VPN dengan server di Georgia

Pasal 8⁵, yang ditambahkan melalui Undang-Undang No 3148 tanggal 14 Juni 2023, memberikan hak kepada perusahaan untuk menyimpan identitas dan data kontak pengguna selama paling lama empat tahun setelah kontrak berakhir, serta data identifikasi lalu lintas dan catatan penagihan selama paling lama empat tahun setelah komunikasi berlangsung. Data tersebut harus dihapus saat masa penyimpanan berakhir, dengan pemusnahan otomatis dalam waktu 30 hari. Ketentuan ini menetapkan batas maksimum, bukan minimum.

Badan Operasional dan Teknis dapat menyalin basis data identifikasi operator (pasal 8³) dan memasang sistem yang memperoleh komunikasi secara waktu nyata tanpa keterlibatan perusahaan (pasal 8¹). Belum dipastikan apakah operator VPN merupakan “orang yang berwenang” yang menyediakan layanan komunikasi elektronik.

Komisi Komunikasi mengawasi kepatuhan terhadap aturan penandaan usia untuk perangkat lunak, film, dan permainan yang ditempatkan di internet, guna melindungi anak-anak dari informasi yang berbahaya (pasal 11).

Pasal 239¹ Kitab Undang-Undang Hukum Pidana menghukum hasutan publik untuk melakukan kekerasan, secara lisan, tertulis, atau dengan cara lain, untuk menimbulkan pertikaian antarkelompok atas dasar ras, agama, kebangsaan, etnis, sosial, politik, bahasa, atau dasar lainnya, apabila hal tersebut menimbulkan risiko kekerasan yang jelas, langsung, dan substansial: denda, kerja sosial selama 200 hingga 400 jam, dan/atau hukuman penjara hingga tiga tahun.

Akses tanpa izin ke sistem komputer (pasal 284) dikenai denda, kerja korektif, atau hukuman penjara hingga dua tahun; hukumannya meningkat menjadi dua hingga lima tahun bagi kelompok, pejabat, pengulangan tindak pidana, atau kerugian substansial, dan menjadi tiga hingga enam tahun apabila sasarannya adalah subjek sistem informasi kritis. Sebuah akun diidentifikasi melalui kewajiban perusahaan berdasarkan pasal 8(4) Undang-Undang tersebut, dengan perintah berdasarkan pasal 136.

Putusan No 1/1/625,640 tanggal 14 April 2016 dari Mahkamah Konstitusi tercantum dalam riwayat perubahan Undang-Undang tersebut. Menurut OCCRP, yang mengutip Civil.ge, putusan itu menyatakan bahwa akses tidak terbatas badan keamanan ke jaringan operator inkonstitusional, bahwa perlindungan yang ada bukan mekanisme pengawasan eksternal yang memadai dan efektif, serta bahwa aturan yang berlaku tentang retensi metadata inkonstitusional.

Menurut laporan yang sama, undang-undang baru seharusnya disahkan paling lambat 31 Maret 2017; catatan perubahan Undang-Undang tersebut mencantumkan Undang-Undang No 480 tanggal 22 Maret 2017 terkait pasal 8, 8¹, dan 8³. Urutan baris menunjukkan skor keamanan, dan lokasi server bukanlah rekomendasi.