VPN avec des serveurs en Tanzanie

Un avis public de la TCRA daté du 13 octobre 2023 a demandé à ceux pour qui un VPN est indispensable de le déclarer, avec son adresse IP, avant le 30 octobre 2023, et a indiqué que la TCRA prendrait des mesures réglementaires contre l'utilisation non autorisée de VPN, notamment en désactivant l'accès.

En vertu du Cybercrimes Act, 2015, un agent de police au niveau d'un poste peut ordonner à tout détenteur de données de les communiquer (art. 32(1)), ordonner que des données de trafic (art. 34) ou des données de contenu (art. 35) soient communiquées ou recueillies, et ordonner leur conservation pendant une période allant jusqu'à quatorze jours (art. 33) ; un tribunal peut contraindre un fournisseur de services à communiquer les informations relatives à un abonné (art. 32(3)). Il n'est pas établi qu'un opérateur de VPN soit un fournisseur de services au sens de la loi.

La règle 19(b) autorise la TCRA à ordonner le retrait de contenus interdits ou à en interdire l'accès, et la règle 15 impose aux hébergeurs de les retirer après notification. L'annexe (l'annexe III jusqu'à la modification du 28 janvier 2025, GN 57) énumère des catégories comprenant la sédition et la haine, le terrorisme, les jeux d'argent, les insultes envers la religion, les informations non approuvées sur les flambées épidémiques, ainsi que les contenus « faux, inexacts, trompeurs », sauf s'ils sont présentés comme une satire ou une fiction ; la modification a ajouté les contenus contraires à l'éthique, fabriqués et générés par intelligence artificielle.

L'accès à X aurait été bloqué à partir du 20 mai 2025 environ, et The Citizen a fait état d'une coupure nationale d'Internet à partir d'environ 11 heures le 29 octobre 2025, qui a duré sept jours.

L'article 16 du Cybercrimes Act sanctionne le fait de publier dans un système informatique des informations en sachant qu'elles sont fausses, trompeuses, mensongères ou inexactes, avec l'intention de diffamer, menacer, maltraiter, insulter ou induire le public en erreur : une amende d'au moins cinq millions de shillings, une peine d'emprisonnement d'au moins trois ans, ou les deux. L'article 23 (cyberharcèlement) prévoit le même minimum. La règle 14 rend chaque utilisateur responsable de ce qu'il publie.

En mars 2017, un tribunal composé de trois juges à Dar es Salaam a rejeté une contestation de l'article 32, estimant que les demandes de communication n'étaient pas arbitraires et que l'article était proportionné.

La Constitution protège la liberté de communiquer et la protection contre toute ingérence dans ses communications. En vertu du Cybercrimes Act, les fournisseurs ne doivent pas surveiller les données qu'ils transmettent ou stockent (art. 39(1)), un ordre concernant des données de contenu peut émaner d'un agent de police (art. 35), et les demandes relatives à un outil d'investigation numérique sont examinées en l'absence de la partie adverse et à huis clos (art. 38).

L'ordre des lignes est déterminé par le score de sécurité, et l'emplacement d'un serveur ne constitue pas une recommandation.