VPN'er med servere i Zimbabwe

Før indgåelse af en kontrakt skal en udbyder registrere kundens navn, adresser og identitetsnummer og opbevare posten (s. 10). Udbyderen skal opbevare opkaldsrelaterede oplysninger efter et påbud fra Postal and Telecommunications Authority; loven fastsætter ikke selv nogen periode. Cyber and Data Protection Act [Chapter 12:07] flyttede overvågningscentret til Præsidentens kontor. Det er ikke dokumenteret, om en VPN-operatør er en telekommunikationstjenesteudbyder efter disse love.

Cyber and Data Protection Act gør det strafbart via en computer eller et informationssystem at fremstille, tilbyde, distribuere eller overføre racistisk eller fremmedfjendsk materiale eller at bruge sprog, der nedgør menneskers omdømme eller følelser på grundlag af de forhold, der er opregnet i forfatningens section 56(3) (s. 164F, op til ti år). Materiale med seksuelt misbrug af børn udgør en særskilt lovovertrædelse (s. 165A).

Den samme lov straffer afsendelse af en datameddelelse med forsæt til at tilskynde til vold eller skade på ejendom (s. 164) eller til at true med skade (s. 164A), i begge tilfælde med fængsel i op til fem år. Cybermobning, det vil sige opslag eller afsendelse af materiale med forsæt til at tvinge, intimidere, chikanere, mobbe eller ydmyge, straffes med fængsel i op til ti år (s. 164B). Bevidst distribution af urigtige oplysninger om en identificerbar person med forsæt til at forårsage psykisk eller økonomisk skade straffes med fængsel i op til fem år (s. 164C).

Identifikation sker via udbydere: Kundernes identitetsnumre registreres ved kontraktindgåelsen, og en kendelse kan pålægge en udbyder at opfylde de tekniske krav, der er fastsat for at lette aflytning (Interception of Communications Act ss. 7, 10).

En kendelse udstedes af ministeren efter en ansøgning fra lederne af forsvarsefterretningstjenesten, præsidentens afdeling for national sikkerhed, politiet eller skatteforvaltningen.

Ansøgningen forelægges først et udvalg, der rådgiver ministeren, og en kendelse gælder i op til tre måneder og kan fornyes for yderligere perioder på op til tre måneder. Den anden og senere fornyelse kan henvises til Administrative Court efter en ex parte-ansøgning (ss. 5–7).

I januar 2019 tilsidesatte dommer Tagu ved High Court direktiver, der begrænsede internetadgangen, og som var udstedt med hjemmel i loven af ministeren for national sikkerhed, fordi præsidenten ikke havde delegeret denne beføjelse. Retten tog ikke stilling til argumentet om, at aflytningskendelser ikke bør være ministerens beslutning. Rækkefølgen af rækkerne er sikkerhedsscoren, og en servers exitlokation er ikke en anbefaling.