VPN avec des serveurs en Suède

Les services de communications interpersonnelles indépendants d'un numéro sont exemptés de l'obligation de notification. Il n'est pas établi qu'un opérateur de VPN soit un fournisseur soumis à notification ou qu'il fournisse un accès à Internet au sens de la loi. Un projet de saisine du Conseil de législation (22 novembre 2024) proposait d'étendre la conservation à ces services à compter du 1er mars 2026 ; en date de décembre 2025, le gouvernement a déclaré que davantage de temps était nécessaire.

Les opérateurs qui possèdent un câble transportant des signaux au-delà de la frontière doivent également transmettre ces signaux à des points de coopération pour le renseignement électromagnétique (chapitre 9, section 30). Le fournisseur d'un service prépayé de messagerie ou d'appel fondé sur un numéro, ou d'une connexion Internet prépayée, doit d'abord enregistrer le nom, l'adresse postale et le numéro d'identité de l'abonné (chapitre 9, section 24).

Le blocage est intervenu par l'intermédiaire des juridictions civiles. Le 13 février 2017, la Cour d'appel des brevets et du marché (PMT 11706-15) a modifié le jugement du tribunal de district de Stockholm et ordonné au fournisseur d'accès B2 Bredband AB (Bredbandsbolaget) de bloquer à ses abonnés l'accès à The Pirate Bay et Swefilmer, sous peine d'une amende de 500,000 couronnes.

L'ordonnance couvre les noms de domaine et adresses web indiqués, mais pas les adresses IP, et s'applique pendant trois ans à compter du 28 février 2017. Le jugement n'était pas susceptible d'appel. Il lie ce fournisseur pour ces sites.

Le Code pénal réprime la diffamation (förtal, chapitre 5, section 1 ; jusqu'à deux ans en cas d'infraction grave) et l'agitation contre un groupe de population (hets mot folkgrupp, chapitre 16, section 8), qui couvre le fait de menacer un groupe ou d'exprimer du mépris à son égard pour des motifs incluant la race, les convictions ou l'orientation sexuelle, dans une déclaration ou un message diffusé : jusqu'à deux ans, et jusqu'à quatre ans en cas d'infraction grave.

Un fournisseur soumis à notification qui remet des données de trafic à la police, au service de sécurité, aux procureurs ou à une autre autorité agissant contre la criminalité doit le faire sans délai et d'une manière qui ne révèle pas la divulgation (chapitre 9, section 29 b).

Le renseignement électromagnétique relève de la loi sur le renseignement électromagnétique dans le cadre des opérations de renseignement militaire (2008:717). L'autorité chargée du renseignement doit demander une autorisation à un tribunal, laquelle n'est accordée que si l'objectif ne peut être atteint par des moyens moins intrusifs et si la valeur attendue dépasse clairement l'atteinte portée ; une autorisation est valable pendant six mois au maximum. La Cour du renseignement extérieur (2009:966) statue, et une autorité de contrôle peut interrompre la collecte ou ordonner la destruction des enregistrements qui s'écartent de l'autorisation.

Dans l'affaire Centrum för rättvisa c. Suède (Grande Chambre, 25 mai 2021, requête 35252/08), la Cour européenne des droits de l'homme a jugé, par 15 voix contre 2, que le régime violait l'article 8. Elle en a accepté les principales caractéristiques, mais a relevé trois lacunes : l'absence de règle claire sur la destruction des éléments interceptés sans données à caractère personnel, l'absence d'obligation de mettre en balance la vie privée lors du partage de renseignements avec des partenaires étrangers, et l'absence de contrôle effectif a posteriori.

Un fournisseur de VPN a indiqué que ses bureaux en Suède avaient fait l'objet d'une perquisition en avril 2023 en vertu d'un mandat délivré à la demande d'un État étranger. L'ordre des lignes correspond au score de sécurité, et l'emplacement d'un serveur ne constitue pas une recommandation.