Le VPN con server in Georgia

L’articolo 8⁵, aggiunto dalla legge n. 3148 del 14 giugno 2023, autorizza un’impresa a conservare l’identità e i dati di contatto di un utente per non più di quattro anni dalla fine del contratto, nonché i dati identificativi del traffico e i registri di fatturazione per non più di quattro anni dalla comunicazione. Deve cancellarli alla scadenza, con distruzione automatica entro 30 giorni. Stabilisce un massimo, non un minimo.

L’Agenzia operativa e tecnica può copiare i database identificativi degli operatori (art. 8³) e installare sistemi che ottengono comunicazioni in tempo reale senza il coinvolgimento dell’impresa (art. 8¹). Non è accertato se un operatore VPN sia una «persona autorizzata» che fornisce servizi di comunicazione elettronica.

La Commissione per le comunicazioni controlla il rispetto delle regole sull’indicazione dell’età per software, film e giochi messi su internet, al fine di proteggere i minori dalle informazioni dannose (art. 11).

L’articolo 239¹ del Codice penale punisce l’istigazione pubblica alla violenza, oralmente, per iscritto o con altri mezzi, volta a provocare discordia tra gruppi per motivi razziali, religiosi, nazionali, etnici, sociali, politici, linguistici o di altro tipo, quando presenta un rischio chiaro, diretto e sostanziale di violenza: una multa, da 200 a 400 ore di lavori socialmente utili e/o fino a tre anni di reclusione.

L’accesso non autorizzato a un sistema informatico (art. 284) comporta una multa, lavori correttivi o la reclusione fino a due anni; la pena sale da due a cinque anni per gruppi, pubblici ufficiali, recidiva o danno sostanziale, e da tre a sei anni quando il bersaglio è un sistema informativo critico. Un account viene identificato tramite l’obbligo imposto a un’impresa dall’articolo 8(4) della legge, con un ordine ai sensi dell’articolo 136.

La decisione n. 1/1/625,640 del 14 aprile 2016 della Corte costituzionale compare nella cronologia delle modifiche della legge. Secondo OCCRP, che cita Civil.ge, la Corte ha stabilito che l’accesso illimitato dell’agenzia per la sicurezza alle reti degli operatori era incostituzionale, che le garanzie non costituivano un meccanismo sufficiente ed efficace di controllo esterno e che le norme allora vigenti sulla conservazione dei metadati erano incostituzionali.

Secondo lo stesso rapporto, una nuova legge doveva essere adottata entro il 31 marzo 2017; le note sulle modifiche della legge elencano la legge n. 480 del 22 marzo 2017 in relazione agli articoli 8, 8¹ e 8³. L’ordine delle righe corrisponde al punteggio di sicurezza e la posizione di un server non costituisce una raccomandazione.