Svensk VPN-lagring: börja med tjänstetypen
Svenska lagringsregler knyts till definierade kommunikationstjänster, inte till ordet VPN. Kontrollera gällande ramverk och den faktiska tjänsten innan du bestämmer dig.
Var ett VPN-företag är registrerat säger ingenting om vilken lag som gäller för dess tjänst. Lagringsskyldigheter knyts till en definierad tjänstekategori och till leverantören av den tjänsten. Gå igenom påståendet i ordning: gällande ramverk, tjänsteklassificering och sedan de uppgifter som faktiskt lagras. Det är språnget rakt till etiketten som gör gamla forumssvar till dagens självsäkra desinformation.
Börja med den version av lagen som gäller
Äldre svar om detta ämne hänvisar till Sveriges lag om elektronisk kommunikation från 2003 som om den fortfarande är hela ramverket. Det är den inte. Införandelagen från 2022 satte ersättningsförfattningen i kraft den 3 juni 2022 och tog bort den äldre lagen ur lagboken, medan övergångsbestämmelserna blev kvar.
Dessa övergångsbestämmelser är inte en teknisk detalj. En fråga om händelser före ändringen kan fortfarande besvaras enligt de tidigare reglerna, så det gamla materialet är inte värdelöst. Det beskriver bara inte det som gäller nu, och att framställa det som det vilseleder alla som senare läser sammanfattningen. Notera datum och version när du överhuvudtaget lutar dig mot en juridisk sammanfattning.
En slutsats utan datum är ett rykte med fotnoter.
Klassificera tjänsten innan du tillämpar en skyldighet
PTS, den svenska tillsynsmyndigheten, knyter skyldigheten till företag som driver allmänna kommunikationsnät eller erbjuder allmänt tillgängliga elektroniska kommunikationstjänster, och som omfattas av anmälan. Den formuleringen är ett klassificeringstest, inte en beskrivning av varje företag som säljer åtkomst till en tunnel. Deras anmälningsvägledning tittar på tjänsten som faktiskt erbjuds, om verksamheten överför signaler, det avtalsrättsliga förhållandet till användarna, ansvaret gentemot dessa användare och om tjänsten är allmänt tillgänglig.
Vissa over-the-top-tjänster faller utanför den beskrivningen, och vägledningen skiljer dem från internetåtkomsttjänster. ”VPN” är ingen kategori i analysen; det är ett produktord som täcker flera affärsmodeller med olika förhållande till användaren.
Skriv alltså ned vad den konkreta leverantören tillhandahåller. Säljer den en internetanslutning, ett lager ovanpå någon annans åtkomsttjänst, ytterligare kommunikationsfunktioner eller en kombination? Det svaret, inte företagets adress, avgör vilka skyldigheter som ens kommer i fråga.
| Question | What it settles |
|---|---|
| What service is sold, in whose name? | Whether a notification duty is plausible |
| Who contracts with the user? | Which legal entity carries the duty |
| Is the service publicly available? | Whether the public-service limb applies |
Utlämnande och avlyssning är olika frågor
PTS lagringsmaterial skiljer utlämnande av lagrad information från avlyssning av kommunikationsinnehåll. Det är olika åtgärder med olika rättsliga grunder, och ett leverantörsuttalande som behandlar den ena besvarar inte den andra. Att blanda dem ger debatter där båda sidor beskriver olika befogenheter.
Håll också lagstadgad lagring åtskild från leverantörens egen policy. Vilka kontouppgifter, supportärenden eller anslutningsmetadata behandlar verksamheten frivilligt, och hur länge? En slutsats om en lagringsskyldighet bevisar inte att det inte finns uppgifter, och ett ”inga loggar”-slagord är ett marknadsföringspåstående som förtjänar samma bevis som alla andra. Fråga vilken av de två frågorna ett påstående besvarar innan du bedömer om svaret är sant.
Ta en leverantör genom frågorna
Be skriftligen om den juridiska person som ingår avtal med dig, den tjänsteklassificering den hävdar, den angivna grunden för dess lagringsposition, de kategorier av uppgifter den behandlar och lagringstiden för var och en. Dessa fem punkter gör en vag försäkran till något kontrollerbart. En leverantör som inte kan namnge personen eller klassificeringen har redan sagt dig något användbart.
Jämför sedan svaren med PTS gällande vägledning i stället för med ett blogginlägg som hänvisar till en lag som upphävdes 2022. Där klassificeringen är genuint oklar är den ärliga slutsatsen att den behöver en bedömning av PTS eller en kvalificerad svensk rådgivare, inte att en forumtråd avgjorde den.
Notera datum och omfattning bredvid din slutsats. Ramverket har redan ändrats en gång, och ett påstående som var korrekt 2021 bör inte cirkulera som en permanent garanti.
Det du till slut har är ett påstående som går att testa: gällande myndighet, omfattad tjänst, nödvändiga uppgifter och en separat operativ policy. Det är mer användbart än både ”alla svenska VPN loggar” och ”svensk lag kan inte röra dem”.