Kayıtlar, saklama veya gelecekteki günlükleme: hangi talep?
Elde bulunan kayıtlar için talep, saklama emri ve gelecekteki toplama emri üç ayrı işlemdir. Önce belgenin hangisine izin verdiğini okuyun.
Bir başlık bir VPN sağlayıcısına kayıtları teslim etme emri verildiğini söylüyor, yorum dizisi ise artık her VPN'in günlük tutması gerektiği sonucuna varıyor. Başlığın arkasındaki belge hâlihazırda var olan kayıtları istemiş, sağlayıcıdan daha ileri bir süreç alınıncaya kadar elindekini saklamasını talep etmiş ya da gelecekte belirli niteliklerin toplanmasına izin vermiş olabilir. Bunlar üç farklı sınırı olan üç farklı işlemdir. Sonuç çıkarmadan önce belgenin hangisini yaptığını okuyun.
Celp denen üç işlem
Başlıktaki sözcük genellikle yalan değil, kategori hatasıdır. Mevcut kayıtlar için talep, saklama emri ve ileriye dönük toplama izni hepsi hukuki evrak olarak gelir ve birbirlerinin yerine geçmez. Her biri farklı bir eylemi, farklı bir zaman aralığını ve farklı bir alıcı kümesini adlandırır. Hangisinin geçerli olduğunu okumak bir dakika sürer ve kötü sonuçların çoğunu önler.
| Operation | What it asks for | What it does not do |
|---|---|---|
| Records request | Information already held by the provider | Create data that was never collected |
| Preservation | Keep existing records while process continues | Disclose them to the requester |
| Prospective collection | Capture specified attributes going forward | Read the contents of communications |
Bu tablo bir okuma yardımcısıdır, hukuki bir sınıflandırma değildir ve belirleyici olan somut araçtır. Bir hizmetin sınıflandırması, yargı yetkisi ve belgede adı geçen bilgiler analizi değiştirir, bu yüzden yararlı soru her zaman "hangi işlem, hangi dönemde, hangi kategoriler için" olur.
Hâlihazırda var olan başka bir sorudur
Amerika Birleşik Devletleri örneği için 18 USC 2703 iletişimler ve müşteri kayıtları için farklı yollar sunar ve (c)(2) alt bölümü belirli bir süreçle elde edilebilen bazı abone bilgilerini tanımlar. Her tür bilginin aynı araçla erişilebilir olduğunu söylemez.
Bu ayrım, bir gizlilik politikasının sizin adınıza yanıtlayamayacağı şeydir. Tarama geçmişinin saklanmasına ilişkin bir açıklama, hesap kaydı, ödeme kaydı veya destek bileti hakkında hiçbir şey söylemeyebilir, çünkü bunlar farklı saklama sürelerine sahip farklı kategorilerdir.
Bu yüzden politikayı tek bir vaat olarak değil, kategoriler listesi olarak okuyun. Hangi kayıtların var olduğunu, ne kadar süreyle ve kimin kontrolünde olduğunu sorun ve sağlayıcı aksini söyleyene kadar "hiç günlük tutmuyoruz" ifadesini tek bir kategori hakkında iddia olarak değerlendirin. Ardından talebin gerçekte hangi kategoriyi adlandırdığını sorun. Bu iki yanıt arasındaki uyumsuzluk, VPN günlüklemesi hakkındaki kamuoyu tartışmalarının çoğunun yanlış gitmesinin nedenidir.
Saklama açıklama değildir
Saklama, bir sağlayıcıdan hâlihazırda elinde bulunan delilleri daha ileri bir süreç alınıncaya kadar tutmasını ister. Bu delilleri kimseye vermez ve yeni bir kayıt akışı oluşturmaz. Sağlayıcıya "verileri saklaması emredildi" diyen bir özette bu ayrım kolayca kaybolur.
Haberi okuyan kişi için bu, saklama emrinin sağlayıcının toplama uygulamalarını değiştirdiğinin kanıtı olmadığı anlamına gelir. Emri alan operatör için ise yükümlülüğün bir şeyi yok etmemekle ilgili olduğu anlamına gelir ki bu, boru hattı inşa etmekten çok daha dar bir eylemdir.
Her iki okuma da aynı pratik kurala işaret eder: ilgili durumu dondurun ve yetkin bir kişi talebi inceleyene kadar onu değiştirmeyi bırakın. Aceleyle silmek ve aceleyle toplamak durumu kötüleştirmenin iki yoludur. Talep geldiğinde neyin var olduğuna dair yazılı bir not, sonraki herhangi bir yeniden kurgudan daha değerlidir.
Gelecekteki toplamanın kendi yetkisi vardır
İleriye dönük toplama yine ayrı bir mekanizmadır. Amerika Birleşik Devletleri'nde 18 USC 3123 kapsamındaki pen register ve trap and trace emirleri yetkilendirme, belirli iletişim nitelikleri, yardım, süreler ve açıklamama konularını düzenlerken, 3127'nci maddedeki tanımlar iletişim içeriğini bu kategorilerin dışında bırakır.
Bu dışlama, bir emrin mesajları okumaya izin verdiği sonucuna varıldığında insanların gözden kaçırdığı kısımdır. Kategori içerikle değil niteliklerle ilgilidir ve kanun neyi kapsadığı konusunda nettir. Belirli bir talebin bu sınırın içine girip girmediği avukata sorulacak bir sorudur, blog yazısına değil.
Bundan ayrıca bir sağlayıcının olağan günlük tutmama politikasının hukuki bir kalkan olmadığı sonucu çıkar. Politika varsayılan olarak nelerin toplandığını tanımlar; yükümlülük geçerli bir araç kapsamında ne yapılması gerektiğini tanımlar. Her iki ifade aynı anda doğru olabilir ve yine de pratikte çatışabilir.
Bir talep geldiğinde ne yapmalı
Belgeyi derhal sorumlu inceleyiciye iletin ve başlıklar ile ekler dahil alındığı gibi saklayın. Süreleri, gizlilik koşullarını ve adı geçen kategorileri not edin, çünkü bu üç olgu sonraki her şeyi belirler.
Çevrimiçi bir özetten toplama veya silme değişikliği oluşturmayın. Açıklamama durumunun geçerli olup olmadığını kontrol etmeden etkilenen kullanıcıyı bilgilendirmeyin ve aracı okumadan geçerli olduğunu varsaymayın.
Bir sağlayıcıyı işletmek yerine seçiyorsanız, veri politikasını şeffaflık raporunun yanında okuyun ve boşlukları fark edin. Yayımlanmış talep olmaması, taleplerin teknik olarak imkânsız olduğunun kanıtı değildir ve yayımlanmış bir politika başka bir kategori olmadığının kanıtı değildir.