درخواست‌های فرامرزیِ دادهیک درخواست باید در همان‌جایی که دیسک قرار دارد به یک دستور تبدیل شود، وگرنه فقط یک نامه باقی می‌ماند.

عبارتی که این بازار به کار می‌برد و هرگز توضیح نمی‌دهد

اگر به‌اندازهٔ کافی دربارهٔ این صنعت بخوانید، به همان ادعا از دو جهتِ کاملاً مخالف برمی‌خورید. یکی می‌گوید سروری در خارج، به‌سادگی خارج از دسترس است. دیگری می‌گوید هیچ‌کدامِ این‌ها اهمیتی ندارد چون به‌هرحال داده را به دست می‌آورند. هر دو صرفاً حدس‌اند، و آن‌چه دربارهٔ آن حدس می‌زنند، نامی دارد، رویه‌ای دارد، صفی دارد و ردِّ کاغذی‌ای دارد.

بازرسی در یک کشور که خواهانِ سوابقِ نگه‌داری‌شده نزدِ شرکتی در کشوری دیگر است، تعدادِ کمی مسیرِ باز پیشِ رو دارد — پنج مسیر، با سخاوتمندانه‌ترین شمارش. فقط یکی از آن‌ها همان معاهده‌ای است که همه نامش را می‌برند و هیچ‌کس شرحش نمی‌دهد. دو مسیر سریع‌تر از آن معاهده‌اند و بر آزمونی تکیه دارند که هیچ ربطی به این ندارد که سخت‌افزار کجاست. و سریع‌ترینِ همهٔ مسیرها، اصلاً قانون نیستند، و همین بخشی است که واقعاً وب‌سایت‌ها را از پا درمی‌آورد.

پنج مسیرِ عبور از یک مرز

این مسیرها در این‌که به چه کسی ابلاغ می‌شوند، چه کسی می‌تواند رد کند، و این‌که آیا اصلاً قاضی‌ای پرونده را می‌خواند، با هم فرق دارند. تقریباً به‌ترتیبِ سریع‌ترین در ابتدا، که تقریباً برعکسِ میزانِ وزنی است که هر یک با خود حمل می‌کند.

سه موردِ از آن پنج مورد، با ابلاغِ سندی محلی توسطِ فردی محلی به پایان می‌رسند، و همین جمله‌ای است که ارزش دارد از این جدول با خود ببرید. دو موردِ دیگر از یک شرکت می‌خواهند بر اساسِ سندی عمل کند که در جایی که آن شرکت ایستاده هیچ قدرتی ندارد. این‌که آیا “برون‌مرزی” اصلاً معنایی دارد یا نه، تقریباً به‌طورِ کامل، همان پرسشِ این است که یک ارائه‌دهنده با آن دو مورد چه می‌کند.

این‌که معاضدتِ قضاییِ متقابل واقعاً چیست

یک MLAT معاهده‌ای است میانِ دو دولت که در آن هر یک به دیگری وعدهٔ کمک در امورِ کیفری می‌دهد: مدرک، شهادت، سوابق، ابلاغِ اسناد. صدها مورد از این معاهده‌ها وجود دارد که تقریباً همه‌شان دوجانبه‌اند؛ تنها ایالات متحده به بیش از شصت موردِ آن‌ها طرف است. دلیلِ وجودِ آن‌ها این است که یک دادستان در خارج از کشور هیچ قدرتی ندارد و دستورِ دادگاه ابزاری داخلی است. آن معاهده به دولتِ درخواست‌کننده دسترسی نمی‌دهد. به آن یک صف می‌دهد.

