VPN avec des serveurs en Angola

Les fournisseurs de services de communications électroniques doivent enregistrer leurs utilisateurs, préserver la confidentialité des communications et conserver les données stockées avec le même niveau de protection que les données présentes sur le réseau (art. 24). Les fournisseurs de services numériques, c’est-à-dire les applications internet exploitées professionnellement sur des plateformes numériques, ne doivent conserver que les données techniques, contractuelles et de sécurité strictement nécessaires au service, à la prévention des incidents et au respect des obligations légales (art. 16). Les deux catégories doivent s’inscrire auprès du Centre national de cybersécurité.

Le défaut d’inscription constitue une infraction administrative grave, passible d’une amende de 100 à 250 salaires minimums nationaux pour une personne physique et de 300 à 500 pour une entreprise (arts. 55–56). L’obligation d’identifier ou d’enregistrer les utilisateurs ne constitue pas une identification civile générale de tous les utilisateurs (art. 16(4)). Il n’est pas établi qu’un opérateur de VPN soit un fournisseur de communications électroniques ou de services numériques au sens de la loi.

La loi 9/26 ne contient aucune disposition sur le blocage de sites ou le retrait de contenus. Lorsqu’un système est compromis par une cyberattaque, les équipes d’intervention peuvent recommander ou ordonner, par une décision motivée et consignée, une limitation temporaire de l’utilisation du système ou de ses seuls composants strictement nécessaires, mais elles ne peuvent pas accéder au contenu de communications privées sans autorisation judiciaire (art. 47(4)–(5)).

La loi sur la presse (loi 1/17 du 23 janvier 2017) applique à tout contenu diffusé sur internet les limites qu’elle fixe à la liberté de la presse, quel que soit l’emplacement du serveur hébergeant le site (art. 7). Une entreprise ou un organe de presse qui enfreint son statut éditorial est suspendu pour une durée de trois à neuf mois, puis radié en cas de récidive (art. 29). Les restrictions applicables à ce qui peut être dit en ligne découlent également du Code pénal, exposé ci-dessous.

Le Code pénal (loi 38/20 du 11 novembre 2020) punit l’injure (art. 213) d’une peine pouvant aller jusqu’à six mois ou d’une amende pouvant atteindre 60 jours, la diffamation (art. 214) d’une peine pouvant aller jusqu’à un an ou 120 jours, et la calomnie, soit l’imputation que son auteur sait fausse (art. 215), d’une peine de six mois à deux ans. Lorsque le motif est la race, l’origine ethnique, le sexe, l’orientation sexuelle, la croyance ou la conviction politique, les peines prévues pour l’injure et la diffamation sont plus lourdes.

Les infractions commises au moyen d’un système d’information sont passibles de peines augmentées de moitié (art. 216). L’accès illégitime à un système d’information est puni d’une peine pouvant aller jusqu’à deux ans, ou de deux à huit ans lorsque les règles de sécurité ont été enfreintes (art. 438). L’ingérence des autorités publiques dans la correspondance et les communications privées n’est permise que sur décision d’une autorité judiciaire compétente (loi 9/26, art. 5).

La loi 9/26 déclare inviolable le secret de la correspondance et des autres communications privées et n’autorise les autorités publiques à y porter atteinte que sur décision d’une autorité judiciaire compétente (art. 5). Les informations transmises aux équipes d’intervention sont confidentielles et ne peuvent pas être utilisées à d’autres fins que la prévention, l’intervention, la supervision ou une procédure légale (art. 47(3)), et la loi ne porte pas atteinte aux compétences des autorités judiciaires et chargées des enquêtes pénales (art. 49).

L’ordre des lignes correspond au score de sécurité, et l’emplacement d’un serveur n’est pas une recommandation.