Retenção de dados VPN na Suécia: comece pelo tipo de serviço
As regras suecas de retenção ligam-se a serviços de comunicações definidos, não à palavra VPN. Verifique o quadro em vigor e o serviço real antes de decidir.
Onde uma empresa de VPN está registada não diz nada sobre que lei se aplica ao seu serviço. Os deveres de retenção ligam-se a uma categoria de serviço definida e ao fornecedor desse serviço. Percorra a afirmação por ordem: quadro em vigor, classificação do serviço e, depois, os dados que são realmente guardados. É o salto direto para o rótulo que transforma respostas antigas de fóruns na desinformação confiante de hoje.
Comece pela versão da lei em vigor
As respostas mais antigas sobre este tema citam a Lei sueca das Comunicações Eletrónicas de 2003 como se ainda fosse todo o quadro. Não é. A lei de introdução de 2022 pôs em vigor a norma substituta a 3 de junho de 2022 e retirou a lei anterior do ordenamento, deixando disposições transitórias.
Essas disposições transitórias não são um detalhe técnico. Uma pergunta sobre factos anteriores à mudança ainda pode ser respondida segundo as regras anteriores, por isso o material antigo não é inútil. Simplesmente não descreve o que se aplica agora, e apresentá-lo como tal engana todos os que lerem o resumo mais tarde. Anote a data e a versão sempre que se apoiar num resumo jurídico.
Uma conclusão sem data é um rumor com notas de rodapé.
Classifique o serviço antes de aplicar um dever
A PTS, o regulador sueco, liga o dever às empresas que exploram redes públicas de comunicações ou oferecem serviços de comunicações eletrónicas disponíveis ao público, e que estão sujeitas a notificação. Essa formulação é um teste de classificação, não uma descrição de todas as empresas que vendem acesso a um túnel. As suas orientações de notificação analisam o serviço realmente oferecido, se a empresa transmite sinais, a relação contratual com os utilizadores, a responsabilidade perante esses utilizadores e se o serviço está disponível ao público.
Alguns serviços over-the-top ficam fora dessa descrição, e as orientações distinguem-nos dos serviços de acesso à internet. «VPN» não é uma categoria na análise; é uma palavra de produto que cobre vários modelos de negócio com relações diferentes com o utilizador.
Por isso anote o que o fornecedor concreto fornece. Vende uma ligação à internet, uma camada sobre o serviço de acesso de outro, funções de comunicação adicionais ou uma combinação? É essa resposta, e não a morada da empresa, que decide que obrigações entram sequer no âmbito.
| Question | What it settles |
|---|---|
| What service is sold, in whose name? | Whether a notification duty is plausible |
| Who contracts with the user? | Which legal entity carries the duty |
| Is the service publicly available? | Whether the public-service limb applies |
Divulgação e interceção são perguntas diferentes
O material da PTS sobre retenção separa a divulgação da informação retida da interceção do conteúdo das comunicações. São medidas distintas com bases jurídicas distintas, e uma declaração do fornecedor que aborda uma não responde à outra. Misturá-las produz debates em que ambos os lados descrevem poderes diferentes.
Mantenha também a retenção legal separada da política própria do fornecedor. Que registos de conta, pedidos de apoio ou metadados de ligação trata a empresa voluntariamente, e durante quanto tempo? Uma conclusão sobre um dever de retenção não prova que não existam registos, e um slogan «sem registos» é uma afirmação de marketing que merece as mesmas provas que qualquer outra. Pergunte a qual das duas perguntas responde uma afirmação antes de julgar se a resposta é verdadeira.
Acompanhe um fornecedor pelas perguntas
Peça por escrito a entidade jurídica que contrata consigo, a classificação do serviço que reivindica, a base declarada da sua posição sobre a retenção, as categorias de dados que trata e o período de retenção de cada uma. Esses cinco elementos transformam uma garantia vaga em algo verificável. Um fornecedor que não consegue nomear a entidade nem a classificação já lhe disse algo útil.
Depois compare as respostas com as orientações atuais da PTS e não com uma publicação de blogue que cite uma lei revogada em 2022. Quando a classificação é realmente pouco clara, a conclusão honesta é que precisa de uma avaliação da PTS ou de um consultor sueco qualificado, não que um fio de fórum a resolveu.
Anote a data e o âmbito ao lado da sua conclusão. O quadro já mudou uma vez, e uma afirmação que era correta em 2021 não deve circular como garantia permanente.
O que acaba por ter é uma afirmação verificável: autoridade em vigor, serviço abrangido, dados necessários e política operacional separada. Isso é mais útil do que «todas as VPN suecas registam» ou «a lei sueca não lhes pode tocar».