آن صف از میانِ دفاترِ تعیین‌شده‌ای به نامِ مقاماتِ مرکزی عبور می‌کند، و یک درخواست به‌جایِ ارسالِ مستقیم از نقطه به نقطه، از یکی به دیگری منتقل می‌شود. در ایالات متحده آن دفتر، ادارهٔ امورِ بین‌الملل در وزارتِ دادگستری است؛ در جاهایِ دیگر معمولاً وزارتِ دادگستریِ همان کشور است. این زنجیره تقریباً همه‌جا شکلِ یکسانی دارد:

1. بازرسی درخواست را تنظیم می‌کند و آن را، در قالبی که معاهده مشخص کرده، با ذکرِ جرم و سوابقِ موردنظر، به مقامِ مرکزیِ کشورِ خودش می‌دهد.
2. آن مقام بررسی می‌کند که آیا درخواست درونِ چارچوبِ معاهده قرار می‌گیرد یا نه، و آن را به مقامِ مرکزیِ دولتِ موردِ درخواست منتقل می‌کند. در همین مرحله، درخواست‌ها به دلیلِ مبهم‌بودن بازگردانده می‌شوند، و شمارِ زیادی از آن‌ها همین‌طورند.
3. مقامِ دریافت‌کننده آن را در برابرِ قانونِ کشورِ خودش می‌سنجد و به یک دادستانِ محلی یا بازپرس تحویل می‌دهد.
4. آن دادستان از یک دادگاهِ محلی برایِ صدورِ یک دستورِ داخلی درخواست می‌کند، دقیقاً همان‌طور که در یک پروندهٔ داخلی و بر پایهٔ دلایلِ داخلی عمل می‌کرد.
5. دادگاه یا می‌پذیرد یا رد می‌کند. اگر بپذیرد، یک دستورِ داخلی به شرکت ابلاغ می‌شود — در کشورِ خودش، به زبانِ خودش، زیرِ قانونِ خودش.
6. هر آن‌چه تولید می‌شود، از همان زنجیره اما در جهتِ عکس، به بالا بازمی‌گردد، و هر مرحله صفِ مخصوصِ خودش را دارد.

یک نیابتِ قضایی همان سفر است، اما بدونِ هیچ چیزی زیرِ آن: درخواستی از دادگاهِ یک کشور به دادگاهِ کشوری دیگر، که از مجاری دیپلماتیک ارسال می‌شود و بر پایهٔ نزاکتِ بین‌المللی اعطا می‌شود، نه بر پایهٔ الزام. این همان چیزی است که در نبودِ هیچ معاهده‌ای به کار می‌رود، و کندتر از همان سازوکاری است که مردم از پیش هم از کندیِ آن گله دارند.

چهار فیلتری که یک درخواست باید از آن‌ها جان سالم به در ببرد

این‌ها صرفاً تشریفات نیستند. اینجا همان جایی است که فرسایش رخ می‌دهد، و سه موردِ از آن چهار مورد، توسطِ افرادی اعمال می‌شود که هیچ ذی‌نفعی در آن تحقیق ندارند.

1. دوجرم‌انگاری. بیشترِ معاهده‌ها اجازه می‌دهند کمک رد شود در جایی که رفتارِ شرح‌داده‌شده، در کشورِ موردِ درخواست نیز جرم محسوب نشود. کشوری که قانونش آن جرم را به رسمیت نمی‌شناسد، چیزی ندارد که به دادگاه‌هایِ خودش دستور دهد.
2. مشخص‌بودن. درخواست باید آن‌چه را می‌خواهد با دقتِ کافی نام ببرد تا یک قاضیِ محلی بتواند دستوری برایش امضا کند. “هر آن‌چه به این وب‌سایت مربوط است” چیزی نیست که دادگاهی در یک کشورِ حقوق‌مدار برایش دستور صادر کند.
3. قانونِ خودِ دولتِ موردِ درخواست. دستوری که در نهایت صادر می‌شود، یک دستورِ داخلی است، پس باید الزاماتِ داخلی را برآورده کند — تناسب، حفاظت از داده، و در اتحادیهٔ اروپا مادهٔ 48 از GDPR، که یک درخواستِ کشورِ ثالث را فقط زمانی قابلِ‌شناسایی می‌داند که یک موافقت‌نامهٔ بین‌المللی پشتوانه‌اش باشد.
4. سابقه باید وجود داشته باشد. هیچ معاهده‌ای شرکتی را ملزم نمی‌کند چیزی را ارائه دهد که آن را در اختیار ندارد، و هیچ دادگاهی دستور نمی‌دهد چیزی بازسازی شود.

