스웨덴의 VPN 데이터 보존: 서비스 유형부터 시작하세요

VPN 회사가 어디에 등록되어 있는지는 그 회사의 서비스에 어느 법이 적용되는지 말해 주지 않는다. 보존 의무는 정의된 서비스 범주와 그 서비스의 제공자에게 붙는다. 주장을 순서대로 따져 보라. 현행 체계, 서비스 분류, 그리고 실제로 보관되는 데이터다. 라벨로 곧장 건너뛰는 것이 오래된 포럼 답변을 오늘날의 자신만만한 잘못된 정보로 만든다.

시행 중인 법의 판본부터 시작하세요

이 주제에 관한 오래된 답변은 스웨덴의 2003년 전자통신법을 마치 여전히 전체 체계인 것처럼 인용한다. 그렇지 않다. 2022년 도입법이 대체 법령을 2022년 유월 3일 시행하고 옛 법을 법령집에서 제거했으며, 경과 규정은 남겨 두었다.

그 경과 규정은 기술적 세부 사항이 아니다. 변경 이전 사건에 관한 질문은 여전히 이전 규칙에 따라 답할 수 있으므로 옛 자료가 무가치한 것은 아니다. 다만 지금 적용되는 것을 설명하지 않으며, 그렇게 제시하면 나중에 요약을 읽는 모든 사람을 오도한다. 법률 요약에 의존할 때는 항상 날짜와 판본을 적어 두라.

날짜 없는 결론은 각주가 붙은 소문이다.

의무를 적용하기 전에 서비스를 분류하세요

스웨덴 규제기관 PTS는 의무를 공중 통신망을 운영하거나 공중이 이용할 수 있는 전자통신 서비스를 제공하며 신고 대상인 사업자에게 연결한다. 그 문구는 분류 시험이지 터널 접속을 파는 모든 회사의 설명이 아니다. 신고 지침은 실제로 제공되는 서비스, 사업자가 신호를 전송하는지, 이용자와의 계약 관계, 이용자에 대한 책임, 서비스가 공중에 제공되는지를 본다.

일부 OTT 서비스는 그 설명 밖에 있으며, 지침은 이를 인터넷 접속 서비스와 구별한다. 분석에서 «VPN»은 범주가 아니다. 이용자와 관계가 다른 여러 사업 모델을 아우르는 제품 단어다.

그러므로 해당 제공자가 무엇을 공급하는지 적어 두라. 인터넷 연결인가, 다른 이의 접속 서비스 위에 얹은 계층인가, 추가 통신 기능인가, 아니면 그 조합인가. 어떤 의무가 범위에 드는지를 결정하는 것은 회사 주소가 아니라 바로 그 답이다.

공개와 감청은 다른 질문입니다

PTS의 보존 자료는 보관된 정보의 공개와 통신 내용의 감청을 구분한다. 이들은 법적 근거가 다른 별개의 조치이며, 하나를 다루는 제공자 진술이 다른 하나에 답하지 않는다. 이를 섞으면 양측이 서로 다른 권한을 설명하는 논쟁이 생긴다.

법정 보존은 제공자 자체 정책과도 분리해 두라. 사업자가 어떤 계정 기록, 지원 티켓, 연결 메타데이터를 자발적으로 처리하며 얼마나 오래 보관하는가. 하나의 보존 의무에 관한 결론이 기록이 전혀 없다는 것을 입증하지는 않으며, «로그 없음» 슬로건은 다른 어떤 주장과 같은 증거를 요구하는 마케팅 주장이다. 답이 참인지 판단하기 전에 그 주장이 두 질문 중 어느 것에 답하는지 물어라.

제공자 한 곳을 질문들로 통과시켜 보세요

당신과 계약하는 법인, 제공자가 주장하는 서비스 분류, 보존 입장의 명시된 근거, 처리하는 데이터 범주, 각각의 보존 기간을 서면으로 요구하라. 그 다섯 항목이 모호한 보증을 검증 가능한 것으로 바꾼다. 법인이나 분류를 대지 못하는 제공자는 이미 유용한 말을 한 셈이다.

그다음 답변을 2022년에 폐지된 법을 인용하는 블로그 글이 아니라 현행 PTS 지침과 비교하라. 분류가 정말 불분명하다면 정직한 결론은 PTS나 자격을 갖춘 스웨덴 자문가의 평가가 필요하다는 것이지, 포럼 스레드가 그것을 해결했다는 것이 아니다.

결론 옆에 날짜와 범위를 기록하라. 체계는 이미 한 번 바뀌었고, 2021년에 정확했던 진술이 영구 보증처럼 유통되어서는 안 된다.

결국 남는 것은 검증 가능한 주장이다. 현행 권한, 적용 대상 서비스, 필요한 데이터, 그리고 별도의 운영 정책. 이는 «모든 스웨덴 VPN이 기록한다»거나 «스웨덴 법이 그들을 건드릴 수 없다»는 말보다 유용하다.