VPN avec des serveurs en Ouganda

Un fournisseur de télécommunications doit obtenir le nom, les adresses et le numéro d'identité de chaque client avant de conclure le contrat, et conserver les informations correspondantes ainsi que toute modification (article 9). La loi ne fixe aucune durée de conservation pour ces données ni pour les données de trafic. Il n'est pas établi qu'un opérateur de VPN soit un fournisseur de services de télécommunications au sens de la loi.

Une personne autorisée peut signifier une notification écrite exigeant du détenteur d'une clé permettant d'accéder à des informations protégées et chiffrées qu'il la communique, pour des motifs de sécurité nationale, de menace pour la vie, de trafic de stupéfiants ou de traite des êtres humains, ou de bien-être économique de l'Ouganda ; le non-respect est passible d'une peine pouvant aller jusqu'à cinq ans (article 10).

En janvier 2026, la Uganda Communications Commission a ordonné aux opérateurs de suspendre l'accès public à Internet à partir de 18 heures le 13 janvier, en invoquant ses pouvoirs au titre de la Uganda Communications Act ; le rétablissement a été ordonné le 18 janvier 2026. Unwanted Witness rapporte que les principales plateformes de réseaux sociaux et de messagerie sont restées bloquées huit jours supplémentaires.

En vertu de la Computer Misuse Act (édition 2023), le harcèlement informatique est passible d'une amende pouvant atteindre 72 points monétaires, de trois ans d'emprisonnement au maximum, ou des deux (article 24), et le cyberharcèlement obsessionnel d'une amende pouvant atteindre 120 points monétaires, de cinq ans d'emprisonnement au maximum, ou des deux (article 25). Le 10 janvier 2023, la Cour constitutionnelle a annulé l'infraction de communication offensante, la jugeant vague et excessivement large.

Le 17 mars 2026, la Cour constitutionnelle a jugé que le Parlement avait adopté la Computer Misuse (Amendment) Act 2022 sans vérifier le quorum, de sorte que la loi était nulle. Elle a déclaré nulles les dispositions de la Computer Misuse Act contestées dans les requêtes, notamment celles relatives aux discours haineux, aux informations non sollicitées, aux informations malveillantes et à l'utilisation abusive des réseaux sociaux (articles 26 à 29), et en a interdit l'application par une injonction permanente.

Le même jugement a conclu que l'infraction de diffamation pénale prévue à l'article 162 de la Penal Code Act était incompatible avec la Charte africaine des droits de l'homme et des peuples. Un tribunal peut ordonner à un fournisseur de conserver des données, notamment des données de trafic et des informations sur les abonnés (article 8), ou de communiquer des informations sur les abonnés (article 10) ; un mandat de perquisition peut le contraindre, dans les limites de ses capacités techniques existantes, à enregistrer des données de trafic en temps réel (article 31).