چهارمین فیلتر، تنها موردی است که یک مشتری رویش نفوذی دارد، و به همین دلیل تنها موردی است که ارزشِ خرج‌کردنِ پول رویش را دارد. هر چیزِ دیگر در آن فهرست، رویه‌ای متعلق به کسی دیگر است. این‌که در سوابق چه چیزی هست، تصمیمی است که سال‌ها پیش از رسیدنِ درخواست توسطِ یک ارائه‌دهنده گرفته شده، و توسطِ خودِ شما، هنگامی که انتخاب می‌کنید برنامهٔ خودتان چه چیزی را ثبت کند — که موضوعِ این‌که سایتِ خودتان دربارهٔ خوانندگانش چه چیزی ثبت می‌کند است.

چرا این‌قدر طول می‌کشد

هر گام در آن زنجیره، میزی است با کارهایِ انباشته، و تأخیرها به‌جایِ هم‌پوشانی، روی هم جمع می‌شوند. رقمی که معمولاً برایِ یک درخواستِ کاملِ معاضدتِ قضاییِ متقابل ذکر می‌شود، نزدیک به ده ماه است، و این رقم از این صنعت نمی‌آید: کارگروهِ بازبینیِ خودِ ایالات متحده در زمینهٔ اطلاعات و فناوری‌هایِ ارتباطی، آن را در سالِ 2013 گزارش کرد، و کمیسیونِ اروپا هنگامِ استدلال برایِ ابزاری که دو بخش پایین‌تر شرح داده شده، رقمی قابلِ‌مقایسه را ذکر کرد. هیچ‌چیز از آن زمان تاکنون آن را به‌طورِ چشمگیری سریع‌تر نکرده است.

ده ماه، نه یک نکتهٔ فنیِ بی‌اهمیت است و نه دلیلی برایِ آسوده‌خیالی، و هر دو برداشت اشتباه است. این یک واقعیتِ ساختاری دربارهٔ فرآیندی است که شش صف در خود دارد، و دقیقاً به همین دلیل است که درخواستِ حفظِ داده وجود دارد: ابزاری کوتاه که در همان روزِ اول ارسال می‌شود و می‌خواهد سوابقی که امروز وجود دارند، تا زمانی که این سازوکارِ کند در حالِ کار است، دیگر حذف نشوند. حفظِ داده همان بخشی است که مردم هنگامِ فکرکردن دربارهٔ بازه‌هایِ زمانی از قلم می‌اندازند. درخواستی که یک سال هیچ چیزی تولید نمی‌کند، ممکن است هنوز در همان بعدازظهرِ اول چیزی را منجمد کرده باشد — اگر اصلاً چیزی برایِ منجمدکردن وجود داشته باشد.

CLOUD Act دربارهٔ شرکت است، نه دربارهٔ کشور

در سالِ 2013، ایالات متحده حکمی را برایِ ایمیل‌هایِ ذخیره‌شده در دوبلین به مایکروسافت ابلاغ کرد. مایکروسافت استدلال کرد که یک حکمِ داخلی به ایرلند نمی‌رسد. این پرونده تا دیوانِ عالی پیش رفت، و در مارسِ 2018، کنگره با تصویبِ CLOUD Act آن را منتفی کرد.

کاری که این قانون انجام داد در یک جمله می‌گنجد، و همین جمله‌ای است که این بازار باید می‌خواند. این قانون، قانونِ ارتباطاتِ ذخیره‌شده — 18 U.S.C. §2703 — را اصلاح کرد تا ارائه‌دهنده‌ای را که تابعِ حوزهٔ قضاییِ ایالات متحده است ملزم کند داده‌ای را که در تصرف، حضانت یا کنترلِ خود دارد ارائه دهد، صرفِ‌نظر از این‌که آن داده درونِ ایالات متحده نگه‌داری شود یا نه.

