VPN avec des serveurs en Moldavie

Les fournisseurs doivent également conserver les données sur demande pendant 120 jours au maximum lorsqu'elles risquent d'être détruites, et fournir, sur demande légale, les données de l'utilisateur, notamment le mode de paiement et tout élément permettant de l'identifier. La loi 241/2007 (art. 20(3)), citée dans l'analyse d'impact du ministère du 29 novembre 2022, exige séparément des fournisseurs de réseaux et de services qu'ils conservent pendant un an les données d'identification et de trafic pour la téléphonie, et pendant six mois pour internet.

Cette analyse proposait de modifier la loi 20/2009 afin de permettre au ministère d'ordonner la conservation immédiate des données et de désigner les autorités pouvant ordonner un blocage. Il n'est pas établi qu'un opérateur VPN soit un fournisseur de services au sens de ces lois.

L'article 7(1)(e1) de la loi 20/2009 oblige les fournisseurs à couper, dans les conditions prévues par la loi, l'accès depuis leurs propres systèmes à toutes les adresses IP hébergeant des pages web qui contribuent à des infractions ou enfreignent la législation, ou qui donnent des instructions pour les commettre. La disposition ne précise pas quelle autorité peut l'ordonner et, comme le blocage se fait par adresse IP, des sites licites partageant une adresse peuvent être affectés.

Le Code pénal punit l'accès illégal à des informations informatisées (art. 259) d'une amende, d'un travail d'intérêt général ou d'une peine d'emprisonnement pouvant aller jusqu'à deux ans, et jusqu'à trois ans dans les formes aggravées, ainsi que l'interception illégale d'un transfert de données non public (art. 260¹) d'une amende ou d'une peine d'emprisonnement de deux à cinq ans. L'article 346 couvre l'incitation publique à la haine ou à la violence fondée sur des préjugés, notamment au moyen de systèmes d'information.

Pour remonter jusqu'à l'auteur, il faut passer par les obligations imposées aux fournisseurs ci-dessus : données concernant les utilisateurs, données de trafic conservées pendant 180 jours et communication des données d'identification sur demande. La surveillance des connexions de communications électroniques et l'interception nécessitent l'autorisation d'un juge d'instruction à la demande du procureur (loi sur les activités spéciales d'enquête, art. 18).

Dans Iordachi and Others v. Moldova (10 février 2009), la Cour européenne des droits de l'homme a conclu à l'unanimité que le droit moldave ne protégeait pas suffisamment contre les abus du pouvoir de l'État en matière d'interception des communications téléphoniques, en violation de l'article 8. Les requérants avaient obtenu des chiffres de la Cour suprême montrant que 99.24 pour cent des demandes d'interception avaient été autorisées en 2007.

La Moldavie a modifié sa législation en 2012 en réaction, en ajoutant une nouvelle loi sur les activités spéciales d'enquête ; une organisation moldave spécialisée dans les ressources juridiques a indiqué en février 2016 que le gouvernement n'avait présenté aucun plan d'action pour exécuter l'arrêt. L'ordre des lignes correspond au score de sécurité, et l'emplacement d'un serveur ne constitue pas une recommandation.