Svensk VPN-lagring: start med tjenestetypen
Svenske lagringsregler knytter seg til definerte kommunikasjonstjenester, ikke til ordet VPN. Sjekk gjeldende rammeverk og den faktiske tjenesten før du bestemmer deg.
Hvor et VPN-selskap er registrert, sier ingenting om hvilken lov som gjelder for tjenesten. Lagringsplikter knytter seg til en definert tjenestekategori og til leverandøren av den tjenesten. Gå gjennom påstanden i rekkefølge: gjeldende rammeverk, tjenesteklassifisering, og deretter dataene som faktisk lagres. Nettopp spranget til etiketten er det som gjør gamle forumssvar til dagens skråsikre feilinformasjon.
Start med lovversjonen som er i kraft
Eldre svar om dette temaet viser til Sveriges lov om elektronisk kommunikasjon fra 2003 som om den fortsatt utgjør hele rammeverket. Det gjør den ikke. Innføringsloven fra 2022 satte erstatningsloven i kraft 3. juni 2022 og fjernet den eldre loven fra lovsamlingen, mens overgangsreglene ble beholdt.
Disse overgangsreglene er ikke en teknisk detalj. Et spørsmål om hendelser før endringen kan fortsatt besvares etter de tidligere reglene, så det gamle materialet er ikke verdiløst. Det beskriver bare ikke det som gjelder nå, og å framstille det som det villeder alle som senere leser sammendraget. Noter dato og versjon når du i det hele tatt lener deg på et juridisk sammendrag.
En konklusjon uten dato er et rykte med fotnoter.
Klassifiser tjenesten før du anvender en plikt
PTS, den svenske regulatoren, knytter plikten til virksomheter som driver offentlige kommunikasjonsnett eller tilbyr offentlig tilgjengelige elektroniske kommunikasjonstjenester, og som er underlagt meldeplikt. Den formuleringen er en klassifiseringstest, ikke en beskrivelse av hvert selskap som selger tilgang til en tunnel. Veiledningen deres om melding ser på tjenesten som faktisk tilbys, om virksomheten overfører signaler, det kontraktsmessige forholdet til brukerne, ansvaret overfor disse brukerne og om tjenesten er offentlig tilgjengelig.
Noen over-the-top-tjenester faller utenfor denne beskrivelsen, og veiledningen skiller dem fra internettilgangstjenester. «VPN» er ikke en kategori i analysen; det er et produktord som dekker flere forretningsmodeller med ulikt forhold til brukeren.
Så skriv ned hva den konkrete leverandøren tilbyr. Selger den en internettforbindelse, et lag på toppen av en annens tilgangstjeneste, ekstra kommunikasjonsfunksjoner eller en kombinasjon? Det svaret, ikke selskapets adresse, avgjør hvilke forpliktelser som i det hele tatt er aktuelle.
| Question | What it settles |
|---|---|
| What service is sold, in whose name? | Whether a notification duty is plausible |
| Who contracts with the user? | Which legal entity carries the duty |
| Is the service publicly available? | Whether the public-service limb applies |
Utlevering og avlytting er to forskjellige spørsmål
PTS' lagringsmateriale skiller utlevering av lagret informasjon fra avlytting av kommunikasjonsinnhold. Dette er forskjellige tiltak med forskjellige rettslige grunnlag, og en leverandørerklæring som behandler det ene, besvarer ikke det andre. Å blande dem gir debatter der begge sider beskriver forskjellige fullmakter.
Hold også lovpålagt lagring atskilt fra leverandørens egen policy. Hvilke kontooversikter, støttebilletter eller tilkoblingsmetadata behandler virksomheten frivillig, og hvor lenge? En konklusjon om én lagringsplikt beviser ikke at det ikke finnes oversikter, og et «ingen logger»-slagord er en markedsføringspåstand som fortjener samme bevis som enhver annen. Spør hvilket av de to spørsmålene en påstand besvarer, før du vurderer om svaret er sant.
Ta én leverandør gjennom spørsmålene
Be skriftlig om den juridiske enheten som inngår avtale med deg, tjenesteklassifiseringen den hevder, det angitte grunnlaget for lagringsstandpunktet, kategoriene data den behandler og lagringsperioden for hver. Disse fem punktene gjør en vag forsikring til noe som kan kontrolleres. En leverandør som ikke kan navngi enheten eller klassifiseringen, har allerede fortalt deg noe nyttig.
Deretter sammenligner du svarene med PTS' gjeldende veiledning i stedet for med et blogginnlegg som viser til en lov som ble opphevet i 2022. Der klassifiseringen er reelt uklar, er den ærlige konklusjonen at den trenger en vurdering fra PTS eller en kvalifisert svensk rådgiver, ikke at en forumtråd avgjorde den.
Noter dato og omfang ved siden av konklusjonen. Rammeverket er allerede endret én gang, og en uttalelse som var korrekt i 2021, bør ikke sirkulere som en varig garanti.
Det du ender opp med, er en påstand som kan testes: gjeldende myndighet, omfattet tjeneste, nødvendige data og en egen operativ policy. Det er mer nyttig enn både «alle svenske VPN-er logger» og «svensk lov kan ikke røre dem».