VPN avec des serveurs au Kenya

En avril 2026, la Bloggers Association of Kenya, avec la Law Society of Kenya et deux autres groupes, a déposé un recours devant la Cour suprême contre l’arrêt de la Cour d’appel. Selon l’association, elle demande au tribunal d’annuler les articles 27, 28, 37 et 48–53 de la loi de 2018, qui comprennent les pouvoirs d’interception et de production.

Un « fournisseur de services » est une entité qui donne aux utilisateurs les moyens de communiquer au moyen d’un système informatique, ou qui traite ou conserve des données pour elle-même ou pour ses utilisateurs (art. 2). Le non-respect de cette obligation est passible d’une amende maximale de cinq millions de shillings, d’une peine maximale de trois ans d’emprisonnement, ou des deux (art. 54(1)). Les articles 2, 50 à 52 et 54 sont ceux adoptés en 2018. Il n’est pas établi qu’ils s’appliquent à un opérateur de VPN.

Selon des articles de presse, l’alinéa (ja) de l’article 6(1), ajouté en 2025, autorisait le National Computer and Cybercrimes Coordination Committee à ordonner que des sites web, des applications et d’autres plateformes soient rendus inaccessibles lorsqu’ils faisaient la promotion d’activités illégales, du terrorisme, de l’extrémisme religieux, du cultisme ou de contenus sexuels indécents impliquant des mineurs. Le 2 juillet 2026, la Haute Cour a déclaré cet alinéa inconstitutionnel.

Le cyberharcèlement (article 27) est passible d’une amende maximale de vingt millions de shillings, d’une peine maximale de dix ans d’emprisonnement, ou des deux. Dans sa version adoptée, cet article vise le fait de communiquer délibérément avec une personne lorsque la communication est susceptible de provoquer une crainte de violence, lui porte préjudice, ou est indécente ou gravement offensante et l’atteint. Un tribunal peut ordonner à un fournisseur de services de communiquer les informations relatives à l’abonné permettant d’identifier la personne faisant l’objet de la plainte (art. 27(7)).

Le 6 mars 2026, la Cour d’appel a annulé les articles 22 et 23, qui érigeaient en infractions la publication de données fausses, trompeuses ou fictives ; selon le Committee to Protect Journalists, elle a jugé l’article 27 clair et l’a maintenu. Le 2 juillet 2026, la Haute Cour, statuant sur la loi modifiée, a déclaré le paragraphe 27(1) inconstitutionnel ; Kenyans.co.ke rapporte qu’elle a jugé cette disposition vague, excessivement large et constitutive d’une restriction injustifiée de la liberté d’expression garantie par l’article 24.

Le 19 avril 2018, la Haute Cour a jugé inconstitutionnel un projet de la Communications Authority visant à installer un système lui donnant accès aux données d’appel et aux identifiants des appareils des abonnés mobiles, l’estimant illégal et disproportionné au regard du droit au respect de la vie privée garanti par l’article 31, et a ordonné à l’Authority de ne pas le mettre en œuvre.

Selon le Committee to Protect Journalists, en mars 2026, la Cour d’appel a rejeté l’argument selon lequel la loi de 2018 confère à l’État des pouvoirs sans contrôle en matière de surveillance, de perquisition et de saisie. L’ordre des lignes correspond au score de sécurité, et l’emplacement d’un serveur ne constitue pas une recommandation.