Hồ sơ, lưu giữ hay ghi nhật ký trong tương lai: yêu cầu nào?
Yêu cầu đối với hồ sơ đã có, lệnh lưu giữ và lệnh thu thập trong tương lai là ba hoạt động. Hãy đọc trước tài liệu cho phép hoạt động nào.
Một tiêu đề nói rằng nhà cung cấp VPN bị lệnh giao nộp hồ sơ, và luồng bình luận kết luận rằng giờ mọi VPN phải ghi nhật ký. Tài liệu phía sau tiêu đề có thể đã yêu cầu hồ sơ đã tồn tại, hoặc đề nghị nhà cung cấp giữ những gì họ có trong khi chờ thêm thủ tục, hoặc cho phép thu thập một số thuộc tính nhất định trong tương lai. Đó là ba hoạt động khác nhau với ba giới hạn khác nhau. Hãy đọc tài liệu thực hiện hoạt động nào trước khi kết luận.
Ba hoạt động được gọi là trát đòi
Từ trong tiêu đề thường là lỗi phân loại chứ không phải lời nói dối. Yêu cầu hồ sơ hiện có, lệnh lưu giữ và cho phép thu thập tương lai đều đến dưới dạng giấy tờ pháp lý, và chúng không thể hoán đổi cho nhau. Mỗi loại nêu một hành động, một khoảng thời gian và một nhóm người nhận khác nhau. Đọc xem loại nào áp dụng mất một phút và ngăn được phần lớn kết luận sai.
| Operation | What it asks for | What it does not do |
|---|---|---|
| Records request | Information already held by the provider | Create data that was never collected |
| Preservation | Keep existing records while process continues | Disclose them to the requester |
| Prospective collection | Capture specified attributes going forward | Read the contents of communications |
Bảng đó là công cụ hỗ trợ đọc, không phải phân loại pháp lý, và công cụ cụ thể mới là điều quan trọng. Việc phân loại dịch vụ, thẩm quyền của nó và thông tin được nêu trong tài liệu đều thay đổi phân tích, vì vậy câu hỏi hữu ích luôn là "hoạt động nào, trong khoảng thời gian nào, cho những nhóm nào".
Những gì đã tồn tại là một câu hỏi khác
Ví dụ từ Hoa Kỳ, 18 USC 2703 cung cấp các đường khác nhau cho truyền thông và cho hồ sơ khách hàng, và tiểu mục (c)(2) xác định một số thông tin thuê bao có thể có được bằng một thủ tục nhất định. Nó không nói rằng mọi loại thông tin đều có được bằng cùng một công cụ.
Sự khác biệt đó là điều mà chính sách quyền riêng tư không thể trả lời thay bạn. Một tuyên bố về việc lưu giữ lịch sử duyệt web có thể không nói gì về hồ sơ tài khoản, hồ sơ thanh toán hay phiếu hỗ trợ, vì đó là những nhóm khác nhau với thời hạn lưu giữ khác nhau.
Vì vậy hãy đọc chính sách như một danh sách nhóm chứ không phải một lời hứa duy nhất. Hỏi những hồ sơ nào tồn tại, trong bao lâu và dưới sự kiểm soát của ai, và coi "chúng tôi không lưu nhật ký" là tuyên bố về một nhóm cho đến khi nhà cung cấp nói khác. Sau đó hỏi yêu cầu thực sự nêu nhóm nào. Sự chênh lệch giữa hai câu trả lời đó là nơi phần lớn các tranh luận công khai về ghi nhật ký VPN đi sai.
Lưu giữ không phải là tiết lộ
Lưu giữ đề nghị nhà cung cấp giữ bằng chứng họ đã có trong khi chờ thêm thủ tục. Nó không giao bằng chứng đó cho ai và không tạo ra dòng hồ sơ mới. Sự khác biệt đó dễ mất trong một bản tóm tắt nói rằng nhà cung cấp "bị lệnh giữ dữ liệu".
Đối với người đọc tin, điều đó có nghĩa là lệnh lưu giữ không phải bằng chứng rằng nhà cung cấp đã thay đổi cách thu thập. Đối với nhà vận hành nhận được lệnh, điều đó có nghĩa là nghĩa vụ liên quan đến việc không phá hủy thứ gì đó, một hành động hẹp hơn nhiều so với việc xây dựng đường ống.
Cả hai cách đọc đều dẫn đến cùng một quy tắc thực hành: đóng băng trạng thái liên quan và ngừng thay đổi nó cho đến khi người có thẩm quyền xem xét yêu cầu. Xóa vội và thu thập vội đều là cách làm tình hình tồi tệ hơn. Một ghi chú bằng văn bản về những gì đã tồn tại khi yêu cầu đến có giá trị hơn mọi lần tái dựng sau này.
Việc thu thập trong tương lai có thẩm quyền riêng
Thu thập tương lai lại là một cơ chế riêng. Tại Hoa Kỳ, các lệnh pen register và trap and trace theo 18 USC 3123 đề cập đến việc cho phép, các thuộc tính truyền thông được chỉ định, hỗ trợ, thời hạn và không tiết lộ, trong khi các định nghĩa tại phần 3127 loại nội dung truyền thông ra khỏi các nhóm đó.
Sự loại trừ đó là phần mà mọi người bỏ qua khi kết luận rằng một lệnh cho phép đọc tin nhắn. Nhóm này nói về thuộc tính, không phải nội dung, và luật quy định cụ thể những gì nó bao gồm. Việc một yêu cầu cụ thể có nằm trong ranh giới đó hay không là câu hỏi cho luật sư chứ không phải cho bài đăng blog.
Từ đó cũng suy ra rằng chính sách không ghi nhật ký thông thường của một nhà cung cấp không phải là lá chắn pháp lý. Chính sách mô tả những gì được thu thập theo mặc định; nghĩa vụ mô tả những gì phải làm theo một công cụ hợp lệ. Cả hai phát biểu có thể cùng đúng và vẫn xung đột trên thực tế.
Cần làm gì khi có yêu cầu đến
Chuyển ngay tài liệu cho người xem xét có trách nhiệm và giữ nguyên như khi nhận, bao gồm tiêu đề và tệp đính kèm. Ghi lại thời hạn, điều kiện bảo mật và các nhóm được nêu, vì ba sự kiện này quyết định mọi thứ tiếp theo.
Đừng dựng một thay đổi về thu thập hoặc xóa từ một bản tóm tắt trực tuyến. Đừng thông báo cho người dùng bị ảnh hưởng trước khi kiểm tra xem việc không tiết lộ có áp dụng hay không, và đừng giả định là có mà không đọc công cụ.
Nếu bạn đang chọn nhà cung cấp thay vì vận hành một nhà cung cấp, hãy đọc chính sách dữ liệu bên cạnh báo cáo minh bạch của họ và để ý những khoảng trống. Việc không có yêu cầu nào được công bố không phải bằng chứng rằng các yêu cầu là bất khả thi về kỹ thuật, và một chính sách được công bố không phải bằng chứng rằng không tồn tại nhóm khác.