Иностранный запрос данных приходит к американскому VPN-провайдеру

Приходит письмо от следователей другой страны с вопросом о клиенте, и вопрос на столе — к чему это кого-либо обязывает. Честный ответ: это зависит от трёх вещей — кто его получил, какие записи в нём названы и на какие полномочия он ссылается. Расположение одного VPN-сервера не отвечает ни на одно из этого. Как и общая готовность провайдера сотрудничать: это деловая позиция, а не правовой анализ.

Относитесь к письму как к началу оценки, а не как к выводу с печатью.

Письмо называет услугу, а не систему

Начните с определения юридического лица, получившего запрос, и услуги, к которой он относится. Бренд, приложение и компания, управляющая конкретным выходным сервером, могут быть тремя разными сторонами, и только одна из них хранит запрошенные записи. Затем сопоставьте запрос с системой, потому что записи аккаунта, метаданные соединений, адреса туннелей, тикеты поддержки и платёжные данные живут в разных местах с разными сроками хранения.

Разделяйте принуждение, разрешение и обязанность

Добровольный запрос, процедура, полученная через внутренний правовой механизм, и ордер, охваченный международным соглашением, — разные инструменты. Они несут разные обязательства и разные основания для возражения.

Министерство юстиции США описывает квалифицированные исполнительные соглашения как путь, по которому определённые иностранные ордеры могут направляться провайдерам на условиях соглашения. Это конкретный механизм, а не правило, что любая полиция где угодно может требовать любую запись VPN. Для охваченных американских услуг 18 USC 2702 отдельно регулирует добровольное раскрытие, отличая содержание сообщений от прочей информации о клиентах и перечисляя применимые исключения.

Готовность помочь, правовое разрешение помочь и правовая обязанность помочь — три отдельных вопроса, и пост в блоге провайдера обычно отвечает только на первый.

Определите, что означает IP клиента

Запрос об IP-адресе клиента нуждается в определении раньше, чем в ответе. Он может означать адрес источника, замеченный при подключении, общий публичный выход, которым пользуются многие клиенты, адрес туннеля, назначенный сеансу, или адрес, записанный при платёжном взаимодействии. Спросите, какое событие и какой временной интервал охватывает запрос, потому что ответ определяет, какая система будет опрошена.

Провайдер может хранить записи аккаунта, не храня историю просмотров, и это разные ответы на одно и то же предложение в письме.

Сначала сохраните, потом решайте

Если вы управляете услугой, сохраните исходный запрос и быстро передайте его тому, кто отвечает за юридическую проверку. Проверьте отправителя, запрошенное действие, объём, сроки и любые требования конфиденциальности по каналу, которому вы уже доверяете. Определите правовое основание и ответ, прежде чем что-либо раскрывать или менять настройку хранения. Изменение хранения, сделанное в спешке, само становится доказательством того, как услуга обращается с записями.

На что смотреть, когда вы клиент

Читайте описание провайдером обработки правовых запросов рядом с его политикой данных по категориям. Ищите идентифицируемое ответственное лицо и описанный процесс проверки.

Регистрация в одной стране с выходными серверами в другой не делает все иностранные запросы одинаковыми и не делает их все недействительными. Полезный вопрос — какие записи существуют, кто может до них добраться и какой процесс стоит между запросом и раскрытием. Провайдера, который может ответить на это ясно, легче оценить, чем того, кто отвечает лозунгом, и ответ ценнее страны выхода в списке.