VPN con servidores en Kenia

En abril de 2026, la Bloggers Association of Kenya, junto con la Law Society of Kenya y otros dos grupos, presentó un recurso de apelación ante el Tribunal Supremo contra la sentencia del Tribunal de Apelación.. Según la asociación, solicita al tribunal que anule los artículos 27, 28, 37 y 48–53 de la ley de 2018, que incluyen las facultades de interceptación y producción.

Un «proveedor de servicios» es una entidad que proporciona a los usuarios los medios para comunicarse mediante un sistema informático, o que procesa o almacena datos para ese sistema o sus usuarios (art. 2). El incumplimiento conlleva una multa de hasta cinco millones de chelines, hasta tres años de prisión, o ambas penas (art. 54(1)). Los artículos 2, 50 a 52 y 54 son los promulgados en 2018. No está establecido si alcanzan a un operador de VPN.

Según informaciones de prensa, el párrafo (ja) del artículo 6(1), añadido en 2025, permitía al National Computer and Cybercrimes Coordination Committee ordenar que sitios web, aplicaciones y otras plataformas fueran inaccesibles cuando promovieran actividades ilícitas, terrorismo, extremismo religioso, cultismo o contenido sexual indecente en el que estuvieran involucrados menores. El 2 de julio de 2026, el Tribunal Superior declaró inconstitucional ese párrafo.

El acoso cibernético (artículo 27) conlleva una multa de hasta veinte millones de chelines, hasta diez años de prisión, o ambas penas. Tal como fue promulgado, abarca comunicarse deliberadamente con una persona cuando la comunicación pueda causar miedo a la violencia, afecte perjudicialmente a esa persona, o sea indecente o manifiestamente ofensiva y la afecte. Un tribunal puede ordenar a un proveedor de servicios que proporcione información de abonados que identifique a la persona objeto de la denuncia (art. 27(7)).

El 6 de marzo de 2026, el Tribunal de Apelación anuló los artículos 22 y 23, que tipificaban como delito publicar datos falsos, engañosos o ficticios; según el Committee to Protect Journalists, consideró claro el artículo 27 y lo mantuvo vigente. El 2 de julio de 2026, el Tribunal Superior, al pronunciarse sobre la ley reformada, declaró inconstitucional el artículo 27(1); Kenyans.co.ke informa de que consideró que la disposición era imprecisa, excesivamente amplia y una limitación injustificada de la libertad de expresión protegida por el artículo 24.

El 19 de abril de 2018, el Tribunal Superior declaró inconstitucional un plan de la Communications Authority para instalar un sistema que le diera acceso a los datos de llamadas y las identidades de dispositivos de los abonados móviles, al considerar que era ilícito y desproporcionado según el derecho a la privacidad del artículo 31, y ordenó a la Authority que no lo ejecutara.

Según el Committee to Protect Journalists, en marzo de 2026 el Tribunal de Apelación rechazó el argumento de que la ley de 2018 otorgara al Estado facultades sin control de vigilancia, registro y confiscación. El orden de las filas es la puntuación de seguridad, y la ubicación de un servidor no constituye una recomendación.