VPN avec des serveurs au Mozambique

Les fournisseurs de services intermédiaires et numériques qui stockent des données de trafic et de localisation doivent en donner l'accès aux autorités compétentes sur demande (art. 39). La loi est entrée en vigueur 90 jours après sa publication, le 1er juillet 2026 (art. 80), et le Conseil des ministres doit la réglementer dans les 180 jours suivant sa publication (art. 79).

En vertu de la loi sur la cybercriminalité (Lei n.º 14/2026), en vigueur 90 jours après sa publication (art. 36), l'autorité judiciaire peut ordonner à toute personne qui contrôle des données informatiques, notamment à un fournisseur de services, de les conserver pendant une période maximale de trois mois, renouvelable jusqu'à un an (art. 18), et de produire des données déterminées, y compris des données d'abonné (art. 20). Il n'est pas établi qu'un opérateur de VPN soit un fournisseur de services intermédiaires ou numériques au titre de l'une ou l'autre loi.

En vertu de la loi sur la cybercriminalité, la saisie de données informatiques autorisée par l'autorité judiciaire peut prendre la forme d'une suppression des données ou d'un blocage de leur accès, et une saisie effectuée par l'organe chargé de l'enquête pénale doit être validée par une autorité judiciaire dans les 72 heures (art. 22).

La publication peut relever de l'infraction de cyberterrorisme et d'extrémisme violent (art. 12, deux à huit ans d'emprisonnement), de l'extorsion informatique par menace de divulgation d'informations compromettantes (art. 13, jusqu'à deux ans, et jusqu'à trois ans lorsque la victime exerce une fonction publique) et de la diffusion de contenus sexuels impliquant des enfants (art. 15, de six mois à un an et une amende).

L'interception des communications est autorisée dans les procédures relatives aux infractions créées par la loi, ainsi qu'à celles énumérées à l'article 222 du Code de procédure pénale lorsqu'elles sont commises au moyen d'un système informatique ou nécessitent des preuves électroniques (art. 23). L'ordre de produire des données prévu à l'article 20 vise les données d'abonné des fournisseurs, y compris celles de fournisseurs étrangers en vertu de traités, mais ne peut pas être utilisé contre des suspects ou des accusés.

Le 29 juillet 2026, le Conseil constitutionnel, dans l'Acórdão n.º 6/CC/2026, a déclaré inconstitutionnelles des normes du Règlement sur le contrôle du trafic des télécommunications, approuvé par le décret n.º 48/2025 et publié le 16 décembre 2025, dans une affaire introduite par le Médiateur. Le règlement avait instauré un régime de surveillance, de collecte de données, de suspension de services et d'intervention sur les réseaux.

Le Conseil a estimé que ces mesures restreignent substantiellement la liberté d'expression et d'information, la vie privée et l'inviolabilité des communications, et que seule une loi de l'Assemblée de la République peut limiter ces droits. L'ordre des lignes correspond au score de sécurité, et la localisation d'un serveur n'est pas une recommandation.