Lagrar en brittisk VPN din webbläsarhistorik? Läs underrättelsen
Rättslig skyldighet och produktpolicy är två olika frågor. Kontrollera operatören, datakategorin och dokumentet innan du tror på något påstående om lagring.
En prenumerationssida kan inte svara på lagringsfrågan, och inte heller operatörens registreringsland på egen hand. Ramverket som spelar roll här är del 4 av lagen om utredningsbefogenheter, som verkar genom underrättelser om lagring som delges teleoperatörer i stället för genom en allmän regel att varje VPN lagrar varje webbläsarpost. Om din leverantör omfattas, och vad den måste lagra, är två separata frågor med två separata svar.
Vad frågan egentligen frågar om
Folk menar oftast vad min leverantör har om mig, medan lagen svarar vad den här operatören måste lagra enligt en underrättelse som delgetts den. De två överlappar utan att vara identiska. En operatör kan ha uppgifter av egna driftsskäl och inte lagra något extra enligt en underrättelse, eller tvärtom. Att svara på den ena och tro att man svarat på den andra är där det mesta av det här samtalet går fel.
Börja med att skilja den rättsliga skyldigheten från den vanliga produktpolicyn.
Skilj sedan kategorierna. Kommunikationsuppgifter och innehållet i kommunikation behandlas olika, och uttrycket fullständiga loggar namnger inget av dem. En lista över vad som samlas in, varför, vem som kan nå det och hur länge det lever säger dig mer än något adjektiv i ett marknadsföringspåstående.
Omfattning: vilken operatör, vilka uppgifter, vilket dokument
En underrättelse om lagring gäller en operatör, och den termen omfattar en faktaberoende kategori och inte en prydlig lista över företagstyper. Att ta betalt för en prenumeration avgör inte klassificeringen i någon riktning. Om en viss tjänst faller inom den är en fråga för en kvalificerad rådgivare med de faktiska omständigheterna.
En underrättelse anger också uppgifter och arrangemang och inte bara allt. Den publicerade praxiskoden beskriver de tester som tillämpas, inklusive nödvändighet och proportionalitet, och godkännanderollen för en judiciell kommissionär. Läs den mekanismen innan du läser en sammanfattning, eftersom den förklarar varför två leverantörer under en och samma lag kan bära mycket olika skyldigheter. Koden säger också uttryckligen att regimen inte är ett universellt lagringskrav.
Håll den här mekanismen åtskild från avlyssning, från ingrepp i utrustning och från begäranden om uppgifter som redan innehas. Var och en har sina egna villkor och sina egna godkännanden.
Två register, hållna åtskilda
För den vanliga driften ska du föra en förteckning över vad du behandlar, varför, vem som får åtkomst och hur länge du lagrar det. Konto- och supportregister räknas, tillsammans med allt som är tunnelrelaterat, och ett uttalande om en kategori får aldrig tillåtas täcka de andra genom implikation.
| Record | What it holds | Who owns it |
|---|---|---|
| Routine data inventory | Categories, purposes, access, retention period | Privacy or security owner |
| Formal demand file | Instrument, scope, deadlines, review path | Legal reviewer |
Vid ett formellt krav, bevara dokumentet och skicka det till ansvarig granskare utan dröjsmål.
Fråga vilken enhet och vilken tjänst det omfattar, vilken åtgärd det kräver, vilka tidsfrister som gäller och vilken granskning som finns. Kontrollera eventuella sekretessbegränsningar innan du publicerar eller diskuterar det, eftersom koden innehåller begränsningar för att röja att en underrättelse finns eller vad den innehåller. Dessa begränsningar hör hemma i hanteringsförfarandet och inte i eftertanken.
Vad en offentlig policy kan och inte kan berätta för dig
När du jämför leverantörer, leta efter en precis policy med en omfattningsdeklaration i stället för en lugnande mening. En användbar policy namnger de kategorier som hålls, lagringsperioden för varje och den rättsliga grunden den vilar på. Den anger också vilken enhet som är avtalspart, eftersom ett varumärke och dess driftbolag inte alltid är samma. Vag lugn och vag alarm är lika lite informativa.
Avsaknaden av publicerade underrättelser är inte heller en teknisk inventering, eftersom offentliggörandebegränsningar kan hindra en operatör från att bekräfta en.
Behandla den publicerade koden som ramverket och leverantörens egna dokument som det påstående som ska kontrolleras mot det. Där de två inte möts, ställ en skriftlig fråga som namnger datakategorin och lagringsperioden. Svaret, eller vägran att svara, är värt mer än ännu en forumtråd om vad ett land påstås kräva.