VPN avec des serveurs en Lettonie

L'article 101 énumère, pour l'accès à Internet, l'identifiant de l'utilisateur final, l'adresse IP externe ou le numéro de port attribué à une connexion, l'utilisateur auquel il a été attribué, ainsi que les heures de début et de fin de la connexion, lorsque l'opérateur les traite. Un fournisseur n'a pas à prendre de mesures supplémentaires pour obtenir des données que son équipement ne génère pas (art. 99, paragraphe 3). Il n'est pas établi qu'un opérateur VPN soit un tel fournisseur.

Le 9 juin 2022, le président a renvoyé le projet de loi à la Saeima, estimant que les articles 99–101 étaient incompatibles avec le droit de l'UE et avec l'article 96 de la Constitution. La Saeima l'a adopté le 14 juillet 2022 et a demandé au Cabinet de présenter avant la fin de cette année un projet de loi alignant ces règles. Entre-temps, les données sont transmises aux organes visés aux paragraphes 1 et 2 de l'article 99 en vertu des lois de procédure, lorsque cela est nécessaire et justifié (disposition transitoire 18).

En vertu de l'article 112 de la Loi sur les communications électroniques, le Conseil national des médias électroniques, après avoir évalué des informations provenant d'institutions de l'État, peut décider de restreindre l'accès aux sites web accessibles en Lettonie qui distribuent des contenus mettant en danger ou susceptibles de mettre en danger la sécurité de l'État ou l'ordre et la sécurité publics, et de refuser l'accès au nom de domaine ou à l'adresse IP du site.

Il peut également ordonner à un site de cesser de promouvoir ou de vendre des équipements ou des droits d'accès à des programmes ne figurant pas sur la liste des programmes retransmis en Lettonie, en accordant un délai de trois jours, et peut restreindre l'accès au site si l'ordre n'est pas respecté.

La loi pénale punit les actes visant à provoquer la haine ou l'inimitié nationale, ethnique, raciale ou religieuse d'une peine pouvant aller jusqu'à trois ans de privation de liberté, ou d'une surveillance probatoire, de travaux d'intérêt général ou d'une amende (art. 78, paragraphe 1). La diffusion publique intentionnelle, sous forme imprimée ou orale, de faits fictifs dont l'auteur sait qu'ils sont faux et diffamatoires est punie d'une surveillance probatoire, de travaux d'intérêt général ou d'une amende, la peine encourue étant plus lourde en cas de diffamation dans les médias (art. 157).

Les données conservées identifiant l'utilisateur final derrière une adresse IP sont transmises aux organes visés au paragraphe 1 de l'article 99, ainsi qu'à la police nationale dans les affaires administratives de violence physique ou émotionnelle contre un enfant dans l'environnement électronique (art. 99, paragraphe 2).

Seul le chef d'une institution ou un fonctionnaire autorisé par celui-ci peut demander des données conservées ; la demande indique son fondement juridique, sa portée et le délai de réponse ; et le fournisseur doit consigner chaque demande et chaque réponse, en indiquant le nom de l'employé qui l'a préparée (règlement 583 du Cabinet du 20 septembre 2022, points 2, 4 et 5). Une demande du Conseil de la concurrence ou du Centre de protection des droits des consommateurs doit être accompagnée d'une décision d'un juge (point 6).

Les réponses doivent être fournies dans un délai de trente jours pour les données conservées depuis plus de six mois et de dix jours dans les autres cas, ou dans un délai de trois heures ou d'une heure en cas d'urgence (point 11). L'ordre des lignes correspond au score de sécurité, et la sortie d'un serveur ne constitue pas une recommandation.