حالا آن را برایِ چیزی که نمی‌گوید بخوانید. این قانون هیچ چیزی، حتی یک کلمه، دربارهٔ این‌که سرور کجاست نمی‌گوید. محلِ دیسک از پرسش‌بودن بازایستاد؛ تنها پرسشی که این قانون مطرح می‌کند این است که آیا دادگاهی در ایالات متحده می‌تواند به شرکتِ نگه‌دارندهٔ آن دست یابد یا نه. یک شرکتِ آمریکایی با یک مرکزِ دادهٔ در فرانکفورت، درونِ این قانون است. شرکتی بدونِ هیچ حضوری در ایالات متحده، بیرونِ آن است، و دیسکی که در ویرجینیا نشسته این را تغییر نمی‌دهد — برایِ آن، ایالات متحده دوباره به همان صفِ شرح‌داده‌شده در بالا بازمی‌گردد.

این قانون مسیرِ دومی را نیز گشود: موافقت‌نامه‌هایِ اجرایی میانِ ایالات متحده و یک دولتِ خارجیِ واجدِ شرایط، که زیرِ آن مقاماتِ هر طرف می‌توانند مستقیماً به ارائه‌دهندگانِ کشورِ دیگر دستور ابلاغ کنند. بریتانیا نخستینِ این‌ها را در سالِ 2019 امضا کرد و از سالِ 2022 به اجرا درآمد؛ استرالیا نیز به دنبالِ آن آمد. این‌ها فقط به ارائه‌دهندگانی می‌رسند که در دسترسِ دولت‌هایِ امضاکننده باشند و نه کسِ دیگر، که همان آزمونِ قبلی است، این‌بار با کلاهی متفاوت.

در اوتِ 2026 در اروپا چه چیزی تغییر کرد

اتحادیهٔ اروپا نسخهٔ خودش را از این مسیرِ مستقیم ساخته، و اجرایِ آن از 18 اوت 2026 آغاز شده — آن‌قدر تازه که بیشترِ صفحاتِ این بازار هنوز خودشان را به آن نرسانده‌اند. مقررهٔ (اتحادیهٔ اروپا) 2023/1543 دستورِ ارائهٔ اروپایی و دستورِ حفظِ دادهٔ اروپایی را پدید می‌آورد: مقامی در یک کشورِ عضو می‌تواند دستوری صادر کند و آن را مستقیماً به ارائه‌دهنده‌ای که در اتحادیه خدمات عرضه می‌کند ابلاغ کند، بدونِ عبور از مقاماتِ کشورِ دوم، آن‌طور که معاضدتِ متقابل این کار را می‌کند.

همراهش، دستورالعملِ (اتحادیهٔ اروپا) 2023/1544، همان بخشی است که این سازوکار را به کار می‌اندازد. ارائه‌دهندگانی که در اتحادیه خدمات عرضه می‌کنند، باید یک محلِ استقرار یا یک نمایندهٔ قانونی در یک کشورِ عضو برایِ دریافتِ این دستورها تعیین کنند. همین تعیینِ نماینده، همان قلاب است، و همان آزمونِ CLOUD Act است که این‌بار به شیوهٔ اروپایی نوشته شده: این ابزار به هرکسی می‌رسد که با فعالیت‌کردن در آنجا، پذیرفته است که در دسترس باشد.

آخرین ردیف همان موردی است که بیشتر از همه به‌غلط نقل می‌شود. کنوانسیونِ بوداپست دربارهٔ جرایمِ سایبری — معاهدهٔ شمارهٔ ETS 185 شورایِ اروپا، که در سالِ 2001 گشوده شد و اکنون بسیار فراتر از اروپا نیز به تصویب رسیده — در مادهٔ 29 حفظِ فوریِ داده، در مادهٔ 31 معاضدتِ متقابل دربارهٔ دادهٔ ذخیره‌شده را پیش‌بینی کرده، و در مادهٔ 35 هر عضو را ملزم می‌کند نقطهٔ تماسی بیست‌وچهارساعته در دسترس نگه دارد. مادهٔ 32(b)، همانی که مردم آن را اختیاری کلی برایِ دسترسیِ ازراه‌دور می‌نامند، این دسترسی را فقط در جایی مجاز می‌داند که داده به‌طورِ عمومی در دسترس باشد یا شخصی که قانوناً حقِ افشایِ آن را دارد رضایت دهد. این دری باریک است، نه دری پشتی.

