Te obligă legea britanică VPN-ul să păstreze jurnale de navigare?

„Cu sediul în Regatul Unit, deci trebuie să păstreze tot” este o scurtătură obișnuită și înțelege greșit mecanismul. Partea 4 din Legea privind puterile de investigare funcționează prin notificări de păstrare emise operatorilor de telecomunicații, iar codul de practică al Home Office pentru acest regim spune poziția fără echivoc: un operator nu este obligat să păstreze date de comunicații decât dacă i s-a emis o notificare. Dacă furnizorul tău are una este un fapt despre acel furnizor, nu despre țara din subsolul paginii.

Acea singură propoziție reformulează și întrebarea. În loc să întrebi ce cere legea britanică în general, întreabă care operator, care categorie de date și care instrument. Cele trei răspunsuri decid aproape tot restul. Tot ce vine înaintea lor este un slogan.

Notificarea se emite, nu se presupune

În cadrul descris de cod, secretarul de stat emite o notificare de păstrare, iar codul stabilește cum sunt analizate necesitatea și proporționalitatea împreună cu aprobarea unui comisar judiciar. Notificarea poate specifica datele, serviciile și soluțiile de păstrare pe care le acoperă. Este un instrument cu o sferă, nu o obligație de fundal care se atașează unei categorii de afaceri.

Așadar, o declarație publică a furnizorului că nu a primit nicio notificare este o afirmație semnificativă, iar tăcerea furnizorului nu este dovadă în niciun sens. Codul restricționează și divulgarea existenței sau a conținutului unei notificări, ceea ce înseamnă că un operator bine informat poate să nu poată oferi răspunsul curat pe care îl dorești. Această restricție nu este o scăpare; face parte din proiectarea regimului. Cântărește răspunsul în consecință.

Citește declarația pentru ce este. Un raport de transparență publicat care descrie cererile primite este un document diferit de o notificare de păstrare, iar niciunul nu este un inventar complet al datelor pe care o companie le păstrează în scopuri proprii.

Ce se califică drept operator de telecomunicații

Codul tratează conceptul larg și în funcție de fapte și nu exclude fiecare serviciu suprapus care rulează din întâmplare pe rețeaua altcuiva. Taxarea unui abonament nu rezolvă clasificarea și nici găzduirea tuturor lucrurilor în altă țară. Este o întrebare despre legăturile serviciului cu Regatul Unit, evaluată de cineva calificat.

Ce poți face fără pregătire juridică este să nu mai tratezi o frază de marketing drept specificație. „Fără jurnale” descrie o politică. Nu descrie o poziție legală, iar ambele pot fi adevărate simultan pentru un furnizor care nu păstrează nimic voluntar și nu a primit nimic obligatoriu.

Metadatele nu sunt conținutul mesajului

Regimul notificărilor privește datele de comunicații, adică cine, când și cum, nu ce s-a spus. Conținutul se află sub puteri complet diferite, cu o autorizare diferită. Punerea ambelor în „jurnale complete” produce dispute care nu pot fi rezolvate, pentru că cele două categorii au rute legale separate și adesea perioade de păstrare separate.

Această distincție este și cea practică pentru un VPN. Un furnizor poate păstra aproape nimic despre ce ai trimis, dar poate avea în continuare evidențe de cont, date de plată, momente de conectare sau mesaje de asistență. Acestea sunt evidențe comerciale obișnuite, guvernate de politica furnizorului și de legea protecției datelor, nu de o notificare de păstrare.

De aceea o afirmație despre o notificare nu poate răspunde la o întrebare despre datele de cont. Două instrumente diferite, două seturi diferite de limite.

Ține două evidențe, pentru că există două întrebări

Pentru uzul zilnic, notează categoriile pe care furnizorul spune că le prelucrează, scopul, cine are acces și cât durează. Include-le pe cele ne spectaculoase: evidențe de facturare, tichete de asistență, semnale de fraudă, rapoarte de eroare. O declarație despre traficul tunelului nu ar trebui să țină locul restului.

Pentru o cerere formală, păstrează documentul și trimite-l celui care se ocupă de procesul legal, cu data la care a sosit. Întreabă ce entitate și ce serviciu numește, ce acțiune este cerută, care sunt termenele și ce revizuire sau cale de atac este disponibilă. Verifică termenii de confidențialitate înainte de a răspunde întrebărilor oricui, inclusiv ale unui jurnalist.

Cele două evidențe răspund unor publicuri diferite. Una îi spune utilizatorului la ce să se aștepte; cealaltă îi spune avocatului ce să facă săptămâna aceasta.

Cum compari doi furnizori fără să te păcălești

Cere o politică publică precisă, cu sferă, dată și descrierea categoriilor pe care le acoperă. Apoi verifică dacă politica distinge conținutul de metadate, păstrarea voluntară de cea impusă și compania operațională de societatea-mamă. Asigurările vagi trec de examinare tocmai pentru că nu numesc niciodată o categorie.

Tratează informația lipsă ca lipsă, nu ca favorabilă. Restricțiile de divulgare ale regimului fac ca „nu am primit nimic” și „nu putem spune” să poată arăta identic din exterior, iar o comparație care punctează tăcerea ca victorie îți măsoară propriul optimism.

Codul de practică al Home Office pentru regimul notificărilor este documentul de citit înainte de a repeta orice afirmație despre ce cere Partea 4. Este mai lung decât o postare de blog și considerabil mai atent.