VPN z serwerami w Gruzji

Artykuł 8⁵, dodany ustawą nr 3148 z 14 czerwca 2023 roku, uprawnia przedsiębiorstwo do przechowywania danych dotyczących tożsamości i danych kontaktowych użytkownika przez nie więcej niż cztery lata od zakończenia obowiązywania kontraktu, a danych identyfikacyjnych dotyczących ruchu i danych rozliczeniowych przez nie więcej niż cztery lata od komunikacji. Musi ono usunąć te dane po upływie tego okresu, przy czym automatyczne zniszczenie następuje w ciągu 30 dni. Ustawa wyznacza maksimum, a nie minimum.

Agencja Operacyjno-Techniczna może kopiować bazy danych identyfikacyjnych operatorów (art. 8³) oraz instalować systemy uzyskujące dane o komunikacji w czasie rzeczywistym bez udziału przedsiębiorstwa (art. 8¹). Nie jest potwierdzone, czy operator VPN jest „upoważnioną osobą” świadczącą usługi łączności elektronicznej.

Komisja Łączności kontroluje przestrzeganie zasad oznaczania wieku w odniesieniu do oprogramowania, filmów i gier udostępnianych w internecie, aby chronić dzieci przed szkodliwymi informacjami (art. 11).

Artykuł 239¹ kodeksu karnego przewiduje karę za publiczne nawoływanie do przemocy, ustnie, na piśmie lub w inny sposób, w celu wywołania niezgody między grupami z przyczyn rasowych, religijnych, narodowych, etnicznych, społecznych, politycznych, językowych lub innych, jeżeli stwarza ono wyraźne, bezpośrednie i istotne zagrożenie przemocą: grzywnę, od 200 do 400 godzin prac społecznych lub karę pozbawienia wolności do trzech lat, albo więcej niż jedną z tych kar.

Za nieuprawniony dostęp do systemu komputerowego (art. 284) grozi grzywna, praca korekcyjna lub kara pozbawienia wolności do dwóch lat; w przypadku grup, funkcjonariuszy, ponownego popełnienia czynu lub znacznej szkody kara wzrasta do od dwóch do pięciu lat, a gdy celem jest podmiot będący krytycznym systemem informacyjnym — do od trzech do sześciu lat. Ustalenie tożsamości użytkownika konta następuje na podstawie obowiązku przedsiębiorstwa wynikającego z art. 8 ust. 4 ustawy, w związku z nakazem wydanym na podstawie art. 136.

Decyzja nr 1/1/625,640 Trybunału Konstytucyjnego z 14 kwietnia 2016 roku figuruje w historii zmian ustawy. Według OCCRP, powołującego się na Civil.ge, Trybunał uznał, że nieograniczony dostęp organu bezpieczeństwa do sieci operatorów był niezgodny z konstytucją, zabezpieczenia nie stanowiły wystarczającego i skutecznego mechanizmu zewnętrznego nadzoru, a obowiązujące zasady retencji metadanych były niezgodne z konstytucją.

Według tego samego raportu nowe przepisy miały zostać przyjęte do 31 marca 2017 roku; uwagi dotyczące zmian ustawy wymieniają ustawę nr 480 z 22 marca 2017 roku w odniesieniu do art. 8, 8¹ i 8³. Kolejność wierszy wyznacza wynik bezpieczeństwa, a lokalizacja serwera nie jest rekomendacją.