VPN con servidores en Letonia

El artículo 101 enumera, para el acceso a internet, el identificador del usuario final, la dirección IP externa o el número de puerto asignado a una conexión, el usuario al que se asignó y las horas de inicio y finalización de la conexión, cuando el operador los trate. Un comerciante no tiene que adoptar medidas adicionales para obtener datos que sus equipos no generan (art. 99, apartado 3). No está establecido si un operador de VPN es uno de esos comerciantes.

El 9 de junio de 2022, el Presidente devolvió el proyecto de ley a la Saeima, alegando que los artículos 99–101 entraban en conflicto con el derecho de la UE y con el artículo 96 de la Constitución. La Saeima lo adoptó el 14 de julio de 2022 y pidió al Gabinete que presentara antes de que terminara ese año un proyecto de ley que armonizara esas normas. Mientras tanto, los datos se entregan a los organismos indicados en los apartados 1 y 2 del artículo 99 conforme a las leyes procesales, cuando sea necesario y esté justificado (disposición transitoria 18).

Con arreglo al artículo 112 de la Ley de comunicaciones electrónicas, el Consejo Nacional de Medios de Comunicación Electrónicos, al evaluar información procedente de instituciones estatales, puede decidir restringir el acceso a sitios web disponibles en Letonia que distribuyan contenido que ponga en peligro o pueda poner en peligro la seguridad del Estado o el orden y la seguridad públicos, así como denegar el acceso al nombre de dominio o a la dirección IP del sitio.

También puede ordenar a un sitio que deje de promocionar o vender equipos o derechos de acceso a programas que no figuren en la lista de programas retransmitidos en Letonia, concediendo tres días, y puede restringir el acceso al sitio si se ignora la orden.

La Ley penal castiga los actos dirigidos a provocar odio o enemistad nacional, étnica, racial o religiosa con hasta tres años de privación de libertad, o con supervisión probatoria, trabajos comunitarios o una multa (sección 78, apartado 1). La distribución pública intencionada, por escrito o verbalmente, de invenciones que se saben falsas y difamatorias se castiga con supervisión probatoria, trabajos comunitarios o una multa, con penas más severas para la difamación en los medios de comunicación de masas (sección 157).

Los datos conservados que identifican al usuario final detrás de una dirección IP se entregan a los organismos indicados en el apartado 1 del artículo 99 y a la Policía Estatal en casos administrativos de violencia física o emocional contra un menor en el entorno electrónico (art. 99, apartado 2).

Solo el responsable de una institución o un funcionario autorizado por este puede solicitar datos conservados; la solicitud debe indicar su base jurídica, alcance y plazo de respuesta; y el comerciante debe registrar cada solicitud y respuesta, indicando el empleado que la preparó (Reglamento 583 del Gabinete, de 20 de septiembre de 2022, puntos 2, 4 y 5). Una solicitud del Consejo de la Competencia o del Centro de Protección de los Derechos del Consumidor debe incluir una decisión de un juez (punto 6).

Las respuestas deben darse en un plazo de treinta días cuando se trate de datos almacenados desde hace más de seis meses, y de diez días en los demás casos, o en un plazo de tres horas o una hora en casos urgentes (punto 11). El orden de las filas es la puntuación de seguridad, y la ubicación de un servidor no constituye una recomendación.