Kan en utländsk VPN-leverantör strunta i en amerikansk dataförfrågan?
En landsetikett förklarar väldigt lite. Följ den avtalande enheten, vad den kan hämta ut och var en avgränsad amerikansk upplysningslag slutar.
Landsetiketter löser den minsta frågan i en leverantörs juridiska akt. Tre villkor avgör om en utländsk adress ändrar något när en begäran kommer: om enheten som tar emot den är bunden av den, om den enheten innehar eller kontrollerar uppgiften och vilken kategori av uppgifter begäran når. Får du fel på ett av dem pryder etiketten en slutsats du inte har förtjänat.
Arbeta igenom dem i den ordningen, eftersom var och en kan avsluta analysen innan nästa börjar. Det som följer är en karta för vederbörlig aktsamhet, inte en rangordning av länder, med en strikt avgränsad amerikansk lag som genomfört exempel.
Börja med enheten som namnges i avtalet
Kundavtalet namnger en enhet, och den enheten bär relationen till dig. Varumärket på webbplatsen kan tillhöra ett moderbolag, tunneln kan drivas av ett dotterbolag och faktureringen kan ligga hos en återförsäljare eller betalningsprocessor registrerad någon helt annanstans. Be om det juridiska namnet och organisationsnumret som tryckts på fakturan och fråga sedan vilken av dessa organisationer som svarar på en stämning. En delad logotyp förklarar inget av detta.
Håll fyra platser åtskilda medan du arbetar: var bolaget är registrerat, vart utgångsadresserna pekar, var hårdvaran faktiskt står och var kontouppgifterna behandlas. Ett påstående som avgör en av dem avgör inte de andra tre, och en leverantör som bara svarar på det enklaste berättar var du ska fortsätta leta.
Innehav, förvar eller kontroll slår geografi
Ett avgränsat amerikanskt exempel gör skillnaden konkret. 18 USC 2713 kräver att leverantörer som kapitlet omfattar bevarar och lämnar ut kundkommunikation och uppgifter som är i deras innehav, förvar eller kontroll, och texten hänger inte på om uppgifterna ligger inom landet eller utanför det. Skyldigheten fäster vid de enheter och kategorier av uppgifter som lagen faktiskt når, och det är en snävare mängd än varje leverantör som annonserar en utländsk adress.
En inventering svarar på mer än en slogan. En leverantör som verkligen inte sparar anslutningsuppgifter har inget att bevara i den kategorin, medan samma leverantör fortfarande kan sitta på en registreringsmejl, en betalningstoken och supportbilagor som faller rakt inom skyldigheten. Att acceptera ett svar om loggning utan att fråga vad mer som finns lämnar större delen av akten outredd. En dataförfrågan hänger sällan på tunneln ensam.
Det som spelar roll är vem som kan hämta en uppgift, inte vilken kontinent disken står på, och enheten som kan hämta den är enheten som ska granskas. En sida som listar utgångsländer svarar på en annan fråga.
Matcha kategorin av uppgifter mot det du själv lämnade
Lagringsspråket skrivs oftast per kategori, och en allmän integritetssida suddar ut det till ett självsäkert stycke. Plocka fram de konkreta klausulerna och notera vilka kategorier de namnger. Jämför sedan listan med de uppgifter som din egen användning skapar, eftersom bara överlappningen angår dig.
| Record type | Who tends to hold it | What the country label settles |
|---|---|---|
| Signup email and account metadata | Contracting entity or its identity provider | Nothing about retention |
| Payment instrument | Processor, reseller, or bank | Little; another company may answer first |
| Support attachments | Support desk, in-house or outsourced | Whether the desk belongs to the same entity |
| Tunnel connection records | Operator, if collected at all | Only whether collection is claimed |
| Device and app identifiers | App vendor | Which policy covers the app, not the tunnel |
Två rader avgör oftast den praktiska frågan. Supportbilagor och betaluppgifter finns eftersom du själv lämnade dem, så de överlever även när en leverantör hävdar att den inte loggar alls. Anslutningsuppgifter är den omtvistade kategorin, och en leverantör som hävdar att den inte sparar några bör kunna beskriva hur faktureringen och hanteringen av missbruk undviker att skapa dem.
Låt en okänd cell stå tom i dina anteckningar i stället för att låta svaret intill fylla den. En tom cell är ärligare än en gissning hämtad från utgångslandet.
Lägg fram alla tre villkoren för leverantören skriftligen
Fråga vilken enhet som tar emot rättsliga processer, vilka kategorier den enheten kan hämta utan att fråga någon annan och hur dess transparensrapportering räknar förfrågningar som den avvisar eller inte kan svara på. Ställ alla tre i ett enda meddelande så att svaren kan jämföras. Ett svar som handlar om landet men inte om enheten, eller om enheten men inte om kategorin, har svarat på en fråga du inte ställde. Tystnad om ett villkor är i sig fyndet.
Tillämpa samma villkor på lagen du förlitar dig på. En upplysningsplikt skriven för ett visst kapitel binder de leverantörer som kapitlet omfattar, och dess territoriella formulering handlar om var uppgifterna ligger, inte om vilket bolag som måste svara. Behandla en självsäker sammanfattning, inklusive denna, som ett skäl att läsa texten som styr din leverantör.
Skriv ned enheten, kategorierna och bestämmelsen du kontrollerade och datera anteckningen. Den registreringen överlever namnbyten och omskriven marknadsföring och ger en advokat eller revisor något konkret att utgå från när frågan slutar vara hypotetisk.