uma interação de faturação. Pergunte que evento e que intervalo de tempo o pedido abrange, porque a resposta decide que sistema é consultado.

Um fornecedor pode ter registos da conta sem ter histórico de navegação, e essas são respostas diferentes para a mesma frase da carta.

Primeiro preserve, depois decida

Se opera o serviço, conserve o pedido original e encaminhe-o rapidamente para quem tem a revisão jurídica. Verifique o remetente, a ação pedida, o âmbito, os prazos e qualquer requisito de confidencialidade através de um canal em que já confia. Decida a base jurídica e a resposta antes de divulgar seja o que for ou de alterar uma configuração de retenção. Uma alteração de retenção feita à pressa torna-se ela própria prova de como o serviço trata os registos.

O que observar quando é o cliente

Leia a descrição do fornecedor sobre o tratamento de pedidos legais ao lado da sua política de dados específica por categoria. Procure uma entidade responsável identificável e um processo de revisão descrito.

A constituição num país com servidores de saída noutro não torna todos os pedidos estrangeiros iguais, nem os torna todos inválidos. A pergunta útil é que registos existem, quem lhes pode chegar e que processo está entre um pedido e uma divulgação. Um fornecedor que consiga responder a isso com clareza é mais fácil de avaliar do que um que responde com um slogan, e a resposta vale mais do que o país de saída na listagem.