VPNs mit Servern in Georgien

Artikel 8⁵, eingefügt durch Gesetz Nr. 3148 vom 14. Juni 2023, berechtigt ein Unternehmen, die Identitäts- und Kontaktdaten eines Nutzers höchstens vier Jahre nach Vertragsende sowie Verkehrs-Identifikationsdaten und Abrechnungsaufzeichnungen höchstens vier Jahre nach der Kommunikation aufzubewahren. Es muss sie nach Ablauf dieser Frist löschen; die automatische Vernichtung muss innerhalb von 30 Tagen erfolgen. Die Vorschrift legt ein Maximum, kein Minimum fest.

Die Operative and Technical Agency darf die Identifikationsdatenbanken der Betreiber kopieren (Art. 8³) und Systeme installieren, die ohne Mitwirkung des Unternehmens Kommunikation in Echtzeit erlangen (Art. 8¹). Ob ein VPN-Betreiber eine „befugte Person“ ist, die elektronische Kommunikationsdienste erbringt, ist nicht belegt.

Die Kommunikationskommission überwacht die Einhaltung der Alterskennzeichnungsvorschriften für Software, Filme und Spiele, die ins Internet gestellt werden, um Kinder vor schädlichen Informationen zu schützen (Art. 11).

Artikel 239¹ des Strafgesetzbuchs stellt die öffentliche Aufforderung zu Gewalt unter Strafe, mündlich, schriftlich oder auf andere Weise, wenn sie darauf abzielt, aus rassischen, religiösen, nationalen, ethnischen, sozialen, politischen, sprachlichen oder anderen Gründen Zwietracht zwischen Gruppen zu säen und eine klare, unmittelbare und erhebliche Gewaltgefahr darstellt: Geldstrafe, 200 bis 400 Stunden gemeinnützige Arbeit und/oder bis zu drei Jahre Freiheitsstrafe.

Der unbefugte Zugriff auf ein Computersystem (Art. 284) wird mit Geldstrafe, Besserungsarbeit oder Freiheitsstrafe von bis zu zwei Jahren bestraft; bei Gruppen, Amtsträgern, Wiederholung oder erheblichem Schaden erhöht sich die Strafe auf zwei bis fünf Jahre, und wenn das Ziel ein kritisches Informationssystem ist, auf drei bis sechs Jahre. Ein Konto wird anhand der Pflicht eines Unternehmens nach Artikel 8 Abs. 4 des Gesetzes und aufgrund einer Anordnung nach Artikel 136 identifiziert.

Die Entscheidung Nr. 1/1/625,640 des Verfassungsgerichts vom 14. April 2016 erscheint in der Änderungshistorie des Gesetzes. Laut OCCRP, unter Berufung auf Civil.ge, stellte das Gericht fest, dass der uneingeschränkte Zugriff der Sicherheitsbehörde auf die Netze der Betreiber verfassungswidrig war, dass die Schutzvorkehrungen keinen ausreichenden und wirksamen Mechanismus der externen Kontrolle darstellten und dass die geltenden Vorschriften zur Speicherdauer von Metadaten verfassungswidrig waren.

Laut demselben Bericht sollte bis zum 31. März 2017 eine neue Gesetzgebung verabschiedet werden; in den Änderungshinweisen des Gesetzes ist Gesetz Nr. 480 vom 22. März 2017 zu den Artikeln 8, 8¹ und 8³ aufgeführt. Die Reihenfolge der Zeilen entspricht dem Sicherheits-Score, und der Standort eines Servers ist keine Empfehlung.