VPN avec des serveurs au Zimbabwe

Avant de conclure un contrat, un fournisseur doit relever le nom, les adresses et le numéro d'identité du client et conserver ces données (art. 10). Il doit conserver les informations relatives aux appels conformément à une directive de l'Autorité des postes et télécommunications ; la loi elle-même ne fixe aucune durée. La Loi sur la cybersécurité et la protection des données [chapitre 12:07] a transféré le centre de surveillance au Cabinet du Président. Il n'est pas établi qu'un opérateur VPN soit un fournisseur de services de télécommunications au sens de ces lois.

La Loi sur la cybersécurité et la protection des données érige en infraction le fait, au moyen d'un ordinateur ou d'un système d'information, de produire, d'offrir, de distribuer ou de transmettre des contenus racistes ou xénophobes, ou d'employer un langage qui porte atteinte à la réputation ou aux sentiments de personnes pour les motifs énumérés à l'article 56(3) de la Constitution (art. 164F, jusqu'à dix ans). Les contenus pédosexuels constituent une infraction distincte (art. 165A).

La même loi punit l'envoi d'un message de données dans l'intention d'inciter à la violence ou de causer des dommages aux biens (art. 164), ou de menacer de causer un préjudice (art. 164A), chacun de ces actes étant passible d'une peine pouvant aller jusqu'à cinq ans. Le cyberharcèlement, c'est-à-dire la publication ou l'envoi de contenus dans l'intention de contraindre, d'intimider, de harceler, de brutaliser ou d'humilier, est passible d'une peine pouvant aller jusqu'à dix ans (art. 164B). La diffusion en connaissance de cause de fausses données concernant une personne identifiable, dans l'intention de lui causer un préjudice psychologique ou économique, est passible d'une peine pouvant aller jusqu'à cinq ans (art. 164C).

L'identification passe par les fournisseurs : les numéros d'identité des clients sont relevés lors de la conclusion du contrat, et un warrant canary peut ordonner à un fournisseur de satisfaire aux exigences techniques fixées pour faciliter l'interception (Loi sur l'interception des communications, art. 7 et 10).

Un mandat est délivré par le ministre, sur demande des responsables du renseignement de défense, du service de sécurité nationale de la Présidence, de la Police ou de l'Autorité fiscale.

La demande est d'abord soumise à un comité qui conseille le ministre, et un mandat est valable pendant une période pouvant aller jusqu'à trois mois, renouvelable pour d'autres périodes de trois mois au maximum. Le deuxième renouvellement et les suivants peuvent relever de la Cour administrative, saisie ex parte (art. 5–7).

En janvier 2019, le juge Tagu de la Haute Cour a annulé des directives restreignant l'accès à Internet, prises en vertu de la loi par le ministre d'État chargé de la Sécurité nationale, parce que le Président n'avait pas délégué cette compétence. La cour ne s'est pas prononcée sur l'argument selon lequel les mandats d'interception ne devraient pas relever de la décision d'un ministre. L'ordre des lignes correspond au score de sécurité, et l'emplacement d'un serveur ne constitue pas une recommandation.