Register, bevarande eller framtida loggning: vilken begäran?

En rubrik säger att en VPN-leverantör har beordrats att lämna ut register, och kommentarsfältet drar slutsatsen att varje VPN nu måste logga. Dokumentet bakom rubriken kan ha begärt register som redan fanns, bett leverantören behålla det den har medan ytterligare process skaffas, eller tillåtit insamling av bestämda attribut framöver. Det är tre olika operationer med tre olika gränser. Läs vilken dokumentet utför innan du drar en slutsats.

Tre operationer som kallas en stämning

Ordet i rubriken är oftast ett kategorifel snarare än en lögn. En begäran om befintliga register, ett bevarandekrav och ett tillstånd till prospektiv insamling kommer alla som juridiska papper, och de är inte utbytbara. Var och en anger en annan åtgärd, ett annat tidsintervall och en annan uppsättning mottagare. Att läsa vilken som gäller tar en minut och hindrar de flesta dåliga slutsatser.

Tabellen är ett läshjälpmedel, inte en juridisk taxonomi, och det konkreta instrumentet är avgörande. En tjänsts klassificering, dess jurisdiktion och uppgifterna som nämns i dokumentet förändrar alla analysen, därför är den användbara frågan alltid "vilken operation, under vilken period, för vilka kategorier".

Det som redan finns är en annan fråga

Som ett amerikanskt exempel ger 18 USC 2703 olika vägar för kommunikationer och för kundregister, och underavsnitt (c)(2) identifierar viss abonnentinformation som kan erhållas med en bestämd process. Det säger inte att varje typ av information är tillgänglig genom samma instrument.

Den skillnaden är den som en integritetspolicy inte kan svara på åt dig. Ett uttalande om bevarande av webbläsarhistorik säger kanske ingenting om ett kontoregister, ett betalningsregister eller en supportbiljett, eftersom det är olika kategorier med olika bevarande.

Läs därför policyn som en lista över kategorier snarare än som ett enda löfte. Fråga vilka register som finns, hur länge och under vems kontroll, och behandla "vi för inga loggar" som ett påstående om en kategori tills leverantören säger annat. Fråga sedan vilken kategori begäran faktiskt anger. Diskrepansen mellan de två svaren är där de flesta offentliga debatter om VPN-loggning går fel.

Bevarande är inte utlämnande

Bevarande ber en leverantör behålla bevis som den redan innehar medan ytterligare process skaffas. Det överlämnar inte bevisen till någon, och det skapar inte ett nytt flöde av register. Skillnaden är lätt att tappa bort i en sammanfattning som säger att leverantören "beordrats att bevara data".

För den som läser nyheten betyder det att ett bevarandeföreläggande inte är bevis för att en leverantör har ändrat sin insamlingspraxis. För operatören som får ett betyder det att skyldigheten handlar om att inte förstöra något, vilket är en mycket snävare åtgärd än att bygga en pipeline.

Båda läsningarna pekar på samma praktiska regel: frys det relevanta tillståndet och sluta ändra det tills en kvalificerad person har granskat begäran. Radering i hast och insamling i hast är båda sätt att göra situationen värre. En skriftlig anteckning om vad som fanns när kravet kom är värd mer än någon senare rekonstruktion.

Framtida insamling har sin egen befogenhet

Prospektiv insamling är återigen en separat mekanism. I USA reglerar pen register- och trap and trace-förelägganden enligt 18 USC 3123 tillstånd, bestämda kommunikationsattribut, bistånd, tidsperioder och sekretess, medan definitionerna i 3127 § undantar kommunikationsinnehåll från dessa kategorier.

Det undantaget är den del folk missar när de drar slutsatsen att ett föreläggande tillåter läsning av meddelanden. Kategorin handlar om attribut, inte innehåll, och lagen är specifik om vad den omfattar. Om en viss begäran ryms inom den gränsen är en fråga för en advokat snarare än ett blogginlägg.

Av detta följer också att en leverantörs vanliga nologgpolicy inte är en juridisk sköld. En policy beskriver vad som samlas in som standard; en skyldighet beskriver vad som måste göras enligt ett giltigt instrument. Båda påståendena kan vara sanna samtidigt och ändå kollidera i praktiken.

Vad man ska göra när en begäran kommer in

Skicka dokumentet vidare till den ansvariga granskaren omedelbart och bevara det exakt som det mottogs, inklusive rubriker och bilagor. Notera tidsfristerna, sekretessvillkoren och de angivna kategorierna, eftersom dessa tre fakta styr allt som följer.

Sätt inte ihop en ändring av insamling eller radering utifrån en sammanfattning på nätet. Underrätta inte den berörda användaren innan du har kontrollerat om sekretess gäller, och anta inte att den gäller utan att läsa instrumentet.

Om du väljer leverantör i stället för att driva en, läs datapolicyn vid sidan av dess transparensrapport och notera luckorna. Avsaknaden av publicerade begäranden är inte bevis för att krav är tekniskt omöjliga, och en publicerad policy är inte bevis för att ingen annan kategori finns.