VPN dengan server di Kenya

Pada April 2026, Bloggers Association of Kenya, bersama Law Society of Kenya dan dua kelompok lainnya, mengajukan permohonan banding ke Mahkamah Agung terhadap putusan Pengadilan Banding.. Menurut asosiasi tersebut, permohonan itu meminta pengadilan membatalkan pasal 27, 28, 37, dan 48–53 dari Undang-undang 2018, yang mencakup kewenangan penyadapan dan produksi.

“Penyedia layanan” adalah entitas yang memberi pengguna sarana untuk berkomunikasi melalui sistem komputer, atau memproses atau menyimpan data untuk entitas tersebut atau penggunanya (s. 2). Kegagalan untuk mematuhi ketentuan ini dapat dikenai denda hingga lima juta shilling, hukuman penjara hingga tiga tahun, atau keduanya (s. 54(1)). Pasal 2, 50 hingga 52, dan 54 merupakan ketentuan sebagaimana disahkan pada 2018. Apakah ketentuan tersebut berlaku bagi operator VPN belum dipastikan.

Menurut laporan pers, paragraf (ja) pasal 6(1), yang ditambahkan pada 2025, memungkinkan National Computer and Cybercrimes Coordination Committee memerintahkan agar situs web, aplikasi, dan platform lain dibuat tidak dapat diakses apabila mempromosikan kegiatan melawan hukum, terorisme, ekstremisme agama, kultisme, atau konten seksual tidak senonoh yang melibatkan anak di bawah umur. Pada 2 Juli 2026, Pengadilan Tinggi menyatakan paragraf tersebut inkonstitusional.

Pelecehan siber (pasal 27) dapat dikenai denda hingga dua puluh juta shilling, hukuman penjara hingga sepuluh tahun, atau keduanya. Sebagaimana disahkan, ketentuan ini mencakup komunikasi yang dilakukan dengan sengaja kepada seseorang apabila komunikasi tersebut kemungkinan menimbulkan ketakutan akan kekerasan, merugikan orang tersebut, atau bersifat tidak senonoh atau sangat menghina dan berdampak pada orang tersebut. Pengadilan dapat memerintahkan penyedia layanan untuk memberikan informasi pelanggan yang mengidentifikasi orang yang diadukan (s. 27(7)).

Pada 6 Maret 2026, Pengadilan Banding membatalkan pasal 22 dan 23, yang mengkriminalisasi publikasi data palsu, menyesatkan, atau fiktif; menurut Committee to Protect Journalists, pengadilan menyatakan pasal 27 jelas dan membiarkannya tetap berlaku. Pada 2 Juli 2026, Pengadilan Tinggi, dalam putusannya atas Undang-undang yang telah diamendemen, menyatakan pasal 27(1) inkonstitusional; Kenyans.co.ke melaporkan bahwa pengadilan menilai ketentuan tersebut tidak jelas, terlalu luas, dan merupakan pembatasan yang tidak dapat dibenarkan terhadap kebebasan berekspresi berdasarkan Pasal 24.

Pada 19 April 2018, Pengadilan Tinggi menyatakan inkonstitusional rencana Communications Authority untuk memasang sistem yang memberinya akses ke data panggilan dan identitas perangkat pelanggan seluler, dengan menyatakan bahwa rencana tersebut melanggar hukum dan tidak proporsional berdasarkan hak atas privasi dalam Pasal 31, serta memerintahkan Authority untuk tidak melaksanakannya.

Menurut Committee to Protect Journalists, pada Maret 2026 Pengadilan Banding menolak argumen bahwa Undang-undang 2018 memberikan kewenangan pengawasan, penggeledahan, dan penyitaan yang tidak dibatasi kepada negara. Urutan baris tersebut adalah skor keamanan, dan lokasi server bukanlah rekomendasi.