Pengekalan data VPN di Sweden: mulakan dengan jenis perkhidmatan

Di mana syarikat VPN didaftarkan tidak menjelaskan undang-undang mana yang terpakai kepada perkhidmatannya. Kewajipan pengekalan terikat pada kategori perkhidmatan yang ditakrifkan dan kepada penyedia perkhidmatan itu. Telusuri dakwaan mengikut urutan: rangka kerja semasa, klasifikasi perkhidmatan, kemudian data yang benar-benar disimpan. Melompat terus ke label itulah cara jawapan forum lama menjadi salah maklumat yang yakin hari ini.

Mulakan dengan versi undang-undang yang berkuat kuasa

Jawapan lama tentang topik ini memetik Akta Komunikasi Elektronik Sweden 2003 seolah-olah ia masih menjadi keseluruhan rangka kerja. Ia bukan. Akta pengenalan 2022 menguatkuasakan statut pengganti pada 3 Jun 2022 dan mengeluarkan akta lama daripada buku statut, sambil mengekalkan peruntukan peralihan.

Peruntukan peralihan itu bukan butiran teknikal. Soalan tentang peristiwa sebelum perubahan masih boleh dijawab di bawah peraturan terdahulu, jadi bahan lama itu bukan tidak bernilai. Ia cuma tidak menerangkan apa yang terpakai sekarang, dan membentangkannya sedemikian mengelirukan semua yang membaca ringkasan itu kemudian. Catat tarikh dan versi setiap kali anda bergantung pada ringkasan undang-undang.

Kesimpulan tanpa tarikh ialah khabar angin dengan nota kaki.

Klasifikasikan perkhidmatan sebelum mengenakan kewajipan

PTS, pengawal selia Sweden, mengikat kewajipan itu kepada perusahaan yang mengendalikan rangkaian komunikasi awam atau menawarkan perkhidmatan komunikasi elektronik yang tersedia kepada orang awam, dan yang tertakluk kepada pemberitahuan. Frasa itu ialah ujian klasifikasi, bukan penerangan setiap syarikat yang menjual akses kepada terowong. Panduan pemberitahuannya meneliti perkhidmatan yang benar-benar ditawarkan, sama ada perniagaan itu menghantar isyarat, hubungan kontrak dengan pengguna, tanggungjawab terhadap pengguna tersebut, dan sama ada perkhidmatan itu tersedia kepada orang awam.

Sesetengah perkhidmatan over-the-top berada di luar penerangan itu, dan panduan itu membezakannya daripada perkhidmatan akses internet. «VPN» bukan kategori dalam analisis; ia perkataan produk yang merangkumi beberapa model perniagaan dengan hubungan berbeza dengan pengguna.

Jadi catat apa yang dibekalkan penyedia tertentu. Adakah ia menjual sambungan internet, lapisan di atas perkhidmatan akses orang lain, fungsi komunikasi tambahan, atau gabungan? Jawapan itulah, bukan alamat syarikat, yang menentukan kewajipan mana yang masuk dalam skop.

Pendedahan dan pemintasan ialah dua soalan berbeza

Bahan pengekalan PTS memisahkan pendedahan maklumat yang disimpan daripada pemintasan kandungan komunikasi. Kedua-duanya langkah berbeza dengan asas undang-undang berbeza, dan kenyataan penyedia yang menangani satu tidak menjawab yang lain. Mencampurkannya menghasilkan perdebatan di mana kedua-dua pihak menerangkan kuasa yang berbeza.

Pisahkan juga pengekalan berkanun daripada dasar penyedia sendiri. Rekod akaun, tiket sokongan atau metadata sambungan mana yang diproses perniagaan secara sukarela, dan berapa lama? Kesimpulan tentang satu kewajipan pengekalan tidak membuktikan tiada rekod, dan slogan «tiada log» ialah dakwaan pemasaran yang berhak mendapat bukti yang sama seperti mana-mana yang lain. Tanya soalan mana antara dua itu yang dijawab oleh sesuatu dakwaan sebelum menilai sama ada jawapannya benar.

Bawa seorang penyedia melalui soalan-soalan itu

Minta secara bertulis entiti undang-undang yang berkontrak dengan anda, klasifikasi perkhidmatan yang didakwanya, asas yang dinyatakan bagi pendirian pengekalannya, kategori data yang diprosesnya, dan tempoh pengekalan bagi setiap satu. Kelima-lima perkara itu menjadikan jaminan kabur sesuatu yang boleh diperiksa. Penyedia yang tidak dapat menamakan entiti atau klasifikasi itu sudah memberitahu anda sesuatu yang berguna.

Kemudian bandingkan jawapan itu dengan panduan PTS semasa, bukan dengan catatan blog yang memetik undang-undang yang dimansuhkan pada 2022. Apabila klasifikasi itu benar-benar tidak jelas, kesimpulan jujurnya ialah ia memerlukan penilaian PTS atau penasihat Sweden yang berkelayakan, bukan bahawa sesuatu benang forum telah menyelesaikannya.

Catat tarikh dan skop di sebelah kesimpulan anda. Rangka kerja itu sudah berubah sekali, dan kenyataan yang tepat pada 2021 tidak sepatutnya beredar sebagai jaminan kekal.

Akhirnya anda mempunyai dakwaan yang boleh diuji: kuasa semasa, perkhidmatan yang diliputi, data yang diperlukan dan dasar operasi yang berasingan. Itu lebih berguna daripada «semua VPN Sweden merekod log» atau «undang-undang Sweden tidak boleh menyentuh mereka».