VPN avec des serveurs en Géorgie

L'article 8⁵, ajouté par la loi n° 3148 du 14 juin 2023, autorise une entreprise à conserver les données d'identité et de contact d'un utilisateur pendant quatre ans au maximum après la fin du contrat, ainsi que les données d'identification du trafic et les relevés de facturation pendant quatre ans au maximum après la communication. Elle doit les supprimer à l'expiration de ce délai, avec une destruction automatique dans les 30 jours. Il fixe un maximum, et non un minimum.

L'Agence opérationnelle et technique peut copier les bases de données d'identification des opérateurs (art. 8³) et installer des systèmes qui obtiennent des communications en temps réel sans la participation de l'entreprise (art. 8¹). Il n'est pas établi qu'un opérateur VPN soit une « personne autorisée » fournissant des services de communications électroniques.

La Commission des communications contrôle le respect des règles de signalétique d'âge pour les logiciels, les films et les jeux diffusés sur internet, afin de protéger les enfants contre les informations préjudiciables (art. 11).

L'article 239¹ du Code pénal punit l'incitation publique à la violence, oralement, par écrit ou par d'autres moyens, visant à provoquer la discorde entre des groupes pour des motifs raciaux, religieux, nationaux, ethniques, sociaux, politiques, linguistiques ou autres, lorsqu'elle présente un risque clair, direct et substantiel de violence : une amende, 200 à 400 heures de travaux d'intérêt général et/ou jusqu'à trois ans d'emprisonnement.

L'accès non autorisé à un système informatique (art. 284) est puni d'une amende, d'un travail correctionnel ou d'un emprisonnement pouvant aller jusqu'à deux ans ; la peine est portée à deux à cinq ans pour les groupes, les fonctionnaires, la récidive ou les dommages substantiels, et à trois à six ans lorsque la cible est un système d'information critique. L'identification d'un compte découle de l'obligation imposée à une entreprise par l'article 8(4) de la loi, sur la base d'une ordonnance prise en vertu de l'article 136.

La décision n° 1/1/625,640 du 14 avril 2016 de la Cour constitutionnelle figure dans l'historique des modifications de la loi. Selon l'OCCRP, qui cite Civil.ge, elle a jugé que l'accès sans restriction de l'agence de sécurité aux réseaux des opérateurs était inconstitutionnel, que les garanties ne constituaient pas un mécanisme suffisant et efficace de contrôle externe, et que les règles existantes sur la conservation des métadonnées étaient inconstitutionnelles.

Selon le même article, une nouvelle législation devait être adoptée au plus tard le 31 mars 2017 ; les notes de modification de la loi mentionnent la loi n° 480 du 22 mars 2017 concernant les articles 8, 8¹ et 8³. L'ordre des lignes correspond au score de sécurité, et l'emplacement d'un serveur ne constitue pas une recommandation.