VPN avec des serveurs aux Seychelles

Un tribunal peut contraindre un fournisseur de services électroniques à communiquer des informations sur un abonné (art. 22) et, dans la limite de ses capacités techniques, à collecter des données de trafic en temps réel (art. 24). La loi définit ce fournisseur comme une entité permettant aux utilisateurs de communiquer au moyen d'un système informatique, ou traitant des données pour le compte d'une telle entité. Il n'est pas établi qu'elle s'applique à un opérateur de VPN.

En date du 24 novembre 2025, un projet de loi publié ce jour-là (Bill No. 22 of 2025) modifierait la loi, notamment en permettant à un tribunal d'ordonner à un fournisseur de services de collecter ou d'enregistrer des données de contenu en temps réel (nouvel art. 24A).

La loi autorise un tribunal, saisi par une autorité chargée d'une enquête, à ordonner que du matériel indécent mettant en scène un enfant ne soit plus conservé sur un système informatique ou mis à disposition par son intermédiaire, ou qu'il soit supprimé ou détruit (art. 25). Le matériel lui-même constitue une infraction au titre de l'article 17, qui couvre la publication, la production, la détention et l'accès à de la pornographie enfantine, punissables de cinq ans d'emprisonnement au maximum.

L'article 14 punit le fait d'utiliser un système informatique pour envoyer un message injurieux, obscène, indécent, menaçant, faux ou trompeur qui cause de l'ennui, des désagréments ou de la détresse, d'une peine pouvant aller jusqu'à cinq ans d'emprisonnement. L'article 16 vise les communications électroniques offensantes utilisées pour troubler la tranquillité ou la vie privée d'une personne, et l'article 18 le partage, sans consentement, d'une photographie ou d'un film sexuel privé ; chacun de ces faits est passible de la même peine maximale.

L'identification d'un compte passe par les ordonnances prévues aux articles 21, 22 et 24. Le fournisseur de services électroniques qui révèle l'existence d'une ordonnance, ou ce qui a été fait en vertu de celle-ci, commet une infraction (art. 19).

La loi répartit ses pouvoirs. La conservation et la communication de données de trafic sont ordonnées par l'autorité chargée de l'enquête elle-même (art. 20–21) ; les ordonnances de production, les mandats de perquisition et la collecte de données de trafic en temps réel nécessitent une demande auprès d'un tribunal (art. 22–24). L'interception de transmissions non publiques sans autorisation constitue une infraction passible d'une peine pouvant aller jusqu'à cinq ans (art. 6).

Le Data Protection Act 2023, dont l'application relève de la Commission de l'information, ne s'applique pas au traitement de données à caractère personnel par les autorités compétentes dans le cadre d'une enquête pénale, ni aux questions relatives à la sécurité nationale (art. 4). L'ordre des lignes correspond au score de sécurité, et l'emplacement d'un serveur ne constitue pas une recommandation.