Conservation des données VPN en Suède : partez du type de service
Les règles suédoises de conservation s’attachent à des services de communications définis, pas au mot VPN. Vérifiez le cadre en vigueur et le service réel avant de décider.
L’endroit où une société VPN est enregistrée ne dit rien du droit applicable à son service. Les obligations de conservation s’attachent à une catégorie de service définie et au fournisseur de ce service. Parcourez l’affirmation dans l’ordre : cadre en vigueur, classification du service, puis les données réellement détenues. Sauter directement à l’étiquette, c’est ainsi que les vieilles réponses de forum deviennent la désinformation assurée d’aujourd’hui.
Commencez par la version de la loi en vigueur
Les réponses plus anciennes sur ce sujet citent la loi suédoise sur les communications électroniques de 2003 comme si elle constituait encore tout le cadre. Ce n’est pas le cas. La loi d’introduction de 2022 a mis en vigueur le texte de remplacement le 3 juin 2022 et a retiré l’ancienne loi du recueil, en laissant des dispositions transitoires.
Ces dispositions transitoires ne sont pas un détail technique. Une question portant sur des faits antérieurs au changement peut encore recevoir une réponse selon les règles antérieures, donc l’ancien matériel n’est pas sans valeur. Il ne décrit simplement pas ce qui s’applique aujourd’hui, et le présenter comme tel trompe tous ceux qui liront le résumé plus tard. Notez la date et la version chaque fois que vous vous appuyez sur un résumé juridique.
Une conclusion sans date est une rumeur avec des notes de bas de page.
Classez le service avant d’appliquer une obligation
Le PTS, le régulateur suédois, rattache l’obligation aux entreprises qui exploitent des réseaux de communications publics ou offrent des services de communications électroniques accessibles au public, et qui sont soumises à notification. Cette formulation est un test de classification, non une description de toute société vendant un accès à un tunnel. Ses lignes directrices sur la notification examinent le service réellement offert, la transmission de signaux par l’entreprise, la relation contractuelle avec les utilisateurs, la responsabilité envers ces utilisateurs et l’accessibilité du service au public.
Certains services over-the-top sortent de cette description, et les lignes directrices les distinguent des services d’accès à internet. « VPN » n’est pas une catégorie dans l’analyse ; c’est un mot de produit recouvrant plusieurs modèles économiques aux relations différentes avec l’utilisateur.
Notez donc ce que fournit le fournisseur concerné. Vend-il une connexion internet, une couche par-dessus le service d’accès d’un autre, des fonctions de communication supplémentaires ou une combinaison ? Cette réponse, et non l’adresse du siège, décide quelles obligations entrent seulement dans le champ.
| Question | What it settles |
|---|---|
| What service is sold, in whose name? | Whether a notification duty is plausible |
| Who contracts with the user? | Which legal entity carries the duty |
| Is the service publicly available? | Whether the public-service limb applies |
La divulgation et l’interception sont des questions différentes
Les documents du PTS sur la conservation séparent la divulgation des informations conservées de l’interception du contenu des communications. Ce sont des mesures distinctes aux bases juridiques distinctes, et une déclaration de fournisseur qui traite l’une ne répond pas à l’autre. Les confondre produit des débats où les deux camps décrivent des pouvoirs différents.
Gardez aussi la conservation légale distincte de la politique propre au fournisseur. Quels registres de compte, tickets d’assistance ou métadonnées de connexion l’entreprise traite-t-elle volontairement, et pendant combien de temps ? Une conclusion sur une obligation de conservation n’établit pas qu’aucun registre n’existe, et un slogan « aucun journal » est une affirmation marketing qui mérite les mêmes preuves que toute autre. Demandez à laquelle des deux questions répond une affirmation avant de juger si la réponse est vraie.
Faites passer un fournisseur par les questions
Demandez par écrit l’entité juridique qui contracte avec vous, la classification du service qu’elle revendique, la base déclarée de sa position sur la conservation, les catégories de données qu’elle traite et la durée de conservation de chacune. Ces cinq éléments transforment une assurance vague en quelque chose de vérifiable. Un fournisseur qui ne peut nommer ni l’entité ni la classification vous a déjà dit quelque chose d’utile.
Comparez ensuite les réponses aux lignes directrices actuelles du PTS plutôt qu’à un billet de blog citant une loi abrogée en 2022. Là où la classification est vraiment incertaine, la conclusion honnête est qu’elle exige une évaluation par le PTS ou un conseiller suédois qualifié, non qu’un fil de forum l’a tranchée.
Notez la date et la portée à côté de votre conclusion. Le cadre a déjà changé une fois, et une affirmation exacte en 2021 ne devrait pas circuler comme une garantie permanente.
Ce qu’il vous reste est une affirmation testable : autorité actuelle, service couvert, données requises et politique opérationnelle distincte. C’est plus utile que « tous les VPN suédois journalisent » ou « la loi suédoise ne peut pas les atteindre ».