一封境外数据调取函落到美国 VPN 服务商手里

来自另一国调查人员的函件寄到，询问某位客户，摆在桌面上的问题是：这封函究竟让谁必须做什么。诚实的答案是，取决于三件事：谁收到了它、它点名了哪些记录、它主张了什么权限。单台 VPN 服务器的所在地对这三者都给不出答案。服务商笼统的配合意愿同样不能，因为那是商业姿态，而非法律分析。

把来函当作评估的起点，而不是一纸盖了章的结论。

来函点名的是服务，而不是系统

先确认收到请求的法律实体，以及它涉及的究竟是哪项服务。一个品牌、一款应用，以及运营某台特定出口服务器的公司，可能是三个不同的主体，而其中只有一方持有被索取的记录。接着把请求落到具体系统上：账户记录、连接元数据、隧道地址、支持工单和支付明细分别存放在不同位置，留存期限也各不相同。

把强制、许可与义务分开

自愿请求、通过本国法律机制取得的程序，以及由国际安排覆盖的命令，是三种不同的文书。它们带来的义务不同，可据以提出异议的理由也不同。

美国司法部把符合条件的行政协定描述为一条路径：某些外国命令可依协定条件直接送达服务商。这是一套具体机制，而不是任何警察都能索取任何 VPN 记录的规则。就受涵盖的美国服务而言，18 USC 2702另行规范自愿披露，把通信内容与其他客户信息区分开来，并列举了适用的例外。

愿意帮忙、有法律许可帮忙、负有法律义务帮忙，是三个独立的问题，而服务商的博客文章通常只回答了第一个。

界定客户 IP 到底指什么

索取客户 IP 地址的请求，先需要定义，才谈得上答复。它可能指连接时观察到的来源地址、众多客户共用的公网出口、为某次会话分配的隧道地址，或计费交互中记录的地址。要问清请求覆盖的是哪个事件、哪段时间，因为答案决定了该去查哪个系统。

服务商可以持有账户记录，却不持有浏览历史，而对来函中的同一句话，这是两种不同的回答。

先保全，再决定

如果你运营这项服务，请保留原始请求，并尽快转交给负责法律审查的人。通过你本就信任的渠道，核实发函方、所要求的行为、范围、期限以及任何保密要求。在披露任何内容或更改留存设置之前，先确定法律依据与回应方式。匆忙做出的留存变更，本身就会成为该服务如何对待记录的证据。

作为客户该看什么

把服务商关于法律请求处理方式的说明，与它按类别划分的数据政策放在一起读。看它是否指出了可识别的责任主体，是否描述了审查流程。

在一个国家注册、出口服务器却在另一个国家，并不会让所有外国请求变得一样，也不会让它们统统无效。真正有用的问题是：存在哪些记录、谁能接触到它们、在请求与披露之间隔着什么程序。能干脆回答这一点的服务商，比用口号作答的更值得评估，而这个答案也比列表里的出口国家更有价值。