VPN con servidores en Indonesia

Los operadores deben permitir a los ministerios acceder a sus sistemas y datos para la supervisión, y a las autoridades encargadas de hacer cumplir la ley, para su aplicación (art. 21), incluidos los datos conservados en el extranjero sobre residentes o entidades indonesios (art. 34). Ante una solicitud formal, el operador debe facilitar los datos de tráfico y la información de los suscriptores en un plazo de cinco días naturales (arts. 36–37). El reglamento no establece ningún periodo de retención. No está establecido si un operador de VPN entra en su ámbito de aplicación.

Los sistemas no registrados quedan bloqueados (art. 7(2)). Los operadores deben impedir que sus sistemas contengan contenido prohibido: contenido que infrinja una ley, perturbe el orden público o explique cómo acceder a contenido prohibido (art. 9(4)). Deben retirarlo en un plazo de 24 horas desde una orden, o de cuatro horas si se trata de terrorismo, pornografía infantil o contenido que perturbe el orden público; si no lo hacen, el ministro puede bloquear el acceso a todo el sistema u ordenar a los proveedores de Internet que lo hagan (arts. 14–16).

La Ley de Información Electrónica y Transacciones, modificada por la Ley 1 de 2024, permite al Gobierno bloquear el acceso a contenido ilícito u ordenar a los operadores que lo hagan (art. 40(2b)).

El Código Penal (Ley 1 de 2023, vigente desde el 2 de enero de 2026), tal como fue promulgado, castiga la difamación mediante escritos o imágenes mostrados en público con hasta un año y seis meses de prisión o una multa de hasta Rp50 millones, pena que aumenta en un tercio cuando se utiliza tecnología de la información, y solo previa denuncia de la víctima (arts. 433, 440, 441).

Expresar públicamente hostilidad, odio o desprecio hacia un grupo de la población por motivos de raza, nacionalidad, etnia, color, sexo o discapacidad conlleva hasta tres años de prisión o una multa de hasta Rp200 millones (art. 242). Difundir tales declaraciones mediante tecnología de la información, cuando se produzca violencia, conlleva hasta cuatro años de prisión (art. 243).

La Ley 1 de 2024 dispuso que sus artículos sobre estos delitos se aplicaran únicamente hasta la entrada en vigor del Código Penal (art. II), y el artículo 622 del Código deroga, entre otras disposiciones, los artículos 27(1), 27(3) y 28(2) de la ley de 2008. La información de los suscriptores se facilita a las autoridades encargadas de hacer cumplir la ley en virtud del artículo 36 del reglamento de 2020.

En la decisión 20/PUU-XIV/2016, de 7 de septiembre de 2016, el Tribunal Constitucional sostuvo que la interceptación solo puede realizarse en virtud de una ley, que su procedimiento debe regularse en una ley específica y que debería contar con autorización judicial para que alguien la supervise. Al constatar la ausencia de esa ley procesal, sostuvo que las pruebas electrónicas obtenidas mediante interceptación solo cuentan si se recabaron para hacer cumplir la ley a petición de la policía, los fiscales u otros organismos designados por una ley.

Con arreglo al reglamento de 2020, el contenido de las comunicaciones y determinados datos personales requieren una orden del presidente del tribunal de distrito (art. 36(4)–(5)); el acceso a los datos está limitado a delitos castigados con al menos dos años de prisión (art. 32), y el acceso al sistema, a delitos castigados con cinco años o más, o con entre dos y cinco años cuando exista una orden de un tribunal de distrito (art. 33). El orden de las filas corresponde a la puntuación de seguridad, y la ubicación de un servidor no constituye una recomendación.