Le VPN con server in Mozambico

I fornitori di servizi intermediari e digitali che conservano dati sul traffico e sulla posizione devono consentire alle autorità competenti di accedervi su richiesta (art. 39). La legge è entrata in vigore 90 giorni dopo la sua pubblicazione, il 1º luglio 2026 (art. 80), e il Consiglio dei ministri deve disciplinarla entro 180 giorni dalla pubblicazione (art. 79).

Ai sensi della legge sulla criminalità informatica (Lei n.º 14/2026), in vigore 90 giorni dopo la pubblicazione (art. 36), l’autorità giudiziaria può ordinare a chiunque controlli dati informatici, compreso un fornitore di servizi, di conservarli per un periodo massimo di tre mesi, rinnovabile fino a un anno (art. 18), e di produrre dati specifici, compresi i dati degli abbonati (art. 20). Non è accertato se un operatore VPN sia un fornitore di servizi intermediari o digitali ai sensi dell’una o dell’altra legge.

Ai sensi della legge sulla criminalità informatica, il sequestro di dati informatici autorizzato dall’autorità giudiziaria può consistere nella cancellazione dei dati o nel blocco dell’accesso agli stessi, mentre un sequestro effettuato dall’organo di indagine penale deve essere convalidato da un’autorità giudiziaria entro 72 ore (art. 22).

La pubblicazione può rientrare nel reato di ciberterrorismo ed estremismo violento (art. 12, reclusione da due a otto anni), nell’estorsione informatica mediante la minaccia di divulgare informazioni compromettenti (art. 13, fino a due anni, fino a tre se la vittima ricopre una carica pubblica) e nella diffusione di contenuti sessuali riguardanti minori (art. 15, da sei mesi a un anno e una multa).

L’intercettazione delle comunicazioni è consentita nei procedimenti relativi ai reati previsti dalla legge e a quelli elencati nell’articolo 222 del Codice di procedura penale, quando commessi mediante un sistema informatico o quando richiedono prove elettroniche (art. 23). L’ordine di produrre dati ai sensi dell’articolo 20 riguarda i dati degli abbonati dei fornitori, compresi i fornitori esteri ai sensi dei trattati, ma non può essere utilizzato nei confronti di sospettati o imputati.

Il 29 luglio 2026 il Consiglio costituzionale, con l’Acórdão n.º 6/CC/2026, ha dichiarato incostituzionali alcune norme del Regolamento sul controllo del traffico delle telecomunicazioni, approvato con il Decreto n.º 48/2025 e pubblicato il 16 dicembre 2025, in un procedimento promosso dal Difensore civico. Il regolamento aveva istituito un regime di monitoraggio, raccolta dei dati, sospensione dei servizi e intervento nelle reti.

Il Consiglio ha ritenuto che tali misure limitino sostanzialmente la libertà di espressione e di informazione, la vita privata e l’inviolabilità delle comunicazioni, e che solo una legge dell’Assemblea della Repubblica possa limitare tali diritti. L’ordine delle righe corrisponde al punteggio di sicurezza, mentre la posizione di un server non costituisce una raccomandazione.