Зберігання даних VPN у Швеції: почніть із типу послуги
Шведські правила зберігання стосуються визначених послуг зв'язку, а не слова VPN. Перевірте чинну основу та фактичну послугу, перш ніж вирішувати.
Те, де зареєстрована компанія VPN, нічого не каже про те, який закон застосовується до її послуги. Обов'язки зберігання прив'язані до визначеної категорії послуг і до постачальника цієї послуги. Пройдіть твердження по порядку: чинна основа, класифікація послуги, потім дані, які справді зберігаються. Саме стрибок до ярлика перетворює старі відповіді з форумів на сьогоднішню впевнену дезінформацію.
Почніть із чинної редакції закону
Старіші відповіді на цю тему посилаються на шведський Закон про електронні комунікації 2003 року так, ніби він досі є всією основою. Це не так. Вступний закон 2022 року ввів у дію замінюючий статут 3 червня 2022 року і вилучив старіший закон зі збірки, залишивши перехідні положення.
Ці перехідні положення не є технічною дрібницею. Питання про події до зміни ще може бути розглянуте за попередніми правилами, тому старий матеріал не є марним. Він просто не описує те, що діє зараз, а подання його як такого вводить в оману кожного, хто пізніше прочитає підсумок. Завжди, коли ви спираєтеся на юридичний підсумок, зазначайте дату й редакцію.
Висновок без дати — це чутка з виносками.
Класифікуйте послугу, перш ніж застосовувати обов'язок
PTS, шведський регулятор, пов'язує обов'язок із підприємствами, які експлуатують публічні мережі зв'язку або пропонують публічно доступні послуги електронних комунікацій і підлягають повідомленню. Це формулювання є тестом класифікації, а не описом кожної компанії, що продає доступ до тунелю. Його настанови щодо повідомлення дивляться на фактично пропоновану послугу, на те, чи передає бізнес сигнали, на договірні відносини з користувачами, відповідальність перед цими користувачами та на те, чи послуга є публічно доступною.
Деякі OTT-послуги виходять за межі цього опису, і настанови відрізняють їх від послуг доступу до інтернету. «VPN» не є категорією в аналізі; це продуктове слово, що охоплює кілька бізнес-моделей із різними відносинами з користувачем.
Тож запишіть, що постачає конкретний постачальник. Чи продає він інтернет-з'єднання, надбудову над чужою послугою доступу, додаткові комунікаційні функції або їх поєднання? Саме ця відповідь, а не адреса компанії, визначає, які обов'язки взагалі потрапляють у сферу.
| Question | What it settles |
|---|---|
| What service is sold, in whose name? | Whether a notification duty is plausible |
| Who contracts with the user? | Which legal entity carries the duty |
| Is the service publicly available? | Whether the public-service limb applies |
Розкриття і перехоплення — різні питання
Матеріали PTS про зберігання відокремлюють розкриття збереженої інформації від перехоплення змісту повідомлень. Це різні заходи з різними правовими підставами, і заява постачальника про одну не відповідає на іншу. Їх змішування породжує суперечки, у яких обидві сторони описують різні повноваження.
Тримайте законне зберігання окремо й від власної політики постачальника. Які записи акаунтів, звернення до підтримки або метадані з'єднань бізнес обробляє добровільно і як довго? Висновок про один обов'язок зберігання не доводить, що записів немає, а гасло «без логів» — маркетингове твердження, яке заслуговує тих самих доказів, що й будь-яке інше. Запитайте, на яке з двох питань відповідає твердження, перш ніж судити, чи відповідь правдива.
Проведіть одного постачальника через питання
Попросіть письмово юридичну особу, яка укладає з вами договір, заявлену класифікацію послуги, зазначену підставу своєї позиції щодо зберігання, категорії оброблюваних даних і строк зберігання для кожної. Ці п'ять пунктів перетворюють розпливчасте запевнення на щось перевірюване. Постачальник, який не може назвати особу чи класифікацію, вже сказав вам щось корисне.
Потім порівняйте відповіді з чинними настановами PTS, а не з дописом у блозі, що цитує закон, скасований 2022 року. Там, де класифікація справді неясна, чесний висновок полягає в тому, що потрібна оцінка PTS або кваліфікованого шведського радника, а не в тому, що це вирішила гілка на форумі.
Запишіть дату й обсяг поруч зі своїм висновком. Основа вже змінювалася один раз, і твердження, правильне 2021 року, не повинно ходити як постійна гарантія.
У підсумку ви маєте перевірюване твердження: чинний орган, охоплена послуга, потрібні дані й окрема операційна політика. Це корисніше, ніж «усі шведські VPN ведуть логи» або «шведський закон до них не дістане».