دو مسیری که پایِ هیچ قاضی‌ای به آن‌ها باز نمی‌شود

این‌جا نیمهٔ ناخوشایندِ پاسخ است. هر مسیری که در بالا آمد، کند، رسمی و قابلِ‌شمارش است — گزارشِ انتهایِ این صفحه آن‌ها را می‌شمارد. مسیرهایی که واقعاً بیشترِ وب‌سایت‌ها را از پا درمی‌آورند، هیچ‌کدام از این‌ها نیستند، و خواننده‌ای که تا این‌جا سازوکارِ معاهده‌ها را دنبال کرده، معمولاً نگرانِ چیزِ اشتباهی است.

• بالادستی. یک ارائه‌دهنده، ترانزیت را از حامل‌ها و فضایِ فیزیکی را از یک تأسیسات اجاره می‌کند. شکایتی که به‌جایِ ارائه‌دهنده به آن‌ها فرستاده شود، به طرفی می‌رسد که هیچ رابطه‌ای با شما ندارد و با اقدام رویِ آن هیچ چیزی از دست نمی‌دهد. آن‌چه به آن پاسخ می‌دهد، ارائه‌دهنده‌ای است که مالکِ آن رابطه است و پیش‌تر هم رد کرده است.
• ثبت‌کننده. یک دامنه، مجوزی از یک رجیستری در حوزهٔ قضاییِ خودش است، و یک رجیستری می‌تواند نامی را بدونِ این‌که اصلاً به سرور دست بزند، معلق کند. ماشین به کارِ خود ادامه می‌دهد؛ اما هیچ چیزی حل نمی‌شود. این سطحِ حملهٔ دیگری است با راهنمایِ مخصوصِ خودش.
• مسیرِ پرداخت. یک پردازشگرِ کارت می‌تواند با یک شکایت، به میلِ خود، حسابی را مسدود کند، بدونِ هیچ فرآیندی که ارزشِ این نام را داشته باشد و بدونِ هیچ امکانِ تجدیدِنظر. همین، بیشترِ دلیلی است که تسویه‌حساب در اینجا فقط رویِ زنجیره انجام می‌شود.
• میزِ رسیدگی به سوءاستفاده. شکایت را فردی در میزی دیگر، با ساعتی دیگر، در برابرِ یک سیاست می‌خواند، نه یک قانون. چه کسی شکایتی دربارهٔ شما را می‌خواند این ماجرا را از درون شرح می‌دهد.

هیچ‌کدامِ این‌ها یک درخواستِ فرامرزیِ داده نیست، و دقیقاً به همین دلیل است که جایشان در راهنمایی دربارهٔ درخواست‌هایِ فرامرزیِ داده است. تهدیدی که مردم برایِ حل‌کردنش میزبانیِ برون‌مرزی می‌خرند، اغلب همان تهدیدی نیست که واقعاً به آن‌ها می‌رسد.

سنجیدنِ ساختارِ یک میزبان در برابرِ همهٔ این‌ها

هر آن‌چه در بالا آمد، به مشتی واقعیتِ قابلِ‌بررسی دربارهٔ یک شرکت فروکاسته می‌شود، و هر یک از آن‌ها را می‌توان پیش از خرجِ حتی یک ریال، اثبات کرد.

