VPN z serwerami w Indonezji

Operatorzy muszą zapewnić ministerstwom dostęp do swoich systemów i danych na potrzeby nadzoru, a organom ścigania — na potrzeby egzekwowania prawa (art. 21), w tym do danych przechowywanych za granicą, dotyczących indonezyjskich rezydentów lub podmiotów (art. 34). Na podstawie formalnego wniosku operator przekazuje dane o ruchu i informacje o abonentach w ciągu pięciu dni kalendarzowych (art. 36–37). Rozporządzenie nie określa okresu retencji. Nie jest potwierdzone, czy operator VPN podlega jego zakresowi.

Niezarejestrowane systemy są odcinane od dostępu (art. 7 ust. 2). Operatorzy muszą usuwać ze swoich systemów zakazane treści: treści naruszające prawo, zakłócające porządek publiczny lub wyjaśniające, jak uzyskać dostęp do zakazanych treści (art. 9 ust. 4). Muszą je usunąć w ciągu 24 godzin od wydania nakazu, a w przypadku terroryzmu, pornografii dziecięcej lub treści zakłócających porządek publiczny — w ciągu czterech godzin; w przeciwnym razie minister może odciąć dostęp do całego systemu lub nakazać to dostawcom internetu (art. 14–16).

Ustawa o informacji elektronicznej i transakcjach, zmieniona ustawą nr 1 z 2024 r., zezwala rządowi na odcięcie dostępu do bezprawnych treści lub nakazanie tego operatorom (art. 40 ust. 2 lit. b).

Kodeks karny (ustawa nr 1 z 2023 r., obowiązująca od 2 stycznia 2026 r.) w uchwalonym brzmieniu przewiduje za zniesławienie dokonane za pomocą pisma lub obrazów pokazanych publicznie karę do roku i sześciu miesięcy pozbawienia wolności albo grzywnę do 50 mln Rp; kara wzrasta o jedną trzecią, gdy użyto technologii informacyjnej, a postępowanie wszczyna się wyłącznie na skargę pokrzywdzonego (art. 433, 440, 441).

Publiczne wyrażanie wrogości, nienawiści lub pogardy wobec grupy ludności ze względu na rasę, narodowość, pochodzenie etniczne, kolor skóry, płeć lub niepełnosprawność podlega karze do trzech lat pozbawienia wolności albo grzywnie do 200 mln Rp (art. 242). Rozpowszechnianie takich wypowiedzi za pośrednictwem technologii informacyjnej, jeżeli skutkuje przemocą, podlega karze do czterech lat pozbawienia wolności (art. 243).

Ustawa nr 1 z 2024 r. ograniczyła stosowanie jej artykułów dotyczących tych przestępstw do okresu poprzedzającego wejście w życie Kodeksu karnego (art. II), a art. 622 Kodeksu uchyla między innymi art. 27 ust. 1, art. 27 ust. 3 i art. 28 ust. 2 ustawy z 2008 r. Informacje o abonentach są udostępniane organom ścigania na podstawie art. 36 rozporządzenia z 2020 r.

W orzeczeniu 20/PUU-XIV/2016 z 7 września 2016 r. Trybunał Konstytucyjny uznał, że przechwytywanie może odbywać się wyłącznie na podstawie ustawy, że jego procedura powinna zostać uregulowana w odrębnej ustawie oraz że powinna wymagać zgody sądu, aby podlegało nadzorowi. Stwierdziwszy brak takiej regulacji proceduralnej, uznał, że dowody elektroniczne z przechwytywania mają znaczenie wyłącznie wtedy, gdy zostały zgromadzone na potrzeby egzekwowania prawa na wniosek policji, prokuratorów lub innych organów wskazanych w ustawie.

Na podstawie rozporządzenia z 2020 r. treść komunikacji i określone dane osobowe wymagają nakazu przewodniczącego sądu rejonowego (art. 36 ust. 4–5); dostęp do danych jest ograniczony do przestępstw zagrożonych karą co najmniej dwóch lat (art. 32), a dostęp do systemu — do przestępstw zagrożonych karą co najmniej pięciu lat albo od dwóch do pięciu lat, jeśli wydano nakaz sądu rejonowego (art. 33). Kolejność wierszy odpowiada wynikowi bezpieczeństwa, a lokalizacja serwera nie jest rekomendacją.