VPN avec des serveurs en Zambie

L'article 40(1)(b) exige également qu'il conserve les informations liées aux appels ou les relevés de connexions internet ; la loi ne fixe aucune durée et renvoie les modalités à des règlements que le président peut prendre. Il n'est pas établi qu'un opérateur VPN détienne une licence en vertu de la loi de 2009 et soit ainsi soumis à ces obligations.

Le Cyber Crimes Act, 2025 (n° 4) permet à un agent d'exiger la conservation de données pendant sept jours au maximum (art. 30) et à un juge d'ordonner à la personne qui contrôle des données de trafic de les recueillir (art. 32). Human Rights Watch rapporte qu'en juillet 2025, la Law Association of Zambia a saisi la Haute Cour afin qu'elle déclare inconstitutionnelles certaines dispositions du Cyber Crimes Act.

Aucune des deux lois ne prévoit le blocage de sites. Le contenu est restreint par le droit pénal : le Cyber Crimes Act réprime la pornographie mettant en scène des enfants (art. 15) ainsi que l'utilisation d'un ordinateur pour inciter aux divisions ethniques parmi la population de Zambie (art. 24(1)(b)), cette dernière infraction, comme les autres actes liés au terrorisme visés par ce paragraphe, étant passible de la réclusion à perpétuité.

L'article 22 du Cyber Crimes Act érige en infraction le fait de publier des données indécentes ou obscènes dans l'intention d'humilier ou de harceler, ainsi que de diffuser une information ou une image en sachant qu'elle est fausse lorsqu'elle porte atteinte à la réputation d'une personne ou l'expose au ridicule, au mépris, à la haine ou à l'embarras publics. La peine est une amende pouvant atteindre 200 000 unités de pénalité, une peine d'emprisonnement pouvant atteindre deux ans, ou les deux.

La personne qui reçoit une ordonnance d'enquête commet une infraction si elle révèle son existence (art. 21). Un compte est retracé par l'intermédiaire des fournisseurs : un agent muni d'un mandat peut exiger les données de trafic identifiant un fournisseur ou le cheminement d'une communication (art. 31), et un juge peut ordonner leur collecte (art. 32).

Une interception nécessite une demande ex parte adressée à un juge (art. 29 du Cyber Security Act), mais un agent peut demander oralement à un fournisseur d'intercepter des communications lorsque la vie, l'intégrité physique ou les biens sont menacés (art. 30). Chaque interception passe par le Centre, qui est géré par la division responsable des communications du Gouvernement (art. 21).

L'ordre des lignes correspond au score de sécurité, et la localisation d'un serveur ne constitue pas une recommandation.