Svensk VPN-oppbevaring: start med tjenestetypen
Svenske oppbevaringsregler knytter seg til definerte kommunikasjonstjenester, ikke til ordet VPN. Kontroller gjeldende rammeverk og den faktiske tjenesten før du bestemmer deg.
Hvor et VPN-selskap er registrert, sier ingenting om hvilken lov som gjelder for tjenesten. Oppbevaringsplikt knytter seg til en definert tjenestekategori og til tilbyderen av den tjenesten. Gå gjennom påstanden i rekkefølge: gjeldende rammeverk, tjenesteklassifisering, deretter dataene som faktisk lagres. Det er spranget rett til etiketten som gjør gamle forumssvar til dagens selvsikre feilinformasjon.
Start med versjonen av loven som er i kraft
Eldre svar om dette temaet viser til Sveriges lov om elektronisk kommunikasjon fra 2003 som om den fortsatt er hele rammeverket. Det er den ikke. Innføringsloven fra 2022 satte erstatningsloven i kraft 3. juni 2022 og fjernet den eldre loven fra lovsamlingen, mens overgangsbestemmelser ble stående.
Disse overgangsbestemmelsene er ikke en teknisk detalj. Et spørsmål om hendelser før endringen kan fortsatt besvares etter de tidligere reglene, så det gamle materialet er ikke verdiløst. Det beskriver bare ikke det som gjelder nå, og å fremstille det som det villeder alle som senere leser sammendraget. Noter dato og versjon når du i det hele tatt støtter deg på et juridisk sammendrag.
En konklusjon uten dato er et rykte med fotnoter.
Klassifiser tjenesten før du bruker en plikt
PTS, den svenske regulatoren, knytter plikten til virksomheter som driver offentlige kommunikasjonsnett eller tilbyr offentlig tilgjengelige elektroniske kommunikasjonstjenester, og som er underlagt meldeplikt. Den formuleringen er en klassifiseringstest, ikke en beskrivelse av hvert selskap som selger tilgang til en tunnel. Veiledningen deres om melding ser på tjenesten som faktisk tilbys, om virksomheten overfører signaler, det kontraktsmessige forholdet til brukerne, ansvaret overfor disse brukerne og om tjenesten er offentlig tilgjengelig.
Noen over-the-top-tjenester faller utenfor denne beskrivelsen, og veiledningen skiller dem fra internettilgangstjenester. «VPN» er ikke en kategori i analysen; det er et produktord som dekker flere forretningsmodeller med ulike forhold til brukeren.
Så skriv ned hva den konkrete tilbyderen leverer. Selger den en internettforbindelse, et lag oppå en annens tilgangstjeneste, ekstra kommunikasjonsfunksjoner eller en kombinasjon? Det svaret, ikke selskapets adresse, avgjør hvilke forpliktelser som i det hele tatt er i bildet.
| Question | What it settles |
|---|---|
| What service is sold, in whose name? | Whether a notification duty is plausible |
| Who contracts with the user? | Which legal entity carries the duty |
| Is the service publicly available? | Whether the public-service limb applies |
Utlevering og avlytting er forskjellige spørsmål
PTS' oppbevaringsmateriale skiller utlevering av lagret informasjon fra avlytting av kommunikasjonsinnhold. Dette er ulike tiltak med ulike rettslige grunnlag, og en tilbydererklæring som behandler det ene, svarer ikke på det andre. Å blande dem gir debatter der begge sider beskriver ulike fullmakter.
Hold også lovbestemt oppbevaring atskilt fra tilbyderens egen policy. Hvilke kontooppføringer, støttebilletter eller tilkoblingsmetadata behandler virksomheten frivillig, og hvor lenge? En konklusjon om én oppbevaringsplikt beviser ikke at det ikke finnes oppføringer, og et «ingen logger»-slagord er en markedsføringspåstand som fortjener de samme bevisene som enhver annen. Spør hvilket av de to spørsmålene en påstand besvarer, før du vurderer om svaret er sant.
Ta én tilbyder gjennom spørsmålene
Be skriftlig om den juridiske enheten som inngår avtale med deg, tjenesteklassifiseringen den hevder, det oppgitte grunnlaget for oppbevaringsstandpunktet, kategoriene av data den behandler og oppbevaringsperioden for hver. Disse fem punktene gjør en vag forsikring til noe som kan kontrolleres. En tilbyder som ikke kan navngi enheten eller klassifiseringen, har allerede fortalt deg noe nyttig.
Deretter sammenligner du svarene med PTS' gjeldende veiledning i stedet for med et blogginnlegg som viser til en lov som ble opphevet i 2022. Der klassifiseringen er reelt uklar, er den ærlige konklusjonen at den trenger en vurdering fra PTS eller en kvalifisert svensk rådgiver, ikke at en forumtråd avgjorde den.
Noter dato og omfang ved siden av konklusjonen. Rammeverket er allerede endret én gang, og en uttalelse som var korrekt i 2021, bør ikke sirkulere som en permanent garanti.
Det du ender med, er en påstand som kan testes: gjeldende myndighet, omfattet tjeneste, nødvendige data og egen drifts policy. Det er mer nyttig enn både «alle svenske VPN-er logger» og «svensk lov kan ikke røre dem».