En utländsk dataförfrågan landar hos en amerikansk VPN-leverantör

Ett brev från utredare i ett annat land kommer in och frågar om en kund, och frågan på bordet är vad det förpliktar någon att göra. Det ärliga svaret är att det beror på tre saker: vem som tog emot det, vilka uppgifter det namnger och vilken befogenhet det åberopar. Placeringen av en enda VPN-server besvarar ingen av dem. Det gör inte heller leverantörens allmänna vilja att samarbeta, eftersom det är en affärshållning och inte en juridisk analys.

Behandla brevet som början på en bedömning, inte som en slutsats med stämpel på.

Brevet namnger en tjänst, inte ett system

Börja med att identifiera den juridiska person som tog emot förfrågan och den tjänst den gäller. Ett varumärke, en app och företaget som driver en viss utgångsserver kan vara tre olika parter, och bara en av dem har de uppgifter som efterfrågas. Koppla sedan förfrågan till ett system, eftersom kontouppgifter, anslutningsmetadata, tunneladresser, supportärenden och betalningsuppgifter ligger på olika ställen med olika lagringstider.

Separera tvång, tillstånd och skyldighet

En frivillig förfrågan, ett förfarande som erhållits genom en inhemsk rättslig mekanism och ett beslut som omfattas av en internationell överenskommelse är olika instrument. De bär olika skyldigheter och olika grunder för invändning.

USA:s justitiedepartement beskriver kvalificerade verkställande avtal som en väg för vissa utländska beslut att riktas till leverantörer enligt avtalets villkor. Det är en specifik mekanism, inte en regel att vilken polis som helst var som helst kan kräva vilken VPN-uppgift som helst. För omfattade amerikanska tjänster reglerar 18 USC 2702 separat frivilligt utlämnande, skiljer kommunikationsinnehåll från annan kundinformation och listar de undantag som gäller.

Vilja att hjälpa, juridiskt tillstånd att hjälpa och juridisk skyldighet att hjälpa är tre separata frågor, och en leverantörs blogginlägg besvarar vanligtvis bara den första.

Definiera vad kundens IP betyder

En förfrågan om kundens IP-adress behöver en definition innan den behöver ett svar. Det kan betyda källadressen som observerades vid anslutningen, en delad offentlig utgång som många kunder använder, tunneladressen som tilldelats en session eller en adress som registrerats vid en faktureringsinteraktion. Fråga vilken händelse och vilket tidsintervall förfrågan omfattar, eftersom svaret avgör vilket system som tillfrågas.

En leverantör kan ha kontouppgifter utan att ha webbläsarhistorik, och det är olika svar på samma mening i brevet.

Säkra först, besluta sedan

Om du driver tjänsten, behåll den ursprungliga förfrågan och skicka den snabbt vidare till den som har den juridiska granskningen. Verifiera avsändaren, den begärda åtgärden, omfattningen, tidsfristerna och eventuella sekretesskrav via en kanal du redan litar på. Besluta om den rättsliga grunden och svaret innan du lämnar ut något eller ändrar en lagringsinställning. En lagringsändring som görs i hast blir i sig bevis på hur tjänsten behandlar uppgifter.

Vad du bör titta efter när du är kunden

Läs leverantörens beskrivning av hanteringen av juridiska förfrågningar vid sidan av dess kategorispecifika datapolicy. Leta efter en identifierbar ansvarig enhet och en beskriven granskningsprocess.

Inkorporering i ett land med utgångsservrar i ett annat gör inte alla utländska förfrågningar lika, och gör dem inte heller alla ogiltiga. Den användbara frågan är vilka uppgifter som finns, vem som kan nå dem och vilken process som står mellan en förfrågan och ett utlämnande. En leverantör som kan svara tydligt på det är lättare att utvärdera än en som svarar med en slogan, och svaret är värt mer än utgångslandet i listan.