VPN avec des serveurs en Thaïlande

« Fournisseur de services » désigne toute personne qui fournit à d’autres un accès à Internet ou tout autre service permettant de communiquer au moyen d’un système informatique, ainsi que toute personne qui conserve des données informatiques pour d’autres personnes (art. 3). Il n’est pas établi qu’un opérateur de VPN relève de cette définition.

Un fournisseur qui participe à une infraction prévue par la loi, y consent ou y acquiesce, notamment à celle visée à l’article 14, encourt la même peine que l’auteur de l’infraction, mais est exonéré s’il prouve avoir suivi la procédure ministérielle de notification et de retrait des données (art. 15, modifié en 2017).

L’article 20, modifié en 2017 (publié dans la Gazette gouvernementale le 24 janvier 2017), crée un comité de filtrage des données informatiques composé de neuf membres, dont trois issus du secteur privé, nommés par le ministère chargé du numérique.

Les agents peuvent demander au tribunal d’ordonner le blocage ou le retrait de données informatiques contraires à l’ordre public ou aux bonnes mœurs, même lorsqu’elles ne constituent aucune infraction pénale. La modification a étendu ce pouvoir aux données qui constituent une infraction au regard du droit de la propriété intellectuelle ou d’autres lois, à la demande de l’agent chargé de l’application de ces lois.

L’article 14 de la loi, modifié en 2017, punit l’introduction dans un système informatique de données fausses susceptibles de nuire au public, de provoquer la panique ou de porter atteinte aux infrastructures publiques, à la sécurité nationale, publique ou économique, d’une peine pouvant aller jusqu’à cinq ans d’emprisonnement, d’une amende pouvant atteindre 100 000 THB, ou des deux. La transmission en connaissance de cause de telles données est passible de la même peine.

Dans le Code pénal, la diffamation (art. 326) est passible d’un an d’emprisonnement au maximum, d’une amende pouvant atteindre 20 000 THB, ou des deux, et la diffamation par publication (art. 328) de deux ans d’emprisonnement au maximum et d’une amende pouvant atteindre 200 000 THB. L’article 112 punit la diffamation, l’insulte ou l’expression de malveillance envers le roi, la reine, l’héritier présomptif ou le régent d’une peine de trois à quinze ans d’emprisonnement.

Les titulaires de comptes sont identifiés grâce aux données de trafic et aux données des clients conservées. Les données autres que le contenu peuvent être obtenues sur ordonnance ou demande d’un agent compétent ou chargé de l’enquête ; les données de contenu nécessitent généralement une ordonnance du tribunal (art. 18 et 19).

Les demandes des autorités étrangères concernant des données détenues par des fournisseurs thaïlandais passent par l’entraide judiciaire, le Bureau du procureur général faisant office d’autorité centrale, notamment en raison des limites fixées par la loi sur la protection des données personnelles B.E. 2562 (2019), selon le propre compte rendu de la Thaïlande auprès de l’Office des Nations unies contre la drogue et le crime. L’ordre des lignes correspond au score de sécurité, et l’emplacement d’un serveur n’est pas une recommandation.