1. کدام نهاد رویِ فاکتور است، و کجا به ثبت رسیده. نه منطقه، نه پرچمِ رویِ نقشه: همان شرکتی که دارید با آن قرارداد می‌بندید.
2. یک نهادِ واحد، یا یکی برایِ هر منطقه. یک شرکتِ واحد که در هشت کشور فعالیت می‌کند، یک خواندهٔ واحد با هشت نشانی است، و یک دستور علیهِ آن، به همهٔ آن‌ها می‌رسد.
3. آیا چیزی در آن گروه، از حوزهٔ قضایی‌ای که در موردش فکر می‌کنید، در دسترس است. یک شرکتِ مادر، یک زیرمجموعه، یک دفتر، یک حسابِ بانکی. این همان آزمونِ CLOUD Act است و بسیار فراتر از خودِ آن قانون کاربرد دارد.
4. ارائه‌دهنده می‌گوید با یک دستورِ خارجی چه می‌کند. به‌صورتِ مکتوب، با یک بازهٔ زمانیِ مشخص، منتشرشده پیش از آن‌که اصلاً به آن نیاز داشته باشد.
5. پس از آن چه چیزی منتشر می‌کند. شماری از آن‌چه رسیده، آن‌چه از آن معیار عبور کرده، و آن‌چه واقعاً ارائه شده. عددِ سوم همان عددی است که هیچ‌کس نمی‌تواند به‌طورِ قانع‌کننده جعلش کند، چون همان عددی است که می‌تواند شرم‌آور باشد.
6. اصلاً چه چیزی برایِ ارائه‌شدن وجود دارد. آخرین پرسش، و در نهایت تنها پرسشی که چیزی را تعیین می‌کند.

ساختارِ این مجموعه، هشت منطقه و هشت شرکت است، هر یک در ثبتِ کشورِ خودش، و دقیقاً به همین دلیل، دستوری که علیهِ یکی گرفته شود، علیهِ دیگری قابلِ‌اجرا نیست، مگر آن‌که کلِ فرآیند دوباره در کشورِ دوم از نو آغاز شود. این شیوه‌ای پرهزینه برایِ سامان‌دادن به یک کسب‌وکار است و دقیقاً به همین یک دلیل، این‌گونه سامان داده شده؛ شرایط در بندِ 1 همین را می‌گوید و فهرستِ نهادها در صفحهٔ دربارهٔ ما آمده است.

این‌که در اعداد و ارقام چه شکلی دارد

این مجموعه، هر آن‌چه را که می‌رسد، فصل‌به‌فصل منتشر می‌کند، و از همان روزِ افتتاح چنین بوده است. از میانِ 164 درخواستِ مجریانِ قانون که تا امروز دریافت شده، 54 مورد از آن معیارِ قانونی عبور کرده‌اند — یعنی دستوری از دادگاهی که بر نهادِ موردِ ابلاغ صلاحیت داشته — و 31 مورد اصلاً چیزی تولید کرده‌اند.

رقمی که ارزشِ خواندن دارد، همان شکاف است. صد و ده درخواست، یعنی دوسومِ هر آن‌چه رسیده، هرگز از همان پرسشی که کلِ این راهنما دربارهٔ آن است عبور نکردند: این‌که آیا این ابلاغ توسطِ دادگاهی صورت گرفته که بتواند به شرکتی که به آن ابلاغ شده دست یابد. این نه نرخِ امتناع است و نه سرپیچی. این شکلِ خودِ مسئله است، در نمونه‌ای از یک شرکت.

رقمِ دوم در سرِ دیگرِ ماجراست. از میانِ آن سی‌ویک موردی که چیزی تولید کردند، آن‌چه تولید شد، فهرستِ موجودی بود — یک نشانیِ ایمیل که نگه‌دارندهٔ یک حساب است، یک قلمِ دفترِ رویِ زنجیره — و هرگز محتوایِ یک دیسک نبود. نه به این دلیل که خطی قهرمانانه حفظ شده، بلکه به این دلیل که سابقه‌ای که هرگز ایجاد نشده را نمی‌توان به کسی تحویل داد. گزارشِ کامل در صفحهٔ شفافیت است، و فرآیندی که این گزارش می‌شمارد، در سیاستِ مجریانِ قانون نوشته شده است.

پرسش‌هایی که واقعاً پرسیده می‌شوند

هر قیمت در این مجموعه به‌طور کامل و در یک مکان منتشر شده است. کل کاتالوگ را ببینید