Tvingar brittisk lag din VPN att spara surfhistorik?

»Baserat i Storbritannien, så de måste behålla allt« är en vanlig förenkling, och den missförstår mekanismen. Del 4 av lagen om utredningsbefogenheter arbetar genom bevarandelägg som delges telekomoperatörer, och Home Offices vägledning för systemet säger det rakt ut: en operatör är inte skyldig att bevara kommunikationsdata om inte ett lägg har delgetts den. Om din leverantör har ett är ett faktum om leverantören, inte om landet i sidfoten.

Den enda meningen ställer också om frågan. I stället för att fråga vad brittisk lag kräver generellt, fråga vilken operatör, vilken datakategori och vilket instrument. De tre svaren avgör nästan allt annat. Allt före dem är en slogan.

Ett lägg delges, det antas inte

Inom den ram som vägledningen beskriver delger statssekreteraren ett bevarandelägg, och vägledningen anger hur nödvändighet och proportionalitet prövas tillsammans med godkännande från en judiciell kommissionär. Lägget kan ange de data, tjänster och bevarandearrangemang det omfattar. Det är ett instrument med en räckvidd, inte en bakgrundsförpliktelse som fäster vid en verksamhetskategori.

Alltså är en leverantörs offentliga uttalande att den inte har mottagit något lägg ett meningsfullt påstående, och leverantörens tystnad är inte bevis åt något håll. Vägledningen begränsar också att röja ett läggs existens eller innehåll, vilket innebär att en välunderrättad operatör kanske inte kan ge dig det rena svar du vill ha. Den begränsningen är inte en lucka; den är en del av systemets utformning. Väg svaret därefter.

Läs uttalandet för vad det är. En publicerad transparensrapport som beskriver mottagna förfrågningar är ett annat dokument än ett bevarandelägg, och ingen av dem är en fullständig inventering av de data ett företag bevarar för egen räkning.

Vad som räknas som telekomoperatör

Vägledningen behandlar begreppet brett och faktabaserat, och den undantar inte varje överlagringstjänst som råkar köra över någon annans nät. Att ta betalt för en prenumeration avgör inte klassificeringen, och det gör inte heller att allt ligger i ett annat land. Det är en fråga om tjänstens kopplingar till Storbritannien, bedömd av någon som är kvalificerad.

Det du kan göra utan juridisk utbildning är att sluta behandla en marknadsföringsfras som en specifikation. »Inga loggar« beskriver en policy. Den beskriver inte en rättslig ställning, och båda kan vara sanna samtidigt för en leverantör som inte bevarar något frivilligt och inte har mottagit något påtvingat.

Metadata är inte meddelandeinnehåll

Systemet med lägg gäller kommunikationsdata, det vill säga vem, när och hur, inte vad som sades. Innehåll ligger under helt andra befogenheter, med ett annat tillstånd. Att slå ihop båda till »fullständiga loggar« ger argument som inte går att lösa, eftersom de två kategorierna har separata rättsliga vägar och ofta separata bevarandetider.

Den här skillnaden är också den praktiska för en VPN. En leverantör kan bevara nästan ingenting om vad du skickade men ändå ha kontouppgifter, betalningsuppgifter, anslutningstidsstämplar eller supportmeddelanden. Det är vanliga affärsuppgifter som styrs av leverantörens policy och dataskyddslagen, inte av ett bevarandelägg.

Därför kan ett påstående om ett lägg inte besvara en fråga om kontodata. Två olika instrument, två olika uppsättningar gränser.

Håll två register, eftersom det finns två frågor

För vardagsbruk, skriv ned de kategorier som leverantören säger sig behandla, syftet, vem som har åtkomst och hur länge de finns kvar. Ta med de oglamorösa: faktureringsuppgifter, supportärenden, bedrägerisignaler, kraschrapporter. Ett uttalande om tunneltrafik bör inte få stå i stället för resten.

Vid ett formellt krav, bevara dokumentet och skicka det till den som hanterar rättsliga processer, med datumet det kom. Fråga vilken enhet och vilken tjänst det namnger, vilken åtgärd som krävs, vilka tidsfrister som gäller och vilken omprövning eller vilket överklagande som finns. Kontrollera sekretessvillkoren innan du svarar någon på frågor om det, även en journalist.

De två registren svarar mot olika målgrupper. Det ena berättar för en användare vad som kan förväntas; det andra berättar för en advokat vad som ska göras denna vecka.

Hur du jämför två leverantörer utan att lura dig själv

Be om en precis offentlig policy med räckvidd, datum och beskrivning av kategorierna den omfattar. Kontrollera sedan om policyn skiljer innehåll från metadata, frivilligt bevarande från påtvingat, och det operativa bolaget från moderbolaget. Vaga försäkringar klarar granskning just för att de aldrig namnger en kategori.

Behandla saknad information som saknad, inte som gynnsam. Systemets begränsningar för röjande innebär att »vi har inte mottagit något« och »vi kan inte säga« kan se identiska ut utifrån, och en jämförelse som ger tystnad poäng som seger mäter din egen optimism.

Home Offices vägledning för systemet med bevarandelägg är dokumentet du bör läsa innan du upprepar något påstående om vad del 4 kräver. Den är längre än ett blogginlägg och betydligt mer omsorgsfull.