VPN con servidores en Mozambique

Los proveedores de servicios intermediarios y digitales que almacenen datos de tráfico y de ubicación deben dar acceso a ellos a las autoridades competentes cuando se les solicite (art. 39). La ley entró en vigor 90 días después de su publicación, el 1 de julio de 2026 (art. 80), y el Consejo de Ministros debe reglamentarla en un plazo de 180 días desde su publicación (art. 79).

En virtud de la Ley de Ciberdelincuencia (Lei n.º 14/2026), vigente 90 días después de su publicación (art. 36), la autoridad judicial puede ordenar a cualquier persona que controle datos informáticos, incluidos los proveedores de servicios, que los conserve durante un máximo de tres meses, prorrogable hasta un año (art. 18), y que entregue datos específicos, incluidos los datos de los abonados (art. 20). No está establecido si un operador de VPN es un proveedor de servicios intermediarios o digitales conforme a alguna de las dos leyes.

En virtud de la Ley de Ciberdelincuencia, la incautación de datos informáticos autorizada por la autoridad judicial puede consistir en eliminar los datos o bloquear el acceso a ellos, y una incautación realizada por el órgano de investigación criminal debe ser validada por una autoridad judicial en un plazo de 72 horas (art. 22).

Publicar puede constituir el delito de ciberr terrorismo y extremismo violento (art. 12, de dos a ocho años de prisión), extorsión informática mediante la amenaza de divulgar información comprometedora (art. 13, hasta dos años, hasta tres cuando la víctima ocupa un cargo público) y contenido sexual infantil (art. 15, de seis meses a un año y una multa).

La interceptación de comunicaciones está permitida en los procedimientos por los delitos que crea la ley y por los enumerados en el artículo 222 del Código de Procedimiento Penal cuando se cometan mediante un sistema informático o requieran pruebas electrónicas (art. 23). La orden de entregar datos conforme al artículo 20 alcanza los datos de los abonados de los proveedores, incluidos los proveedores extranjeros en virtud de tratados, pero no puede utilizarse contra sospechosos o acusados.

El 29 de julio de 2026, el Consejo Constitucional, mediante el Acórdão n.º 6/CC/2026, declaró inconstitucionales normas del Reglamento de Control del Tráfico de Telecomunicaciones aprobado por el Decreto n.º 48/2025, publicado el 16 de diciembre de 2025, en un caso presentado por el Defensor del Pueblo. El reglamento había establecido un régimen de vigilancia, recopilación de datos, suspensión de servicios e intervención en redes.

El Consejo sostuvo que estas medidas restringen sustancialmente la libertad de expresión e información, la vida privada y la inviolabilidad de las comunicaciones, y que solo una ley de la Asamblea de la República puede limitar esos derechos. El orden de las filas corresponde a la puntuación de seguridad, y la ubicación de un servidor no es una recomendación.