Іноземний запит даних надходить до американського VPN-провайдера

Надходить лист від слідчих іншої країни із запитанням про клієнта, і питання на столі — до чого це когось зобов'язує. Чесна відповідь: це залежить від трьох речей — хто його отримав, які записи в ньому названі й на які повноваження він посилається. Розташування одного VPN-сервера не відповідає на жодне з цього. Як і загальна готовність провайдера співпрацювати: це ділова позиція, а не правовий аналіз.

Ставтеся до листа як до початку оцінки, а не як до висновку з печаткою.

Лист називає послугу, а не систему

Почніть з визначення юридичної особи, яка отримала запит, і послуги, до якої він стосується. Бренд, застосунок і компанія, що керує конкретним вихідним сервером, можуть бути трьома різними сторонами, і лише одна з них зберігає запитані записи. Далі зіставте запит із системою, бо записи акаунта, метадані з'єднань, адреси тунелів, звернення до підтримки й платіжні дані живуть у різних місцях із різними строками зберігання.

Відокремлюйте примус, дозвіл і обов'язок

Добровільний запит, процедура, отримана через внутрішній правовий механізм, і ордер, охоплений міжнародною угодою, — різні інструменти. Вони несуть різні зобов'язання й різні підстави для заперечення.

Міністерство юстиції США описує кваліфіковані виконавчі угоди як шлях, яким певні іноземні ордери можуть спрямовуватися провайдерам на умовах угоди. Це конкретний механізм, а не правило, що будь-яка поліція будь-де може вимагати будь-який запис VPN. Для охоплених американських послуг 18 USC 2702 окремо регулює добровільне розкриття, відрізняючи зміст повідомлень від іншої інформації про клієнтів і перелічуючи застосовні винятки.

Готовність допомогти, правовий дозвіл допомогти й правовий обов'язок допомогти — три окремі питання, і допис у блозі провайдера зазвичай відповідає лише на перше.

Визначте, що означає IP клієнта

Запит про IP-адресу клієнта потребує визначення раніше, ніж відповіді. Він може означати адресу джерела, помічену під час з'єднання, спільний публічний вихід, яким користуються багато клієнтів, адресу тунелю, призначену сеансу, або адресу, записану під час платіжної взаємодії. Запитайте, яку подію й який часовий інтервал охоплює запит, бо відповідь визначає, яку систему буде опитано.

Провайдер може зберігати записи акаунта, не зберігаючи історію перегляду, і це різні відповіді на одне й те саме речення в листі.

Спершу збережіть, потім вирішуйте

Якщо ви керуєте послугою, збережіть оригінальний запит і швидко передайте його тому, хто відповідає за правову перевірку. Перевірте відправника, запитану дію, обсяг, строки й будь-яку вимогу конфіденційності каналом, якому ви вже довіряєте. Визначте правову підставу й відповідь, перш ніж щось розкривати або змінювати налаштування зберігання. Зміна зберігання, зроблена поспіхом, сама стає доказом того, як послуга поводиться із записами.

На що звертати увагу, коли ви клієнт

Читайте опис провайдером обробки правових запитів поруч із його політикою даних за категоріями. Шукайте ідентифіковану відповідальну особу й описаний процес перевірки.

Реєстрація в одній країні з вихідними серверами в іншій не робить усі іноземні запити однаковими й не робить їх усі недійсними. Корисне питання — які записи існують, хто може до них дістатися й який процес стоїть між запитом і розкриттям. Провайдера, який може відповісти на це ясно, легше оцінити, ніж того, хто відповідає гаслом, і відповідь цінніша за країну виходу в переліку.