VPN avec des serveurs aux Philippines

Un fournisseur de services est toute entité qui permet aux utilisateurs de communiquer au moyen d’un système informatique, ou qui traite ou stocke des données pour leur compte (art. 3(n)). La question de savoir si un opérateur de VPN en est un n’est pas établie.

La Republic Act 11930 (2022) exige des intermédiaires d’Internet qu’ils conservent les données d’abonné, d’enregistrement et de trafic pendant six mois, cette durée pouvant être prolongée de six mois ou jusqu’à la fin d’une affaire, et les données de contenu pendant un an ; les fournisseurs d’accès à Internet doivent enregistrer chaque abonné ainsi que l’adresse IP attribuée à un moment donné (art. 9). En vertu du SIM Registration Act (Republic Act 11934, 2022), les entités publiques de télécommunications conservent les données d’enregistrement pendant dix ans après la désactivation d’un numéro.

La Republic Act 11930 exige des intermédiaires d’Internet, et séparément des fournisseurs d’accès à Internet, qu’ils bloquent, retirent ou suppriment les contenus d’abus ou d’exploitation sexuels d’enfants dans les 24 heures suivant une notification d’une autorité compétente, qui comprend notamment les services répressifs, les procureurs, les tribunaux et les autorités de régulation (art. 9).

En vertu de l’article 15 de la Republic Act 10175, les autorités exécutant un mandat de perquisition et de saisie dûment délivré peuvent sécuriser des systèmes, copier des données et les retirer ou en désactiver l’accès.

La diffamation en ligne est une cyberinfraction au titre de l’article 4(c)(4) de la Republic Act 10175 ; elle est punie d’un degré plus sévèrement que la diffamation prévue à l’article 355 du Revised Penal Code (art. 6). La Cour suprême a jugé la disposition valide à l’égard de l’auteur original d’une publication et nulle à l’égard des autres personnes qui se contentent de la recevoir et d’y réagir.

La divulgation d’informations sur les abonnés ou de données de trafic nécessite un mandat judiciaire ; l’ordonnance doit être exécutée dans les 72 heures et se rapporter à une plainte valide (art. 14). Les numéros de téléphone mobile sont liés à une identité enregistrée, communiquée sur citation à comparaître ou ordonnance judiciaire (RA 11934, art. 9, 10).

Dans Disini v. Secretary of Justice (G.R. No. 203335, 11 février 2014), la Cour suprême a déclaré nul l’article 12, qui autorisait la collecte en temps réel de données de trafic en cas de « motif valable », estimant ce pouvoir trop étendu et dépourvu de garde-fous, ainsi que l’article 19, qui permettait au Department of Justice de restreindre ou de bloquer l’accès. Elle a confirmé l’article 14, puisque la divulgation intervient après une intervention judiciaire, ainsi que l’article 15.

L’Anti-Wiretapping Act (Republic Act 4200, 1965) punit l’enregistrement secret d’une communication privée sans l’autorisation de toutes les parties d’une peine de six mois à six ans ; les agents chargés du maintien de l’ordre ne peuvent agir que sur le fondement d’une ordonnance judiciaire écrite et pour les infractions énumérées. L’ordre des lignes correspond au score de sécurité, et l’emplacement d’un serveur ne constitue pas une recommandation.