VPN có máy chủ tại Georgia

Điều 8⁵, được bổ sung theo Luật số 3148 ngày 14 tháng 6 năm 2023, cho phép một công ty lưu giữ danh tính và dữ liệu liên hệ của người dùng không quá bốn năm sau khi hợp đồng chấm dứt, cũng như dữ liệu nhận dạng lưu lượng và hồ sơ thanh toán không quá bốn năm sau khi liên lạc. Công ty phải xóa các dữ liệu này khi hết hạn, với việc hủy tự động trong vòng 30 ngày. Điều này quy định mức tối đa, không phải mức tối thiểu.

Cơ quan Tác nghiệp và Kỹ thuật có thể sao chép cơ sở dữ liệu nhận dạng của các nhà khai thác (điều 8³) và lắp đặt các hệ thống thu thập thông tin liên lạc theo thời gian thực mà không cần sự tham gia của công ty (điều 8¹). Việc một nhà vận hành VPN có phải là “người được ủy quyền” cung cấp dịch vụ truyền thông điện tử hay không chưa được xác lập.

Ủy ban Truyền thông kiểm soát việc tuân thủ các quy tắc phân loại độ tuổi đối với phần mềm, phim và trò chơi được đưa lên internet, nhằm bảo vệ trẻ em khỏi thông tin có hại (điều 11).

Điều 239¹ của Bộ luật Hình sự trừng phạt hành vi công khai kích động bạo lực, bằng lời nói, văn bản hoặc phương tiện khác, nhằm gây bất hòa giữa các nhóm vì lý do chủng tộc, tôn giáo, quốc gia, dân tộc, xã hội, chính trị, ngôn ngữ hoặc lý do khác, khi hành vi đó gây ra nguy cơ bạo lực rõ ràng, trực tiếp và đáng kể: phạt tiền, 200 đến 400 giờ lao động công ích và/hoặc phạt tù đến ba năm.

Việc truy cập trái phép vào một hệ thống máy tính (điều 284) có thể bị phạt tiền, lao động cải tạo hoặc phạt tù đến hai năm; mức phạt tăng lên từ hai đến năm năm đối với trường hợp do nhóm thực hiện, do cán bộ thực hiện, tái phạm hoặc gây thiệt hại đáng kể, và từ ba đến sáu năm khi mục tiêu là một hệ thống thông tin trọng yếu. Một tài khoản được xác định thông qua nghĩa vụ của công ty theo điều 8(4) của Luật, cùng với lệnh theo điều 136.

Quyết định số 1/1/625,640 ngày 14 tháng 4 năm 2016 của Tòa án Hiến pháp xuất hiện trong lịch sử sửa đổi của Luật. Theo OCCRP, dẫn nguồn Civil.ge, quyết định này cho rằng quyền truy cập không hạn chế của cơ quan an ninh vào mạng lưới của các nhà khai thác là vi hiến, các biện pháp bảo đảm không phải là cơ chế giám sát bên ngoài đầy đủ và hiệu quả, và các quy định hiện hành về lưu giữ siêu dữ liệu là vi hiến.

Theo cùng báo cáo, luật mới phải được ban hành trước ngày 31 tháng 3 năm 2017; các ghi chú sửa đổi của Luật liệt kê Luật số 480 ngày 22 tháng 3 năm 2017 liên quan đến các điều 8, 8¹ và 8³. Thứ tự của các hàng là điểm bảo mật, còn vị trí của máy chủ không phải là một khuyến nghị.