Är VPN lagligt i Sverige?

Ingenting, och det är själva svaret. Det finns ingen VPN-lag i Sverige. Tjänsterna kräver inget tillstånd, användningen är inte anmälningspliktig, och det finns inga särskilda regler för vad du får använda dem till.

Att använda VPN är alltså lika lagligt som att använda en webbläsare. Detsamma gäller att sälja, utveckla och driva en VPN-tjänst – flera av de mest kända tjänsterna i världen är svenska av just det skälet.

Det som är olagligt utan VPN förblir olagligt med. Tekniken ändrar hur din trafik ser ut för utomstående, inte vad du får göra.

Här ligger den enda juridiskt intressanta delen av frågan, och den handlar inte om dig utan om din internetleverantör.

Enligt lagen om elektronisk kommunikation ska uppgifter som genereras vid internetåtkomst lagras i tio månader. Det handlar framför allt om vilken abonnent som tilldelats vilken IP-adress vid vilken tidpunkt. Uppgifter som identifierar den utrustning där kommunikationen avslutas lagras i sex månader.

Lagringen sker oavsett misstanke och för samtliga kunder. Kopplingen mellan dig och din IP-adress finns alltså dokumenterad hos din operatör under nästan ett år, utan att du gjort någonting.

Det är det som gör frågan om VPN till något annat än en teknikdetalj: kopplingen flyttas från en aktör som är skyldig att spara den till en aktör som inte är det.

Nej, och det här är den punkt som nästan aldrig förklaras ordentligt.

Lagringsskyldigheten i lagen om elektronisk kommunikation gäller den som tillhandahåller ett allmänt kommunikationsnät eller en elektronisk kommunikationstjänst. En VPN-tjänst räknas inte dit. Mullvad, som är svenskt och har gått igenom frågan juridiskt, citerar lagstiftarens förarbeten: lagringsskyldighet enligt lagen omfattar inte lagring av uppgifter om anonymiseringstjänster, alltså VPN-tjänster.

Skälet är att en VPN-tjänst tekniskt sett är ett privat nät som körs ovanpå någon annans uppkoppling. Leverantören har inte kontroll över signalöverföringen – den är beroende av din vanliga internetanslutning – och blir därför inte anmälningspliktig.

Samma resonemang gäller lagen om hemlig dataavläsning, som trädde i kraft 2020. Mullvads bedömning är att de inte kan åläggas att medverka vid verkställighet av ett sådant beslut, eftersom VPN-tjänster inte är anmälningspliktig verksamhet.

Det här är en juridisk läsning av förarbeten och myndighetsuttalanden, inte en dom i högsta instans. Men den är gjord av en svensk leverantör med allt att förlora på att ha fel, och den stämmer med hur branschen och tillsynen har hanterat frågan.

Praktiskt betyder det att en svensk VPN-tjänst får välja själv vad den sparar. Vilket i sin tur är hela anledningen till att frågan om no-logs är värd att ta på allvar – det finns inget lagkrav som garanterar någonting åt något håll.

Nej, men det kan vara ett avtalsbrott. Skillnaden är viktig och blandas ihop hela tiden.

Ett lagbrott är något staten kan straffa dig för. Ett avtalsbrott är att du inte håller din del av ett avtal med ett företag, och då är det företaget som avgör följderna – i praktiken att din uppkoppling inte släpps igenom.

De tre stora svenska tjänsterna hanterar det olika, och det är värt att veta vilken man har att göra med.

Det här behöver sägas rakt, eftersom marknadsföringen ibland antyder motsatsen.

En sak som förvånar många: svenska internetleverantörer har ålagts av domstol att blockera vissa domäner. Frågan har prövats i Patent- och marknadsöverdomstolen, senast i ett avgörande mot Telia 2020, efter talan från rättighetshavare.

Blockeringen sker i regel på namnuppslagsnivå hos operatören. Ett VPN gör att uppslagen inte längre går den vägen, och spärren får därför ingen effekt.

Att komma runt en sådan blockering är i sig inte kriminaliserat. Men det säger ingenting om lagligheten i det du gör när du väl är framme, och det är där den relevanta gränsen går.

Inom EU är svaret detsamma som i Sverige. Utanför EU varierar det kraftigt, och skillnaden är inte akademisk om du reser.

Flera länder har infört restriktioner eller kriminaliserat användning av VPN som inte är statligt godkända – Kina, Ryssland, Iran och Förenade Arabemiraten nämns återkommande i sammanställningar. Straffskalorna varierar från blockering till böter och i vissa fall frihetsberövande.

Reser du till ett sådant land bör du kontrollera rättsläget separat och nära inpå avresan, eftersom reglerna ändras. Ladda ned och konfigurera tjänsten innan du reser – leverantörernas egna webbplatser är ofta blockerade på plats.