O cerere străină de date ajunge la un furnizor de VPN din SUA
O cerere transfrontalieră depinde de destinatar, de înregistrările numite și de autoritatea invocată. Permisiunea de a divulga nu este același lucru cu obligația de a divulga.
Sosește o scrisoare de la anchetatori dintr-o altă țară care întreabă despre un client, iar întrebarea pe masă este la ce obligă pe cineva. Răspunsul onest este că depinde de trei lucruri: cine a primit-o, ce înregistrări numește și ce autoritate invocă. Locația unui singur server VPN nu răspunde la niciuna dintre ele. Nici disponibilitatea generală a furnizorului de a coopera, care este o poziție comercială și nu o analiză juridică.
Tratați scrisoarea ca începutul unei evaluări, nu ca o concluzie cu ștampilă.
Scrisoarea numește un serviciu, nu un sistem
Începeți prin a identifica entitatea juridică ce a primit cererea și serviciul la care se referă. Un brand, o aplicație și compania care operează un anumit server de ieșire pot fi trei părți diferite, iar doar una dintre ele deține înregistrările cerute. Apoi mapați cererea pe un sistem, pentru că înregistrările contului, metadatele conexiunii, adresele tunelului, tichetele de asistență și detaliile de plată se află în locuri diferite cu perioade de păstrare diferite.
Separați constrângerea, permisiunea și obligația
O cerere voluntară, o procedură obținută printr-un mecanism juridic intern și un ordin acoperit de un acord internațional sunt instrumente diferite. Ele poartă obligații diferite și motive de opoziție diferite.
Departamentul de Justiție al SUA descrie acordurile executive calificate ca o cale prin care anumite ordine străine pot fi adresate furnizorilor în condițiile acordului. Acesta este un mecanism specific, nu o regulă că orice poliție oriunde poate solicita orice înregistrare VPN. Pentru serviciile americane acoperite, 18 USC 2702 reglementează separat divulgarea voluntară, distingând conținutul comunicațiilor de celelalte informații despre clienți și enumerând excepțiile aplicabile.
Disponibilitatea de a ajuta, permisiunea legală de a ajuta și obligația legală de a ajuta sunt trei întrebări separate, iar articolul de blog al unui furnizor răspunde de obicei doar la prima.
Definiți ce înseamnă IP-ul clientului
O cerere pentru adresa IP a clientului are nevoie de o definiție înainte de a avea nevoie de un răspuns. Poate însemna adresa sursă observată la momentul conexiunii, o ieșire publică partajată folosită de mulți clienți, adresa tunelului atribuită unei sesiuni sau o adresă înregistrată în timpul unei interacțiuni de facturare. Întrebați ce eveniment și ce interval de timp acoperă cererea, pentru că răspunsul decide ce sistem este interogat.
Un furnizor poate deține înregistrări ale contului fără a deține istoricul de navigare, iar acestea sunt răspunsuri diferite la aceeași frază din scrisoare.
Mai întâi conservați, apoi decideți
Dacă operați serviciul, păstrați cererea originală și trimiteți-o rapid celui care are revizuirea juridică. Verificați expeditorul, acțiunea cerută, sfera, termenele și orice cerință de confidențialitate printr-un canal în care aveți deja încredere. Decideți baza juridică și răspunsul înainte de a divulga ceva sau de a modifica o setare de păstrare. O modificare a păstrării făcută în grabă devine ea însăși dovadă despre modul în care serviciul tratează înregistrările.
La ce să vă uitați când sunteți clientul
Citiți descrierea furnizorului despre tratarea cererilor legale alături de politica sa de date specifică fiecărei categorii. Căutați o entitate responsabilă identificabilă și un proces de revizuire descris.
Înregistrarea într-o țară cu servere de ieșire în alta nu face toate cererile străine la fel și nu le face pe toate invalide. Întrebarea utilă este ce înregistrări există, cine poate ajunge la ele și ce proces stă între o cerere și o divulgare. Un furnizor care poate răspunde clar la asta este mai ușor de evaluat decât unul care răspunde cu un slogan, iar răspunsul valorează mai mult decât țara de ieșire din listă.