Zweedse VPN-bewaring: begin bij het diensttype
Zweedse bewaarregels hangen aan gedefinieerde communicatiediensten, niet aan het woord VPN. Controleer het geldende kader en de werkelijke dienst voordat u beslist.
Waar een VPN-bedrijf is geregistreerd, zegt niets over welk recht op zijn dienst van toepassing is. Bewaarplichten hangen aan een gedefinieerde dienstcategorie en aan de aanbieder van die dienst. Loop de bewering op volgorde na: geldend kader, dienstclassificatie en dan de gegevens die feitelijk worden bewaard. Juist de sprong naar het etiket maakt oude forumantwoorden tot de zelfverzekerde desinformatie van vandaag.
Begin bij de versie van de wet die geldt
Oudere antwoorden over dit onderwerp citeren de Zweedse wet op de elektronische communicatie uit 2003 alsof die nog steeds het hele kader is. Dat is niet zo. De invoeringswet van 2022 stelde de vervangende regeling op 3 juni 2022 in werking en haalde de oudere wet uit het wetboek, met overgangsbepalingen die bleven staan.
Die overgangsbepalingen zijn geen technisch detail. Een vraag over gebeurtenissen vóór de wijziging kan nog steeds volgens de eerdere regels worden beantwoord, dus het oude materiaal is niet waardeloos. Het beschrijft alleen niet wat nu geldt, en het als zodanig presenteren misleidt iedereen die de samenvatting later leest. Noteer de datum en de versie wanneer u zich überhaupt op een juridische samenvatting baseert.
Een conclusie zonder datum is een gerucht met voetnoten.
Classificeer de dienst voordat u een plicht toepast
De PTS, de Zweedse toezichthouder, koppelt de plicht aan ondernemingen die openbare communicatienetwerken exploiteren of openbaar beschikbare elektronische communicatiediensten aanbieden, en die meldplichtig zijn. Die formulering is een classificatietoets, geen beschrijving van elk bedrijf dat toegang tot een tunnel verkoopt. De meldrichtlijn kijkt naar de dienst die feitelijk wordt aangeboden, of het bedrijf signalen doorgeeft, de contractuele relatie met gebruikers, de verantwoordelijkheid jegens die gebruikers en of de dienst openbaar beschikbaar is.
Sommige over-the-topdiensten vallen buiten die beschrijving, en de richtlijn onderscheidt ze van internettoegangsdiensten. ‘VPN’ is in de analyse geen categorie; het is een productwoord voor verschillende bedrijfsmodellen met een andere relatie tot de gebruiker.
Schrijf dus op wat de specifieke aanbieder levert. Verkoopt hij een internetverbinding, een laag over de toegangsdienst van een ander, extra communicatiefuncties of een combinatie? Dat antwoord, niet het adres van het bedrijf, bepaalt welke verplichtingen überhaupt in beeld komen.
| Question | What it settles |
|---|---|
| What service is sold, in whose name? | Whether a notification duty is plausible |
| Who contracts with the user? | Which legal entity carries the duty |
| Is the service publicly available? | Whether the public-service limb applies |
Openbaarmaking en onderschepping zijn verschillende vragen
Het bewaarmateriaal van de PTS scheidt openbaarmaking van bewaarde informatie van het onderscheppen van communicatie-inhoud. Dat zijn afzonderlijke maatregelen met afzonderlijke rechtsgronden, en een verklaring van een aanbieder over het ene beantwoordt het andere niet. Ze door elkaar halen levert discussies op waarin beide partijen verschillende bevoegdheden beschrijven.
Houd wettelijke bewaring ook gescheiden van het eigen beleid van de aanbieder. Welke accountgegevens, supporttickets of verbindingsmetadata verwerkt het bedrijf vrijwillig, en hoe lang? Een conclusie over één bewaarplicht bewijst niet dat er geen gegevens zijn, en een leus als ‘geen logs’ is een marketingclaim die hetzelfde bewijs verdient als elke andere. Vraag op welke van de twee vragen een claim antwoord geeft voordat u beoordeelt of het antwoord waar is.
Neem één aanbieder de vragen door
Vraag schriftelijk om de juridische entiteit die met u contracteert, de dienstclassificatie die zij claimt, de gestelde grondslag voor haar bewaarpositie, de categorieën gegevens die zij verwerkt en de bewaartermijn voor elk. Die vijf punten maken van een vage verzekering iets controleerbaars. Een aanbieder die de entiteit of de classificatie niet kan noemen, heeft u al iets nuttigs gezegd.
Vergelijk de antwoorden vervolgens met de geldende PTS-richtlijn en niet met een blogpost die een in 2022 ingetrokken wet citeert. Waar de classificatie echt onduidelijk is, is de eerlijke conclusie dat zij een beoordeling door de PTS of een gekwalificeerde Zweedse adviseur nodig heeft, niet dat een forumpost het heeft beslecht.
Noteer de datum en de reikwijdte naast uw conclusie. Het kader is al eens veranderd, en een bewering die in 2021 juist was, zou niet als permanente garantie moeten rondgaan.
Wat u uiteindelijk hebt, is een toetsbare bewering: geldende bevoegdheid, gedekte dienst, vereiste gegevens en een apart operationeel beleid. Dat is nuttiger dan zowel ‘alle Zweedse VPN's loggen’ als ‘het Zweedse recht kan hen niet raken’.