Немного расскажу как дело происходит с другой стороны барикад, глазами провайдера. Провайдеру приходит запрос на однозначную идентификацию абонента, в запросе IP и точное время, по этому запросу провайдер из личной базы извлекает информацию и передает органам, вроди все просто, но за любые действия совершенные со своего адреса ответственность несет пользователь. По поводу тора, с одной стороны никаких законодательных актов, запрещающих его использование нет, с другой - вы предоставляете возможность неограниченному кругу лиц пользоваться вашим каналом в интернет и ответственность за их действия лежит на вас, провайдерская деятельность должна лицензироваться, не смогут докопаться конкретно к тору, смогут к ведению деятельности без лицензии, пособничеству терроризму и еще что только смогут придумать при большом желании, тут так, не смогли перевести стрелки и указать на того кто это делал за вами - ваша вина. Нанимайте адвоката и ходите на все беседы вместе с ним, потратитесь сейчас, зато с меньшей вероятностью станете козлом отпущения для закрытия очередной галки.