VPN dengan server di Serbia

Pasal 129 mencakup data yang diperlukan untuk melacak sumber, tujuan, waktu, dan jenis komunikasi, terminal pengguna, serta lokasi perangkat seluler; penyimpanan isi komunikasi dilarang. Operator juga wajib memungkinkan penyadapan yang sah (pasal 127). Undang-undang tahun 2023 mendefinisikan operator sebagai penyedia jaringan komunikasi elektronik publik atau fasilitas terkait, dan di bagian lain merujuk pada undang-undang tersendiri tentang penyadapan dan retensi. Belum dipastikan apakah operator VPN tercakup.

Berdasarkan pasal 122 Undang-Undang Permainan Untung-Untungan (Lembaran Negara Resmi 18/2020, 94/2024), apabila inspektur Administrasi Permainan Untung-Untungan mendapati orang asing menyelenggarakan permainan untung-untungan secara elektronik tanpa persetujuan Administrasi tersebut, inspektur melarang kegiatan itu. Badan yang berwenang kemudian mengatur agar operator komunikasi elektronik memblokir alamat IP dan agar bank serta penyedia pembayaran memblokir transaksi. Pengajuan banding tidak menangguhkan putusan tersebut.

Pasal 317 Kitab Undang-Undang Hukum Pidana menghukum siapa pun yang memprovokasi atau menghasut kebencian atau intoleransi etnis, ras, atau agama di antara masyarakat atau komunitas etnis yang tinggal di Serbia dengan pidana penjara enam bulan hingga lima tahun; apabila dilakukan melalui paksaan, perlakuan sewenang-wenang, tindakan yang membahayakan keamanan, penghinaan terhadap simbol nasional, etnis, atau agama, perusakan harta benda, atau penodaan makam maupun monumen peringatan, ancamannya adalah satu hingga delapan tahun.

Data yang melacak komunikasi ke sumbernya dan ke perangkat terminal pengguna (pasal 129) disimpan selama dua belas bulan dan diserahkan berdasarkan putusan pengadilan (pasal 128).

Dalam putusan IUz-1245/2010, yang dipublikasikan dalam Lembaran Negara Resmi 60/13 dan berlaku sejak 10 Juli 2013, Mahkamah Konstitusi menyatakan pasal 129(4) undang-undang tahun 2010 inkonstitusional. Pasal 128 sebagaimana diubah setelah putusan tersebut hanya mengizinkan akses terhadap data yang diretensi berdasarkan putusan pengadilan, sedangkan teks semula mengizinkan badan negara yang berwenang memintanya.

Berdasarkan teks yang tetap berlaku, otoritas perlindungan data pribadi mengawasi kewajiban retensi operator (pasal 130), dan operator maupun badan yang mengakses data masing-masing wajib menyimpan catatan tahunan mengenai permintaan serta mengirimkannya kepada otoritas tersebut paling lambat 31 Januari (pasal 130a). Urutan baris adalah skor keamanan, dan lokasi titik keluar server bukan rekomendasi.