スウェーデンのVPNデータ保持：サービスの種類から考える

VPN企業がどこに登記されているかは、そのサービスにどの法律が適用されるかを何も語らない。保持義務は、定義されたサービス区分とそのサービスの提供者に結びつく。主張は順番にたどる。現行の枠組み、サービスの分類、そして実際に保持されているデータだ。ラベルへ飛びつくことが、古いフォーラムの回答を今日の自信に満ちた誤情報に変える。

効力のある法律の版から始める

この話題の古い回答は、スウェーデンの2003年電子通信法を、いまも枠組み全体であるかのように引用する。そうではない。2022年の導入法が代替法令を2022年六月3日に発効させ、旧法を法令集から外した。経過規定は残されている。

その経過規定は技術的な細部ではない。変更前の出来事についての質問は、なお以前の規則で答えられる場合があるので、古い資料は無価値ではない。ただ、いま何が適用されるかの説明ではないのであり、そう装って示せば、後で要約を読むすべての人を誤らせる。法的要約に頼るなら、必ず日付と版を書き留める。

日付のない結論は脚注付きの噂である。

義務を適用する前にサービスを分類する

スウェーデンの規制当局PTSは、義務を、公衆通信ネットワークを運営するか、公衆に提供される電子通信サービスを提供し、届出の対象となる事業者に結びつける。その文言は分類のテストであって、トンネルへのアクセスを売るすべての企業の説明ではない。届出の指針は、実際に提供されるサービス、事業者が信号を伝送するか、利用者との契約関係、利用者への責任、サービスが公衆に提供されているかを見る。

一部のOTTサービスはその説明の外にあり、指針はそれらをインターネット接続サービスと区別する。分析において「VPN」は区分ではない。利用者との関係が異なる複数の事業モデルを覆う製品語である。

だから、その提供者が何を供給しているのかを書き出す。インターネット接続か、他人の接続サービスの上に重ねる層か、追加の通信機能か、その組み合わせか。どの義務がそもそも対象に入るかを決めるのは、会社の住所ではなくこの答えだ。

開示と傍受は別の問いである

PTSの保持資料は、保持された情報の開示と通信内容の傍受を分けている。これらは法的根拠の異なる別個の措置であり、一方を扱う提供者の声明は他方に答えるものではない。混同すると、双方が異なる権限を説明する議論になる。

法定の保持は提供者自身の方針とも切り離す。事業者はどのアカウント記録、サポートチケット、接続メタデータを自発的に処理し、どれだけの期間保持するのか。一つの保持義務についての結論は、記録が存在しないことを証明しないし、「ログなし」というスローガンは他の主張と同じ証拠を要するマーケティング上の主張だ。答えが正しいか判断する前に、その主張が二つの問いのどちらに答えているのかを尋ねる。

一人の提供者を問いの順にたどる

契約する法人、主張するサービス分類、保持方針の根拠として示されたもの、処理するデータの区分、それぞれの保持期間を書面で求める。この五項目が、曖昧な保証を検証可能なものに変える。法人も分類も挙げられない提供者は、それ自体で有益なことを伝えている。

次に、その回答を2022年に廃止された法律を引用するブログ記事ではなく、現行のPTS指針と比べる。分類が本当に不明確な場合、正直な結論は、PTSか資格あるスウェーデンの顧問による評価が必要だということであり、フォーラムのスレッドが決着させたということではない。

結論のそばに日付と範囲を記録する。枠組みはすでに一度変わっており、2021年に正確だった記述が永久の保証として出回るべきではない。

最終的に残るのは検証可能な主張だ。現行の権限、対象となるサービス、必要なデータ、そして別個の運用方針である。これは「スウェーデンのVPNはすべて記録している」よりも「スウェーデン法は彼らに触れられない」よりも役に立つ。