VPN z serwerami w Serbii

Artykuł 129 obejmuje dane potrzebne do ustalenia źródła, miejsca docelowego, czasu i rodzaju komunikacji, a także terminala użytkownika oraz lokalizacji urządzeń mobilnych; przechowywanie treści jest zabronione. Operatorzy muszą również umożliwiać zgodne z prawem przechwytywanie komunikacji (art. 127). Ustawa z 2023 roku definiuje operatora jako dostawcę publicznych sieci łączności elektronicznej lub powiązanych urządzeń i w innych miejscach odsyła do odrębnej ustawy dotyczącej przechwytywania i retencji. Nie potwierdzono, czy operator VPN jest objęty tymi przepisami.

Zgodnie z artykułem 122 Ustawy o grach losowych (Dziennik Urzędowy 18/2020, 94/2024), gdy inspektor Administracji ds. Gier Losowych stwierdzi, że osoba zagraniczna prowadzi gry losowe drogą elektroniczną bez jej zgody, inspektor zakazuje tej działalności. Właściwy organ zleca następnie operatorom łączności elektronicznej zablokowanie adresu IP, a bankom i dostawcom usług płatniczych — zablokowanie transakcji. Odwołanie nie wstrzymuje wykonania decyzji.

Artykuł 317 Kodeksu karnego przewiduje karę od sześciu miesięcy do pięciu lat pozbawienia wolności za wywoływanie lub podżeganie do nienawiści albo nietolerancji etnicznej, rasowej lub religijnej między narodami lub wspólnotami etnicznymi zamieszkującymi Serbię; jeśli czynu dokonano przez przymus, znęcanie się, narażenie na niebezpieczeństwo, wyszydzanie symboli narodowych, etnicznych lub religijnych, uszkodzenie mienia albo zbezczeszczenie grobów lub pomników, kara wynosi od roku do ośmiu lat.

Dane umożliwiające prześledzenie komunikacji do jej źródła i terminala użytkownika (art. 129) są przechowywane przez dwanaście miesięcy i udostępniane na podstawie decyzji sądu (art. 128).

W wyroku IUz-1245/2010, opublikowanym w Dzienniku Urzędowym 60/13 i obowiązującym od 10 lipca 2013 roku, Trybunał Konstytucyjny uznał artykuł 129(4) ustawy z 2010 roku za niezgodny z konstytucją. Artykuł 128, zmieniony po tym wyroku, zezwala na dostęp do zatrzymanych danych wyłącznie na podstawie decyzji sądu, podczas gdy pierwotne brzmienie pozwalało właściwemu organowi państwowemu wystąpić o ich udostępnienie.

Zgodnie z zachowanym brzmieniem przepisów organ ochrony danych osobowych nadzoruje obowiązki operatorów w zakresie retencji (art. 130), a operatorzy i organy uzyskujące dostęp do danych muszą prowadzić odrębny roczny rejestr wniosków i przekazywać go temu organowi do 31 stycznia (art. 130a). Kolejność wierszy odpowiada wynikowi bezpieczeństwa, a lokalizacja serwera nie jest rekomendacją.