Przechowywanie danych VPN w Szwecji: zacznij od typu usługi

Gdzie zarejestrowana jest firma VPN, nie mówi nic o tym, które prawo ma zastosowanie do jej usługi. Obowiązki przechowywania wiążą się z określoną kategorią usługi i z dostawcą tej usługi. Przejdź twierdzenie po kolei: obowiązujące ramy, klasyfikacja usługi, a potem dane, które faktycznie są przechowywane. Właśnie przeskok do etykiety sprawia, że stare odpowiedzi z forów stają się dzisiejszą pewną siebie dezinformacją.

Zacznij od wersji ustawy, która obowiązuje

Starsze odpowiedzi na ten temat cytują szwedzką ustawę o komunikacji elektronicznej z 2003 r., jakby nadal była całymi ramami. Nie jest. Ustawa wprowadzająca z 2022 r. wprowadziła w życie przepis zastępczy 3 czerwca 2022 r. i usunęła starszą ustawę ze zbioru, pozostawiając przepisy przejściowe.

Te przepisy przejściowe nie są technicznym szczegółem. Pytanie o zdarzenia sprzed zmiany wciąż może być rozpatrzone według wcześniejszych zasad, więc stary materiał nie jest bezwartościowy. Po prostu nie opisuje tego, co obowiązuje teraz, a przedstawianie go jako takiego wprowadza w błąd każdego, kto później przeczyta podsumowanie. Zawsze, gdy opierasz się na podsumowaniu prawnym, notuj datę i wersję.

Wniosek bez daty to plotka z przypisami.

Sklasyfikuj usługę, zanim zastosujesz obowiązek

PTS, szwedzki regulator, wiąże obowiązek z przedsiębiorstwami, które prowadzą publiczne sieci komunikacyjne lub oferują publicznie dostępne usługi komunikacji elektronicznej i podlegają zgłoszeniu. To sformułowanie jest testem klasyfikacji, a nie opisem każdej firmy sprzedającej dostęp do tunelu. Jego wytyczne dotyczące zgłoszeń patrzą na usługę faktycznie oferowaną, na to, czy firma przesyła sygnały, na stosunek umowny z użytkownikami, odpowiedzialność wobec tych użytkowników i to, czy usługa jest publicznie dostępna.

Niektóre usługi over-the-top wykraczają poza ten opis, a wytyczne odróżniają je od usług dostępu do internetu. „VPN” nie jest kategorią w analizie; to słowo produktowe obejmujące kilka modeli biznesowych o różnych relacjach z użytkownikiem.

Zapisz więc, co dostarcza konkretny dostawca. Czy sprzedaje połączenie internetowe, warstwę nad usługą dostępu kogoś innego, dodatkowe funkcje komunikacyjne, czy kombinację? To odpowiedź, a nie adres firmy, decyduje, które obowiązki w ogóle wchodzą w zakres.

Ujawnienie i podsłuch to różne pytania

Materiały PTS dotyczące przechowywania oddzielają ujawnienie przechowywanych informacji od podsłuchu treści komunikacji. To odrębne środki o odrębnych podstawach prawnych, a oświadczenie dostawcy o jednym nie odpowiada na drugie. Mieszanie ich tworzy spory, w których obie strony opisują różne uprawnienia.

Trzymaj też przechowywanie ustawowe osobno od własnej polityki dostawcy. Które zapisy konta, zgłoszenia pomocy lub metadane połączenia firma przetwarza dobrowolnie i jak długo? Wniosek o jednym obowiązku przechowywania nie dowodzi, że nie ma żadnych zapisów, a hasło „bez logów” to twierdzenie marketingowe, które zasługuje na takie same dowody jak każde inne. Zapytaj, na które z dwóch pytań odpowiada twierdzenie, zanim ocenisz, czy odpowiedź jest prawdziwa.

Przeprowadź jednego dostawcę przez pytania

Poproś na piśmie o podmiot prawny, który zawiera z tobą umowę, o klasyfikację usługi, którą deklaruje, o wskazaną podstawę swojego stanowiska w sprawie przechowywania, o kategorie przetwarzanych danych i o okres przechowywania każdej z nich. Te pięć punktów zmienia mgliste zapewnienie w coś sprawdzalnego. Dostawca, który nie potrafi nazwać podmiotu ani klasyfikacji, już powiedział ci coś użytecznego.

Następnie porównaj odpowiedzi z obowiązującymi wytycznymi PTS, a nie z wpisem na blogu cytującym ustawę uchyloną w 2022 r. Tam, gdzie klasyfikacja jest naprawdę niejasna, uczciwy wniosek jest taki, że wymaga oceny PTS lub wykwalifikowanego szwedzkiego doradcy, a nie że rozstrzygnął ją wątek na forum.

Zapisz datę i zakres obok swojego wniosku. Ramy zmieniły się już raz, a twierdzenie, które było trafne w 2021 r., nie powinno krążyć jako trwała gwarancja.

Na koniec zostaje sprawdzalne twierdzenie: obowiązujący organ, objęta usługa, wymagane dane i odrębna polityka operacyjna. To jest użyteczniejsze niż „wszystkie szwedzkie VPN-y logują” albo „szwedzkie prawo ich nie dosięgnie”.