Înregistrări, păstrare sau jurnalizare viitoare: care cerere?
O cerere pentru înregistrări deja deținute, o somație de păstrare și un ordin de colectare viitoare sunt trei operațiuni. Citiți mai întâi pe care o autorizează documentul.
Un titlu spune că un furnizor de VPN a fost obligat să predea înregistrări, iar firul de comentarii concluzionează că acum fiecare VPN trebuie să jurnalizeze. Documentul din spatele titlului poate fi cerut înregistrări care existau deja, poate fi rugat furnizorul să păstreze ce are până se obține o procedură ulterioară sau poate fi autorizat colectarea anumitor atribute în viitor. Sunt trei operațiuni diferite cu trei limite diferite. Citiți pe care o efectuează documentul înainte de a trage o concluzie.
Trei operațiuni numite citație
Cuvântul din titlu este de obicei o eroare de categorie, nu o minciună. O cerere pentru înregistrări existente, o somație de păstrare și o autorizare pentru colectare prospectivă ajung toate ca hârtii legale și nu sunt interschimbabile. Fiecare numește o acțiune diferită, un interval de timp diferit și un set diferit de destinatari. Citirea care se aplică durează un minut și previne majoritatea concluziilor greșite.
| Operation | What it asks for | What it does not do |
|---|---|---|
| Records request | Information already held by the provider | Create data that was never collected |
| Preservation | Keep existing records while process continues | Disclose them to the requester |
| Prospective collection | Capture specified attributes going forward | Read the contents of communications |
Tabelul este un ajutor de lectură, nu o taxonomie juridică, iar instrumentul concret contează. Clasificarea unui serviciu, jurisdicția sa și informațiile numite în document schimbă toate analiza, de aceea întrebarea utilă este întotdeauna "care operațiune, pe ce perioadă, pentru ce categorii".
Ce există deja este o altă întrebare
Pentru un exemplu din Statele Unite, 18 USC 2703 oferă căi diferite pentru comunicații și pentru evidențele clienților, iar subsecțiunea (c)(2) identifică anumite informații despre abonat obținabile printr-o procedură specificată. Nu spune că fiecare tip de informație este disponibil prin același instrument.
Acea distincție este cea la care o politică de confidențialitate nu poate răspunde pentru dumneavoastră. O declarație despre păstrarea istoricului de navigare poate să nu spună nimic despre o evidență de cont, o evidență de plată sau un tichet de asistență, pentru că sunt categorii diferite cu păstrare diferită.
Așadar citiți politica ca o listă de categorii, nu ca o singură promisiune. Întrebați ce înregistrări există, pentru cât timp și sub controlul cui, și tratați "nu ținem jurnale" ca o afirmație despre o categorie până când furnizorul spune altceva. Apoi întrebați ce categorie numește de fapt cererea. Discrepanța dintre aceste două răspunsuri este locul unde majoritatea dezbaterilor publice despre jurnalizarea VPN greșesc.
Păstrarea nu este dezvăluire
Păstrarea cere unui furnizor să păstreze probele pe care le deține deja până se obține o procedură ulterioară. Nu înmânează acele probe nimănui și nu creează un flux nou de înregistrări. Distincția se pierde ușor într-un rezumat care spune că furnizorul a fost "obligat să păstreze date".
Pentru persoana care citește știrea, asta înseamnă că o somație de păstrare nu este dovada că un furnizor și-a schimbat practicile de colectare. Pentru operatorul care primește una, înseamnă că obligația privește nedistrugerea unui lucru, ceea ce este o acțiune mult mai îngustă decât construirea unei conducte.
Ambele lecturi duc la aceeași regulă practică: înghețați starea relevantă și opriți modificarea ei până când o persoană calificată a examinat cererea. Ștergerea în grabă și colectarea în grabă sunt ambele moduri de a agrava situația. O notă scrisă despre ce exista la momentul sosirii cererii valorează mai mult decât orice reconstrucție ulterioară.
Colectarea viitoare are propria autoritate
Colectarea prospectivă este din nou un mecanism separat. În Statele Unite, ordinele de pen register și trap and trace în temeiul 18 USC 3123 privesc autorizarea, atribute de comunicare specificate, asistența, perioadele de timp și nedivulgarea, în timp ce definițiile din secțiunea 3127 exclud conținutul comunicațiilor din acele categorii.
Acea excludere este partea pe care oamenii o ratează când concluzionează că un ordin autorizează citirea mesajelor. Categoria privește atributele, nu conținutul, iar legea este specifică cu privire la ce acoperă. Dacă o anumită cerere se încadrează în această limită este o întrebare pentru un avocat, nu pentru o postare pe blog.
Rezultă de asemenea că politica obișnuită de fără jurnale a unui furnizor nu este un scut juridic. O politică descrie ce se colectează implicit; o obligație descrie ce trebuie făcut în temeiul unui instrument valid. Ambele afirmații pot fi adevărate simultan și totuși pot intra în conflict în practică.
Ce trebuie făcut când sosește o cerere
Trimiteți documentul imediat revizorului responsabil și păstrați-l exact așa cum a fost primit, inclusiv antetele și anexele. Notați termenele, condițiile de confidențialitate și categoriile numite, pentru că aceste trei fapte determină tot ce urmează.
Nu compuneți o schimbare de colectare sau ștergere dintr-un rezumat online. Nu notificați utilizatorul afectat înainte de a verifica dacă se aplică nedivulgarea și nu presupuneți că se aplică fără a citi instrumentul.
Dacă alegeți un furnizor în loc să operați unul, citiți politica de date alături de raportul său de transparență și observați lacunele. Absența cererilor publicate nu este dovada că cerințele sunt imposibile tehnic, iar o politică publicată nu este dovada că nu există altă categorie.