Luật Anh có buộc VPN của bạn lưu nhật ký duyệt web?

«Đặt trụ sở tại Anh, nên họ phải giữ mọi thứ» là cách nói tắt phổ biến, và nó hiểu sai cơ chế. Phần 4 của Đạo luật Quyền hạn Điều tra vận hành qua các thông báo lưu giữ được gửi cho nhà khai thác viễn thông, và quy tắc thực hành của Bộ Nội vụ cho cơ chế đó nói thẳng: nhà khai thác không có nghĩa vụ lưu giữ dữ liệu liên lạc trừ khi đã được gửi thông báo. Việc nhà cung cấp của bạn có thông báo đó hay không là sự thật về nhà cung cấp ấy, không phải về quốc gia ở chân trang.

Câu duy nhất đó cũng đặt lại câu hỏi. Thay vì hỏi luật Anh yêu cầu gì nói chung, hãy hỏi nhà khai thác nào, loại dữ liệu nào và công cụ nào. Ba câu trả lời đó quyết định gần như mọi thứ còn lại. Mọi thứ trước chúng chỉ là khẩu hiệu.

Thông báo được gửi, không được suy đoán

Trong khuôn khổ mà quy tắc mô tả, Quốc vụ khanh gửi thông báo lưu giữ, và quy tắc quy định cách xem xét tính cần thiết và tính tương xứng cùng với phê duyệt của một ủy viên tư pháp. Thông báo có thể nêu rõ dữ liệu, dịch vụ và cách thức lưu giữ mà nó bao trùm. Đó là một công cụ có phạm vi, không phải nghĩa vụ nền gắn với một loại hình kinh doanh.

Vì vậy tuyên bố công khai của nhà cung cấp rằng họ không nhận được thông báo là một khẳng định có ý nghĩa, còn sự im lặng của nhà cung cấp không phải bằng chứng theo bất kỳ hướng nào. Quy tắc cũng hạn chế việc tiết lộ sự tồn tại hoặc nội dung của thông báo, nghĩa là một nhà khai thác hiểu biết có thể không đưa ra được câu trả lời rõ ràng mà bạn muốn. Hạn chế đó không phải lỗ hổng; nó là một phần thiết kế của cơ chế. Hãy cân nhắc câu trả lời cho tương xứng.

Hãy đọc tuyên bố đúng như nó là. Một báo cáo minh bạch được công bố mô tả các yêu cầu đã nhận là tài liệu khác với thông báo lưu giữ, và không cái nào là bản kiểm kê đầy đủ dữ liệu mà một công ty lưu cho mục đích của chính mình.

Ai được coi là nhà khai thác viễn thông

Quy tắc xử lý khái niệm này theo cách rộng và dựa trên thực tế, và không loại trừ mọi dịch vụ lớp phủ tình cờ chạy trên mạng của người khác. Thu phí thuê bao không giải quyết việc phân loại, và việc lưu trữ mọi thứ ở quốc gia khác cũng vậy. Đây là câu hỏi về các kết nối của dịch vụ với Anh, do người có chuyên môn đánh giá.

Điều bạn có thể làm mà không cần đào tạo pháp lý là ngừng coi một cụm từ tiếp thị là thông số kỹ thuật. «Không nhật ký» mô tả một chính sách. Nó không mô tả một vị thế luật định, và cả hai có thể cùng đúng với một nhà cung cấp không lưu gì một cách tự nguyện và không nhận gì một cách bắt buộc.

Siêu dữ liệu không phải nội dung tin nhắn

Cơ chế thông báo liên quan đến dữ liệu liên lạc, tức là ai, khi nào và như thế nào, chứ không phải đã nói gì. Nội dung nằm dưới các quyền hạn hoàn toàn khác, với sự cho phép khác. Gộp cả hai vào «nhật ký đầy đủ» tạo ra các tranh luận không thể giải quyết, vì hai loại có con đường pháp lý riêng và thường có thời hạn lưu giữ riêng.

Sự phân biệt này cũng là điều thực tế với VPN. Nhà cung cấp có thể lưu gần như không gì về những gì bạn đã gửi nhưng vẫn giữ hồ sơ tài khoản, chi tiết thanh toán, dấu thời gian kết nối hoặc tin nhắn hỗ trợ. Đó là hồ sơ kinh doanh thông thường, chịu sự điều chỉnh của chính sách nhà cung cấp và luật bảo vệ dữ liệu, không phải của thông báo lưu giữ.

Đó là lý do một khẳng định về thông báo không thể trả lời câu hỏi về dữ liệu tài khoản. Hai công cụ khác nhau, hai bộ giới hạn khác nhau.

Giữ hai hồ sơ, vì có hai câu hỏi

Với mục đích hằng ngày, hãy ghi lại các loại dữ liệu mà nhà cung cấp nói họ xử lý, mục đích, ai có thể truy cập và chúng tồn tại bao lâu. Bao gồm cả những thứ kém hào nhoáng: hồ sơ thanh toán, phiếu hỗ trợ, tín hiệu gian lận, báo cáo sự cố. Một tuyên bố về lưu lượng đường hầm không nên thay thế phần còn lại.

Với một yêu cầu chính thức, hãy giữ tài liệu và chuyển cho người xử lý quy trình pháp lý, kèm ngày nhận. Hỏi tài liệu nêu tên thực thể và dịch vụ nào, cần hành động gì, thời hạn ra sao và có cơ chế xem xét hay kháng nghị nào. Kiểm tra các điều khoản bảo mật trước khi trả lời bất kỳ ai, kể cả nhà báo.

Hai hồ sơ đó phục vụ hai đối tượng khác nhau. Một hồ sơ cho người dùng biết nên chờ đợi gì; hồ sơ kia cho luật sư biết tuần này phải làm gì.

Cách so sánh hai nhà cung cấp mà không tự lừa mình

Yêu cầu một chính sách công khai chính xác với phạm vi, ngày tháng và mô tả các loại dữ liệu được bao trùm. Sau đó kiểm tra xem chính sách có phân biệt nội dung với siêu dữ liệu, lưu giữ tự nguyện với lưu giữ bắt buộc, và công ty vận hành với công ty mẹ hay không. Những đảm bảo mơ hồ vượt qua kiểm tra chính vì chúng không bao giờ nêu tên một loại dữ liệu.

Hãy coi thông tin thiếu là thiếu, không phải là thuận lợi. Các hạn chế tiết lộ của cơ chế khiến «chúng tôi chưa nhận gì» và «chúng tôi không thể nói» có thể trông giống nhau từ bên ngoài, và một so sánh cho điểm sự im lặng như chiến thắng đang đo lường sự lạc quan của chính bạn.

Quy tắc thực hành của Bộ Nội vụ cho cơ chế thông báo là tài liệu cần đọc trước khi lặp lại bất kỳ khẳng định nào về những gì Phần 4 yêu cầu. Nó dài hơn một bài blog và cẩn thận hơn nhiều.