ルワンダにサーバーを持つVPN

検察当局は、電子トラフィックデータを保有する者に対し、指定された期間、そのデータを開示または記録するよう命じることができ（第13条）、コンピューターを30日間保全するよう求めることもできる。この期間は1回延長できる（第12条）。いずれの法律も、一般的な保持期間を定めていない。VPN運営者が2013年法上の通信サービスプロバイダーに当たるかは確認されていない。

サイバー犯罪法第6条に基づき、治安機関またはサイバーセキュリティ機関から違法または有害な情報もしくは活動について通知を受けたサービスプロバイダーは、その情報を削除し、それに関するサービスを停止または終了し、捜査官に求められた情報を提供しなければならない。テロリスト集団（第41条）、人身取引（第42条）、または薬物取引（第43条）のためにサイトを開設、公開、または使用することは、別個の犯罪である。

第39条は、住民の間に恐怖、反乱、または暴力を引き起こす可能性があるうわさ、またはある人物の信用を失わせる可能性があるうわさを、コンピューターを通じて故意に公開する行為を、3年から5年の拘禁刑および1,000,000フランから3,000,000フランの罰金で処罰する。第38条は、コンピューターによってわいせつなメッセージを公開する行為を、6か月から2年の拘禁刑および1,000,000フランから2,000,000フランの罰金で処罰する。それが虚偽であるか、子どもに向けられたものである場合は、3年から5年となる。

特定のため、検察当局は保存されたデータの開示を命じることができ（第11条）、裁判所は協力しない保有者に対して開示を強制できる（第14条）。

法律第60/2013号では、傍受令状は裁判所ではなく、司法担当大臣が指定する国家検察官によって発行される。緊急の場合は口頭で発令し、24時間以内に書面化できる（第9条）。同法は、通信サービスプロバイダーを介さずに傍受する令状も定めている（第10条）。大統領命令により任命された検査官が、傍受を許可された者を監視する（第12条）。

2021年7月、Amnesty Internationalは、ルワンダ当局が2016年以降、活動家、ジャーナリスト、政治的反対者、外国の政治家および外交官をNSO GroupのPegasusスパイウェアの潜在的な標的とするため、3,500件を超える電話番号を選定していたと報告した。政府はその使用を否定している。行の順序はセキュリティスコアを示すものであり、サーバーの出口ロケーションは推奨を意味しない。