Le VPN con server in Kenya

Ad aprile 2026 la Bloggers Association of Kenya, insieme alla Law Society of Kenya e ad altri due gruppi, ha depositato presso la Corte suprema un ricorso contro la sentenza della Corte d'appello.. Secondo l'associazione, chiede al tribunale di annullare le sezioni 27, 28, 37 e 48–53 della legge del 2018, che includono i poteri di intercettazione e produzione.

Un «fornitore di servizi» è un'entità che fornisce agli utenti i mezzi per comunicare tramite un sistema informatico, oppure tratta o conserva dati per il sistema o per i suoi utenti (s. 2). Il mancato rispetto comporta una multa fino a cinque milioni di scellini, fino a tre anni di reclusione, o entrambe le sanzioni (s. 54(1)). Le sezioni 2, da 50 a 52 e 54 sono quelle promulgate nel 2018. Non è accertato se si applichino a un gestore VPN.

Secondo quanto riportato dalla stampa, il paragrafo (ja) della sezione 6(1), aggiunto nel 2025, consentiva al National Computer and Cybercrimes Coordination Committee di ordinare che siti web, applicazioni e altre piattaforme fossero resi inaccessibili quando promuovevano attività illecite, terrorismo, estremismo religioso, cultismo o contenuti sessuali indecenti che coinvolgevano minori. Il 2 luglio 2026 l'Alta Corte ha dichiarato incostituzionale tale paragrafo.

La molestia informatica (sezione 27) comporta una multa fino a venti milioni di scellini, fino a dieci anni di reclusione, o entrambe le sanzioni. Nella formulazione promulgata, la disposizione riguarda le comunicazioni intenzionali con una persona quando è probabile che la comunicazione provochi il timore di violenza, arrechi pregiudizio a tale persona, oppure sia indecente o gravemente offensiva e la colpisca. Un tribunale può ordinare a un fornitore di servizi di fornire le informazioni sugli abbonati che identificano la persona oggetto della denuncia (s. 27(7)).

Il 6 marzo 2026 la Corte d'appello ha annullato le sezioni 22 e 23, che criminalizzavano la pubblicazione di dati falsi, fuorvianti o fittizi; secondo il Committee to Protect Journalists, ha ritenuto chiara la sezione 27 e l'ha lasciata in vigore. Il 2 luglio 2026 l'Alta Corte, pronunciandosi sulla legge modificata, ha dichiarato incostituzionale la sezione 27(1); Kenyans.co.ke riferisce che ha ritenuto la disposizione vaga, eccessivamente ampia e una limitazione ingiustificata della libertà di espressione ai sensi dell'articolo 24.

Il 19 aprile 2018 l'Alta Corte ha dichiarato incostituzionale un piano della Communications Authority per installare un sistema che le desse accesso ai dati delle chiamate e alle identità dei dispositivi degli abbonati mobili, ritenendolo illecito e sproporzionato rispetto al diritto alla privacy sancito dall'articolo 31, e ha ordinato all'Autorità di non attuarlo.

Secondo il Committee to Protect Journalists, nel marzo 2026 la Corte d'appello ha respinto l'argomentazione secondo cui la legge del 2018 conferirebbe allo Stato poteri incontrollati di sorveglianza, perquisizione e sequestro. L'ordine delle righe è il punteggio di sicurezza, e la posizione di un server non costituisce una raccomandazione.