VPNs com servidores na Geórgia

O artigo 8⁵, aditado pela Lei n.º 3148, de 14 de junho de 2023, permite a uma empresa conservar a identidade e os dados de contacto de um utilizador por um período não superior a quatro anos após o termo do contrato, e os dados de identificação do tráfego e os registos de faturação por um período não superior a quatro anos após a comunicação. Deve eliminá-los no termo desse prazo, com destruição automática no prazo de 30 dias. Estabelece um máximo, não um mínimo.

A Agência Operativa e Técnica pode copiar as bases de dados de identificação dos operadores (art. 8³) e instalar sistemas que obtenham comunicações em tempo real sem o envolvimento da empresa (art. 8¹). Não está comprovado que um operador de VPN seja uma «pessoa autorizada» que presta serviços de comunicações eletrónicas.

A Comissão das Comunicações controla o cumprimento das regras de classificação etária aplicáveis a software, filmes e jogos disponibilizados na internet, a fim de proteger as crianças contra informações prejudiciais (art. 11).

O artigo 239¹ do Código Penal pune o incitamento público à violência, oralmente, por escrito ou por outros meios, com o objetivo de provocar discórdia entre grupos por motivos raciais, religiosos, nacionais, étnicos, sociais, políticos, linguísticos ou outros, quando tal represente um risco claro, direto e substancial de violência: multa, 200 a 400 horas de trabalho comunitário e/ou até três anos de prisão.

O acesso não autorizado a um sistema informático (art. 284) é punido com multa, trabalho corretivo ou prisão até dois anos, aumentando para dois a cinco anos quando cometido por grupos ou funcionários, em caso de reincidência ou de dano substancial, e para três a seis anos quando o alvo for um sistema de informação crítico. Uma conta é identificada através da obrigação de uma empresa prevista no artigo 8(4) da Lei, mediante uma ordem ao abrigo do artigo 136.

A Decisão n.º 1/1/625,640, de 14 de abril de 2016, do Tribunal Constitucional consta do histórico de alterações da Lei. Segundo a OCCRP, citando a Civil.ge, o Tribunal decidiu que o acesso irrestrito da agência de segurança às redes dos operadores era inconstitucional, que as salvaguardas não constituíam um mecanismo suficiente e eficaz de supervisão externa e que as regras existentes sobre a retenção de metadados eram inconstitucionais.

Segundo a mesma reportagem, deveria ser aprovada nova legislação até 31 de março de 2017; as notas relativas às alterações da Lei enumeram a Lei n.º 480, de 22 de março de 2017, em relação aos artigos 8, 8¹ e 8³. A ordem das linhas corresponde à pontuação de segurança, e a localização de saída de um servidor não constitui uma recomendação.