Le VPN con server nelle Filippine

Un fornitore è qualsiasi soggetto che consenta agli utenti di comunicare tramite un sistema informatico, oppure elabori o conservi dati per loro conto (s. 3(n)). Non è accertato se un gestore VPN rientri in questa definizione.

Il Republic Act 11930 (2022) impone agli intermediari internet di conservare i dati degli abbonati, di registrazione e sul traffico per sei mesi, prorogabili di sei mesi o fino alla conclusione di un procedimento, e i dati sui contenuti per un anno; i fornitori di servizi internet devono registrare ogni abbonato e l'indirizzo IP assegnato in un determinato momento (s. 9). Ai sensi del SIM Registration Act (Republic Act 11934, 2022), le imprese pubbliche di telecomunicazioni conservano i dati di registrazione per dieci anni dopo la disattivazione di un numero.

Il Republic Act 11930 impone agli intermediari internet e, separatamente, ai fornitori di servizi internet di bloccare, rimuovere o disabilitare l'accesso a materiale di abuso o sfruttamento sessuale di minori entro 24 ore dalla notifica di un'autorità competente, comprendente forze dell'ordine, pubblici ministeri, tribunali e autorità di regolamentazione (s. 9).

Ai sensi della sezione 15 del Republic Act 10175, le autorità che eseguono un mandato di perquisizione e sequestro emesso correttamente possono mettere in sicurezza i sistemi, copiare i dati e rimuoverli o disabilitarne l'accesso.

La diffamazione online è un reato informatico ai sensi della sezione 4(c)(4) del Republic Act 10175, punito con una pena di un grado superiore rispetto alla diffamazione prevista dall'articolo 355 del Revised Penal Code (s. 6). La Corte Suprema ha ritenuto valida la disposizione nei confronti dell'autore originale di una pubblicazione e nulla nei confronti di altri che si limitino a riceverla e a reagire.

La divulgazione delle informazioni sugli abbonati o dei dati sul traffico richiede un mandato giudiziario; l'ordine deve essere eseguito entro 72 ore e riferirsi a una denuncia valida (s. 14). I numeri di cellulare sono associati a un'identità registrata e possono essere divulgati sulla base di una citazione o di un'ordinanza giudiziaria (RA 11934, ss. 9, 10).

In Disini v. Secretary of Justice (G.R. No. 203335, 11 febbraio 2014), la Corte Suprema ha dichiarato nulla la sezione 12, relativa alla raccolta in tempo reale dei dati sul traffico per una «due cause», ritenendo il potere eccessivamente ampio e privo di limiti, e la sezione 19, che consentiva al Department of Justice di limitare o bloccare l'accesso. Ha confermato la sezione 14, poiché la divulgazione avviene a seguito di un intervento giudiziario, e la sezione 15.

L'Anti-Wiretapping Act (Republic Act 4200, 1965) punisce la registrazione segreta di una comunicazione privata senza l'autorizzazione di tutte le parti con una pena da sei mesi a sei anni; gli agenti di polizia possono agire solo sulla base di un ordine giudiziario scritto e per i reati elencati. L'ordine delle righe costituisce il punteggio di sicurezza e la exit location di un server non è una raccomandazione.