Le VPN con server in Indonesia

I gestori devono consentire ai ministeri l’accesso ai propri sistemi e dati per la supervisione, e alle autorità di contrasto l’accesso ai fini dell’applicazione della legge (art. 21), compresi i dati conservati all’estero relativi a residenti o enti indonesiani (art. 34). Su richiesta formale, un gestore fornisce i dati sul traffico e le informazioni sugli abbonati entro cinque giorni di calendario (artt. 36–37). Il regolamento non indica alcun periodo di conservazione. Non è accertato se un gestore VPN rientri nel suo ambito.

L’accesso ai sistemi non registrati viene bloccato (art. 7(2)). I gestori devono impedire la presenza sui propri sistemi di contenuti vietati: contenuti che violano una legge, turbano l’ordine pubblico o spiegano come raggiungere contenuti vietati (art. 9(4)). Devono rimuoverli entro 24 ore dall’ordine, oppure entro quattro ore nel caso di terrorismo, pornografia infantile o contenuti che turbano l’ordine pubblico; in caso contrario, il ministro può bloccare l’accesso all’intero sistema o ordinare ai fornitori di servizi internet di farlo (artt. 14–16).

La Legge sulle informazioni e sulle transazioni elettroniche, modificata dalla Legge n. 1 del 2024, consente al governo di bloccare l’accesso a contenuti illeciti o di ordinare ai gestori di farlo (art. 40(2b)).

Il Codice penale (Legge n. 1 del 2023, in vigore dal 2 gennaio 2026), nella sua versione promulgata, punisce la diffamazione mediante scritti o immagini mostrati in pubblico con una pena fino a un anno e sei mesi o con una multa fino a Rp50 milioni, aumentata di un terzo quando viene utilizzata la tecnologia dell’informazione, e solo a seguito della denuncia della vittima (artt. 433, 440, 441).

L’espressione pubblica di ostilità, odio o disprezzo nei confronti di un gruppo della popolazione per motivi di razza, nazionalità, etnia, colore, sesso o disabilità comporta una pena fino a tre anni o una multa fino a Rp200 milioni (art. 242). La diffusione di tali dichiarazioni mediante la tecnologia dell’informazione, quando ne deriva violenza, comporta una pena fino a quattro anni (art. 243).

La Legge n. 1 del 2024 ha stabilito che i suoi articoli relativi a tali reati si applichino solo fino all’entrata in vigore del Codice penale (art. II), e l’articolo 622 del Codice abroga, tra le altre disposizioni, gli articoli 27(1), 27(3) e 28(2) della legge del 2008. Le informazioni sugli abbonati vengono fornite alle autorità di contrasto ai sensi dell’articolo 36 del regolamento del 2020.

Nella decisione 20/PUU-XIV/2016 del 7 settembre 2016, la Corte costituzionale ha stabilito che l’intercettazione può essere effettuata solo in base a una legge, che la relativa procedura deve essere disciplinata da una legge specifica e che dovrebbe essere necessaria un’autorizzazione giudiziaria, affinché qualcuno la supervisioni. Rilevando l’assenza di tale disciplina procedurale, ha stabilito che le prove elettroniche derivanti da un’intercettazione sono utilizzabili solo se raccolte ai fini dell’applicazione della legge su richiesta della polizia, dei pubblici ministeri o di altri organi designati da una legge.

Ai sensi del regolamento del 2020, per accedere al contenuto delle comunicazioni e a specifici dati personali è necessaria un’ordinanza del presidente del tribunale distrettuale (art. 36(4)–(5)); l’accesso ai dati è limitato ai reati punibili con almeno due anni (art. 32), mentre l’accesso al sistema è limitato ai reati punibili con cinque anni o più, oppure con pene da due a cinque anni se è stata emessa un’ordinanza del tribunale distrettuale (art. 33). L’ordine delle righe corrisponde al punteggio di sicurezza, e la posizione di un server non costituisce una raccomandazione.