Záznamy, uchovávanie alebo budúce logovanie: ktorá žiadosť?
Žiadosť o už existujúce záznamy, príkaz na uchovanie a príkaz na budúce zhromažďovanie sú tri operácie. Najprv si prečítajte, ktorú dokument povoľuje.
Titulok hovorí, že poskytovateľovi VPN bolo nariadené vydať záznamy, a diskusia pod článkom uzatvára, že každá VPN teraz musí logovať. Dokument za titulkom mohol žiadať záznamy, ktoré už existovali, mohol poskytovateľa požiadať, aby si ponechal to, čo má, kým sa nezíska ďalší proces, alebo povolil zber určených atribútov do budúcnosti. Sú to tri rôzne operácie s tromi rôznymi limitmi. Prečítajte si, ktorú z nich dokument vykonáva, skôr než urobíte záver.
Tri operácie, ktoré nazývajú predvolanie
Slovo v titulku je zvyčajne kategorická chyba, nie lož. Žiadosť o existujúce záznamy, príkaz na uchovanie a povolenie prospektívneho zberu prichádzajú ako právne papiere a nie sú zameniteľné. Každá pomenúva inú činnosť, iné časové rozpätie a iný súbor príjemcov. Prečítanie, ktorá platí, zaberie minútu a zabráni väčšine zlých záverov.
| Operation | What it asks for | What it does not do |
|---|---|---|
| Records request | Information already held by the provider | Create data that was never collected |
| Preservation | Keep existing records while process continues | Disclose them to the requester |
| Prospective collection | Capture specified attributes going forward | Read the contents of communications |
Táto tabuľka je čitateľská pomôcka, nie právna taxonómia, a rozhoduje konkrétny nástroj. Klasifikácia služby, jej jurisdikcia a informácie uvedené v dokumente menia analýzu, preto je užitočná otázka vždy "ktorá operácia, za aké obdobie, pre ktoré kategórie".
To, čo už existuje, je iná otázka
Pre príklad zo Spojených štátov 18 USC 2703 ponúka rôzne cesty pre komunikácie a pre záznamy zákazníkov a pododdiel (c)(2) určuje určité informácie o účastníkoch, ktoré možno získať stanoveným postupom. Nepovedá, že každý druh informácie je dostupný tým istým nástrojom.
To je rozdiel, na ktorý vám politika súkromia nemôže odpovedať. Vyhlásenie o uchovávaní histórie prehliadania nemusí hovoriť nič o zázname účtu, platobnom zázname alebo tikete podpory, pretože to sú rôzne kategórie s rôznym uchovávaním.
Čítajte teda politiku ako zoznam kategórií, nie ako jediný sľub. Pýtajte sa, ktoré záznamy existujú, ako dlho a pod čou kontrolou, a berte "nevedieme žiadne logy" ako tvrdenie o jednej kategórii, kým poskytovateľ nepovie inak. Potom sa pýtajte, ktorú kategóriu žiadosť naozaj pomenúva. Nesúlad medzi týmito dvoma odpoveďami je miesto, kde sa väčšina verejných sporov o logovanie VPN pokazí.
Uchovávanie nie je zverejnenie
Uchovávanie žiada poskytovateľa, aby si ponechal dôkazy, ktoré už má, kým sa nezíska ďalší proces. Nikomu ich neodovzdáva a nevytvára nový tok záznamov. Tento rozdiel sa ľahko stratí v zhrnutí, ktoré hovorí, že poskytovateľ bol "nariadený uchovávať údaje".
Pre človeka, ktorý číta správu, to znamená, že príkaz na uchovanie nie je dôkazom, že poskytovateľ zmenil svoje postupy zberu. Pre operátora, ktorý ho dostane, to znamená, že povinnosť sa týka toho niečo nezničiť, čo je oveľa užšia činnosť než budovanie potrubia.
Obe čítania vedú k rovnakému praktickému pravidlu: zmrazte príslušný stav a prestaňte ho meniť, kým žiadosť nepreskúma kvalifikovaná osoba. Urýchlene mazať a urýchlene zbierať sú dva spôsoby, ako situáciu zhoršiť. Písomná poznámka o tom, čo existovalo v čase doručenia požiadavky, má väčšiu cenu než akákoľvek neskoršia rekonštrukcia.
Budúci zber má vlastnú právomoc
Prospektívny zber je opäť samostatný mechanizmus. V Spojených štátoch sa príkazy pen register a trap and trace podľa 18 USC 3123 zaoberajú povolením, určenými atribútmi komunikácie, pomocou, časovými obdobiami a nezverejnením, zatiaľ čo definície v § 3127 vylučujú obsah komunikácie z týchto kategórií.
Toto vylúčenie je časť, ktorú ľudia prehliadnu, keď usúdia, že príkaz povoľuje čítanie správ. Kategória sa týka atribútov, nie obsahu, a zákon je konkrétny v tom, čo pokrýva. Či konkrétna žiadosť spadá do tejto hranice, je otázka pre právnika, nie pre blogový príspevok.
Z toho tiež vyplýva, že bežná politika bez logov nie je právny štít. Politika opisuje, čo sa zbiera predvolene; povinnosť opisuje, čo sa musí urobiť podľa platného nástroja. Obe tvrdenia môžu byť pravdivé súčasne a napriek tomu si v praxi odporovať.
Čo robiť, keď žiadosť dorazí
Okamžite postúpte dokument zodpovednému recenzentovi a uchovajte ho presne tak, ako bol doručený, vrátane hlavičiek a príloh. Poznamenajte si lehoty, podmienky mlčanlivosti a uvedené kategórie, pretože tieto tri skutočnosti určujú všetko, čo nasleduje.
Nezostavujte zmenu zberu ani mazania z online zhrnutia. Neoznamujte dotknutému používateľovi, kým ste neoverili, či sa uplatňuje nezverejnenie, a nepredpokladajte, že sa uplatňuje, bez prečítania nástroja.
Ak poskytovateľa vyberáte, a nie prevádzkujete, prečítajte si dátovú politiku vedľa jeho správy o transparentnosti a všimnite si medzery. Neprítomnosť zverejnených žiadostí nie je dôkazom, že požiadavky sú technicky nemožné, a zverejnená politika nie je dôkazom, že neexistuje iná kategória.