Le VPN con server in Moldavia

I fornitori devono inoltre conservare i dati, su richiesta, per un periodo massimo di 120 giorni quando vi è il rischio che vengano distrutti, e fornire, su richiesta legittima, i dati degli utenti, compreso il metodo di pagamento e qualsiasi elemento in grado di identificarli. La legge 241/2007 (art. 20(3)), come riportato nell’analisi d’impatto del ministero del 29 novembre 2022, impone separatamente ai fornitori di rete e di servizi di conservare i dati identificativi e quelli sul traffico per un anno per la telefonia e sei mesi per internet.

Quell’analisi proponeva di modificare la legge 20/2009 per consentire al ministero di ordinare la conservazione immediata dei dati e di indicare le autorità autorizzate a ordinare un blocco. Non è accertato se un operatore VPN sia un fornitore di servizi ai sensi di queste leggi.

L’articolo 7(1)(e1) della legge 20/2009 obbliga i fornitori, alle condizioni previste dalla legge, a interrompere dai propri sistemi l’accesso a tutti gli indirizzi IP che ospitano pagine web che contribuiscono alla commissione di reati o violano la legge, oppure che forniscono istruzioni per commetterli. La disposizione non indica quale autorità possa ordinare tale misura e, poiché il blocco avviene per indirizzo IP, possono essere colpiti anche siti legittimi che condividono un indirizzo.

Il codice penale punisce l’accesso illegale a informazioni informatizzate (art. 259) con una multa, lavori socialmente utili o fino a due anni di reclusione, e fino a tre anni nelle forme aggravate; punisce inoltre l’intercettazione illegale di una trasmissione di dati non pubblica (art. 260¹) con una multa o da due a cinque anni di reclusione. L’articolo 346 riguarda l’istigazione pubblica all’odio o alla violenza fondata sul pregiudizio, anche attraverso sistemi informatici.

Il percorso per risalire all’autore passa attraverso gli obblighi del fornitore indicati sopra: registri degli utenti, dati sul traffico conservati per 180 giorni e comunicazione dei dati identificativi su richiesta. Il monitoraggio delle connessioni di comunicazione elettronica e le intercettazioni richiedono l’autorizzazione di un giudice istruttore su richiesta del pubblico ministero (legge sulle attività investigative speciali, art. 18).

In Iordachi e altri c. Moldova (10 febbraio 2009), la Corte europea dei diritti dell’uomo ha stabilito all’unanimità che la legge moldava non proteggeva adeguatamente dagli abusi del potere statale nell’intercettazione delle comunicazioni telefoniche, in violazione dell’articolo 8. I ricorrenti avevano ottenuto dati della Corte suprema dai quali risultava che nel 2007 era stato autorizzato il 99.24 per cento delle richieste di intercettazione.

La Moldova ha modificato la propria legislazione nel 2012 in risposta, aggiungendo una nuova legge sulle attività investigative speciali; un’organizzazione moldava di risorse giuridiche ha riferito nel febbraio 2016 che il governo non aveva presentato alcun piano d’azione per dare esecuzione alla sentenza. L’ordine delle righe corrisponde al punteggio di sicurezza e la posizione di un server non costituisce una raccomandazione.