Le VPN con server in Svezia

I servizi di comunicazione interpersonale indipendenti dalla numerazione sono esenti dall’obbligo di notifica. Non è accertato se un gestore VPN sia un fornitore soggetto a notifica o fornisca accesso a Internet ai sensi della legge. Un progetto di rinvio al Consiglio legislativo (22 novembre 2024) proponeva di estendere la conservazione a tali servizi dal 1° marzo 2026; al dicembre 2025 il governo dichiarava che era necessario più tempo.

Gli operatori proprietari di un cavo che trasporta segnali oltre il confine devono inoltre inoltrare tali segnali ai punti di cooperazione per l’intelligence dei segnali (capo 9, sezione 30). Un fornitore di un servizio prepagato di messaggistica o chiamate basato su numerazione, o di una connessione Internet prepagata, deve prima registrare il nome, l’indirizzo postale e il numero identificativo dell’abbonato (capo 9, sezione 24).

Il blocco è stato disposto dai tribunali civili. Il 13 febbraio 2017 la Corte d’appello per i brevetti e il mercato (PMT 11706-15) ha modificato la sentenza del Tribunale distrettuale di Stoccolma e ordinato al fornitore di accesso a Internet B2 Bredband AB (Bredbandsbolaget) di bloccare l’accesso dei propri abbonati a The Pirate Bay e Swefilmer, con una penale di 500.000 corone.

L’ordinanza riguarda i nomi di dominio e gli indirizzi web elencati, ma non gli indirizzi IP, e resta in vigore per tre anni dal 28 febbraio 2017. La sentenza non poteva essere impugnata. Vincola quel fornitore, per quei siti.

Il codice penale punisce la diffamazione (förtal, capo 5, sezione 1; fino a due anni se grave) e l’agitazione contro un gruppo della popolazione (hets mot folkgrupp, capo 16, sezione 8), che comprende le minacce o le espressioni di disprezzo nei confronti di un gruppo per motivi quali razza, credo o orientamento sessuale, in una dichiarazione o in un messaggio diffuso: fino a due anni, e fino a quattro se grave.

Un fornitore soggetto a notifica che consegni dati sul traffico alla polizia, al Servizio di sicurezza, ai pubblici ministeri o a un’altra autorità che agisca contro la criminalità deve farlo senza indugio e in modo da non rivelare la divulgazione (capo 9, sezione 29 b).

L’intelligence dei segnali è disciplinata dalla Legge sull’intelligence dei segnali nelle operazioni di intelligence della difesa (2008:717). L’autorità per i segnali deve chiedere a un tribunale un’autorizzazione, concessa solo se lo scopo non può essere raggiunto con modalità meno invasive e se il valore previsto supera chiaramente l’invasione; un’autorizzazione dura fino a sei mesi. Decide il Tribunale per l’intelligence estera (2009:966), e un’autorità di controllo può interrompere la raccolta o ordinare la distruzione delle registrazioni che si discostino dall’autorizzazione.

In Centrum för rättvisa c. Svezia (Grande Camera, 25 maggio 2021, ricorso 35252/08), la Corte europea dei diritti dell’uomo ha stabilito, con 15 voti contro 2, che il regime violava l’articolo 8. Ha accettato le caratteristiche principali, ma ha individuato tre carenze: l’assenza di una regola chiara sulla distruzione del materiale intercettato privo di dati personali, l’assenza dell’obbligo di valutare la privacy nella condivisione dell’intelligence con partner stranieri e l’assenza di un controllo effettivo a posteriori.

Un fornitore VPN ha dichiarato che il suo ufficio in Svezia è stato perquisito nell’aprile 2023 sulla base di un mandato emesso su richiesta di uno Stato estero. L’ordine delle righe corrisponde al punteggio di sicurezza, e la posizione di un server non costituisce una raccomandazione.