Может ли зарубежный VPN-провайдер проигнорировать запрос данных из США?
Ярлык страны объясняет очень мало. Проследите договорное лицо, что оно может получить и где заканчивается ограниченный американский закон о раскрытии.
Ярлыки стран решают самый мелкий вопрос в юридическом деле провайдера. Три условия определяют, меняет ли что-то зарубежный адрес, когда приходит требование: связано ли им лицо, которое его получает, владеет ли это лицо записью или контролирует её, и какая категория записи попадает под требование. Ошибётесь хотя бы в одном — и ярлык украсит вывод, который вы не заработали.
Проходите их именно в этом порядке, потому что каждое может закончить анализ раньше, чем начнётся следующее. Дальше — карта должной осмотрительности, а не рейтинг стран, с одним строго ограниченным американским законом в качестве примера.
Начните с лица, названного в договоре
Клиентское соглашение называет лицо, и именно это лицо несёт отношения с вами. Бренд на сайте может принадлежать материнской компании, туннель может обслуживать дочерняя структура, а биллинг — находиться у реселлера или платёжного процессора, зарегистрированного совсем в другом месте. Попросите юридическое название и регистрационный номер, напечатанные в счёте, а затем спросите, какая из этих организаций отвечает на повестку. Общий логотип не объясняет ничего из этого.
Пока работаете, разделяйте четыре места: где зарегистрирована компания, куда указывают выходные адреса, где физически стоит оборудование и где обрабатываются данные аккаунта. Утверждение, которое решает одно из них, не решает остальные три, а провайдер, отвечающий только на самый простой вопрос, подсказывает, где искать дальше.
Владение, хранение или контроль важнее географии
Ограниченный американский пример делает различие конкретным. 18 USC 2713 требует от провайдеров, охваченных этой главой, сохранять и раскрывать сообщения и записи клиентов, находящиеся в их владении, хранении или под их контролем, и его текст не зависит от того, лежат эти записи внутри страны или за её пределами. Обязанность прикрепляется к лицам и категориям записей, до которых закон действительно достаёт, а это более узкий набор, чем любой провайдер, рекламирующий зарубежный адрес.
Опись отвечает на большее, чем лозунг. Провайдер, который действительно не хранит записи соединений, в этой категории ничего не должен сохранять, но тот же провайдер всё ещё может держать регистрационную почту, платёжный токен и вложения поддержки, которые прямо попадают в обязанность. Приняв ответ о логировании, не спросив, что ещё существует, вы оставляете большую часть дела неисследованной. Запрос данных редко упирается только в туннель.
Важно, кто может получить запись, а не на каком континенте стоит диск, и лицо, которое может её получить, — это лицо, которое нужно изучать. Страница со списком стран выхода отвечает на другой вопрос.
Соотнесите категорию записи с тем, что вы передали
Язык хранения обычно пишется по категориям, а общая страница конфиденциальности размывает его в один уверенный абзац. Вытяните конкретные пункты и отметьте, какие категории они называют. Затем сравните этот список с записями, которые создаёт ваше собственное использование, потому что вас касается только пересечение.
| Record type | Who tends to hold it | What the country label settles |
|---|---|---|
| Signup email and account metadata | Contracting entity or its identity provider | Nothing about retention |
| Payment instrument | Processor, reseller, or bank | Little; another company may answer first |
| Support attachments | Support desk, in-house or outsourced | Whether the desk belongs to the same entity |
| Tunnel connection records | Operator, if collected at all | Only whether collection is claimed |
| Device and app identifiers | App vendor | Which policy covers the app, not the tunnel |
Обычно две строки решают практический вопрос. Вложения поддержки и платёжные данные существуют потому, что вы их предоставили, поэтому они сохраняются даже тогда, когда провайдер заявляет, что вообще не ведёт логов. Записи соединений — спорная категория, и провайдер, утверждающий, что их не хранит, должен уметь описать, как его биллинг и работа с злоупотреблениями избегают их создания.
Оставьте неизвестную ячейку в заметках пустой, а не позволяйте соседнему ответу её заполнить. Пустая ячейка честнее догадки, привезённой из страны выхода.
Изложите все три условия провайдеру письменно
Спросите, какое лицо получает юридические процедуры, какие категории это лицо может получить, ни у кого больше не спрашивая, и как его отчётность о прозрачности считает запросы, в которых он отказывает или на которые не может ответить. Задайте все три в одном сообщении, чтобы ответы можно было сравнить. Ответ, который говорит о стране, но не о лице, или о лице, но не о категории, ответил на вопрос, которого вы не задавали. Молчание по одному условию само по себе является находкой.
Примените те же условия к закону, на который вы опираетесь. Обязанность раскрытия, написанная для определённой главы, связывает провайдеров, которых эта глава охватывает, а её территориальная формулировка говорит о том, где лежат записи, а не о том, какая компания должна отвечать. Считайте уверенное резюме, включая это, поводом прочитать текст, который регулирует вашего провайдера.
Запишите лицо, категории и норму, которую вы проверили, и поставьте дату на заметке. Такая запись переживает ребрендинги и переписанный маркетинг и даёт юристу или аудитору конкретную отправную точку, когда вопрос перестаёт быть гипотетическим.