Retensi data VPN di Swedia: mulai dari jenis layanannya

Di mana sebuah perusahaan VPN terdaftar tidak mengatakan apa pun tentang hukum mana yang berlaku bagi layanannya. Kewajiban retensi melekat pada kategori layanan yang ditetapkan dan pada penyedia layanan itu. Telusuri klaimnya secara berurutan: kerangka yang berlaku, klasifikasi layanan, lalu data yang benar-benar disimpan. Melompat langsung ke label adalah cara jawaban forum lama menjadi misinformasi percaya diri hari ini.

Mulailah dari versi undang-undang yang berlaku

Jawaban lama tentang topik ini mengutip Undang-Undang Komunikasi Elektronik Swedia tahun 2003 seolah-olah masih menjadi seluruh kerangka. Tidak demikian. Undang-undang pengenalan 2022 memberlakukan statuta pengganti pada 3 Juni 2022 dan menghapus undang-undang lama dari kitab undang-undang, sambil mempertahankan ketentuan peralihan.

Ketentuan peralihan itu bukan detail teknis. Pertanyaan tentang peristiwa sebelum perubahan masih dapat dijawab menurut aturan sebelumnya, jadi materi lama tidak sia-sia. Materi itu hanya tidak menjelaskan apa yang berlaku sekarang, dan menyajikannya sebagai penjelasan saat ini menyesatkan semua orang yang nanti membaca ringkasannya. Catat tanggal dan versinya setiap kali Anda bersandar pada ringkasan hukum.

Kesimpulan tanpa tanggal adalah desas-desus dengan catatan kaki.

Klasifikasikan layanannya sebelum menerapkan kewajiban

PTS, regulator Swedia, mengaitkan kewajiban itu dengan badan usaha yang menjalankan jaringan komunikasi publik atau menawarkan layanan komunikasi elektronik yang tersedia untuk publik, dan tunduk pada notifikasi. Frasa itu adalah uji klasifikasi, bukan deskripsi setiap perusahaan yang menjual akses ke terowongan. Panduan notifikasinya meninjau layanan yang benar-benar ditawarkan, apakah usaha itu memancarkan sinyal, hubungan kontraktual dengan pengguna, tanggung jawab terhadap pengguna tersebut, dan apakah layanannya tersedia untuk publik.

Sejumlah layanan over-the-top berada di luar deskripsi itu, dan panduannya membedakannya dari layanan akses internet. «VPN» bukan kategori dalam analisis; itu kata produk yang mencakup beberapa model bisnis dengan hubungan berbeda dengan pengguna.

Jadi catat apa yang disediakan penyedia tertentu. Apakah ia menjual sambungan internet, lapisan di atas layanan akses milik orang lain, fungsi komunikasi tambahan, atau kombinasi? Jawaban itulah, bukan alamat kantor perusahaan, yang menentukan kewajiban mana yang bahkan masuk lingkup.

Pengungkapan dan penyadapan adalah dua pertanyaan berbeda

Materi retensi PTS memisahkan pengungkapan informasi yang disimpan dari penyadapan isi komunikasi. Keduanya langkah berbeda dengan dasar hukum berbeda, dan pernyataan penyedia yang membahas salah satunya tidak menjawab yang lain. Mencampurnya menghasilkan perdebatan di mana kedua pihak menjelaskan kewenangan yang berbeda.

Pisahkan pula retensi menurut undang-undang dari kebijakan penyedia sendiri. Catatan akun, tiket dukungan, atau metadata koneksi mana yang diproses usaha itu secara sukarela, dan untuk berapa lama? Kesimpulan tentang satu kewajiban retensi tidak membuktikan tidak ada catatan, dan slogan «tanpa log» adalah klaim pemasaran yang layak mendapat bukti yang sama seperti klaim lain. Tanyakan pertanyaan mana dari dua itu yang dijawab sebuah klaim sebelum menilai apakah jawabannya benar.

Bawa satu penyedia melewati pertanyaan-pertanyaannya

Minta secara tertulis entitas hukum yang berkontrak dengan Anda, klasifikasi layanan yang diklaimnya, dasar yang dinyatakan bagi posisi retensinya, kategori data yang diprosesnya, dan periode retensi untuk masing-masing. Kelima hal itu mengubah jaminan kabur menjadi sesuatu yang dapat diperiksa. Penyedia yang tidak dapat menyebut entitas atau klasifikasinya sudah mengatakan sesuatu yang berguna kepada Anda.

Lalu bandingkan jawabannya dengan panduan PTS yang berlaku, bukan dengan pos blog yang mengutip undang-undang yang dicabut pada 2022. Ketika klasifikasinya benar-benar tidak jelas, kesimpulan jujurnya adalah bahwa hal itu perlu penilaian PTS atau penasihat Swedia yang berkualifikasi, bukan bahwa sebuah utas forum telah menyelesaikannya.

Catat tanggal dan cakupannya di samping kesimpulan Anda. Kerangka itu sudah berubah satu kali, dan pernyataan yang akurat pada 2021 tidak semestinya beredar sebagai jaminan permanen.

Yang akhirnya Anda miliki adalah klaim yang dapat diuji: otoritas yang berlaku, layanan yang tercakup, data yang diperlukan, dan kebijakan operasional yang terpisah. Itu lebih berguna daripada «semua VPN Swedia mencatat log» atau «hukum Swedia tidak bisa menyentuh mereka».