VPN avec des serveurs en Égypte

Un fournisseur de services est toute personne qui fournit des services de technologies de l'information et de la communication aux utilisateurs, notamment celles qui traitent ou stockent directement des informations ou pour le compte d'autrui. Sur demande, les fournisseurs doivent donner aux organismes de sécurité nationale les moyens techniques nécessaires à l'exercice de leurs fonctions conformément à la loi (art. 2, troisième alinéa) ; le défaut de le faire est passible d'une peine d'emprisonnement d'au moins trois mois et d'une amende de 200 000 à 1 million d'EGP (art. 33).

Le manquement à l'obligation de conservation est puni d'une amende de 5 à 10 millions d'EGP, doublée en cas de récidive, avec une éventuelle révocation de la licence (art. 33). Il n'est pas établi qu'un opérateur de VPN soit un fournisseur de services au sens de la loi.

L'article 7 permet à l'autorité chargée de l'enquête d'ordonner le blocage d'un site web, situé en Égypte ou à l'étranger, lorsqu'il existe des preuves qu'il publie un contenu constituant une infraction au sens de la loi et menaçant la sécurité nationale ou l'économie nationale, lorsque cela est techniquement possible. L'ordonnance est transmise au tribunal compétent siégeant en chambre du conseil dans un délai de 24 heures, et le tribunal doit statuer dans un délai de 72 heures.

Dans les cas urgents, l'autorité peut en informer l'autorité de régulation, qui ordonne au fournisseur de procéder immédiatement au blocage. Un rapport doit parvenir à l'autorité chargée de l'enquête dans un délai de 48 heures, faute de quoi le blocage est nul. Une ordonnance de blocage devient caduque en cas de classement de l'affaire ou d'acquittement définitif, et l'ordonnance ou son exécution peut faire l'objet d'un appel devant le tribunal pénal (art. 8).

La loi punit le fait de porter atteinte aux principes ou aux valeurs de la famille, ou à l'inviolabilité de la vie privée, ainsi que de publier, sans consentement, des informations, des nouvelles ou des images qui portent atteinte à la vie privée d'une personne, qu'elles soient vraies ou fausses, d'une peine d'emprisonnement d'au moins six mois et d'une amende de 50 000 à 100 000 EGP, ou de l'une de ces deux peines (art. 25). Le fait de relier les données personnelles d'autrui à un contenu contraire aux bonnes mœurs ou préjudiciable à sa réputation est puni d'une peine de deux à cinq ans d'emprisonnement (art. 26).

Créer, gérer ou utiliser un site web ou un compte privé pour commettre une infraction ou en faciliter la commission est puni d'une peine d'au moins deux ans d'emprisonnement (art. 27). Pour retracer un compte, l'autorité chargée de l'enquête peut ordonner à un fournisseur de remettre les données système, les données de l'utilisateur et les journaux de communication, pour une durée de 30 jours renouvelable une fois (art. 6) ; le refus est puni d'une peine d'au moins six mois d'emprisonnement ou d'une amende (art. 32). L'article 3 étend la loi à certains actes commis à l'étranger par des personnes qui ne sont pas égyptiennes.

À la lecture du texte de loi, les données stockées ne sont communiquées que sur ordonnance judiciaire motivée (art. 2), les ordres des enquêteurs pris en vertu de l'article 6 doivent être motivés et peuvent faire l'objet d'un appel devant le tribunal pénal siégeant en chambre du conseil, et les ordonnances de blocage sont transmises à un tribunal dans un délai de 24 heures.

En revanche, l'article 2 exige des fournisseurs qu'ils donnent aux organismes de sécurité nationale les moyens techniques nécessaires à l'exercice de leurs fonctions conformément aux prescriptions de la loi. L'ordre des lignes correspond au score de sécurité, et l'emplacement d'un serveur ne constitue pas une recommandation.