VPN z serwerami w Sudanie

Ustawa o regulacji telekomunikacji i usług pocztowych z 2018 roku, podpisana 1 lutego 2018 roku, zobowiązuje każdego licencjobiorcę do zapewnienia narzędzi do audytowania danych generowanych przez ruch jego abonentów oraz do przekazywania tych danych regulatorowi, bez uszczerbku dla bezpieczeństwa narodowego (art. 25(1)(g)). Licencjobiorcy muszą również zezwalać regulatorowi na wchodzenie na ich teren i do ich sieci oraz na instalowanie urządzeń monitorujących (art. 25(1)(t)).

Ustawa nie określa okresu retencji; art. 7(2) zezwala regulatorowi na wykorzystywanie danych o ruchu zgodnie z przepisami wykonawczymi. Nie jest potwierdzone, czy którakolwiek z tych ustaw ma zastosowanie do operatora VPN.

Według ARTICLE 19 ustawa o cyberprzestępczości penalizuje podżeganie do nienawiści wobec sekt, grup i regionów (art. 14) oraz cudzoziemców (art. 15), rozpowszechnianie „nieprzyzwoitych” treści (art. 19), naruszanie przekonań religijnych (art. 22) i publikowanie „fałszywych wiadomości” (art. 24). Obejmuje również zniesławienie (art. 25), znieważenie i znęcanie się (art. 26) oraz przestępstwa terrorystyczne (art. 27–29). Art. 9 penalizuje utrudnianie, zakłócanie lub uniemożliwianie dostępu do usługi.

Według ARTICLE 19 art. 5(3) kryminalizuje zamiar uzyskania danych związanych z bezpieczeństwem narodowym, gospodarką narodową lub strukturą komunikacji. Art. 6 penalizuje funkcjonariuszy publicznych, którzy uzyskują dostęp do systemu informacyjnego swojej instytucji bez upoważnienia; maksymalny wymiar kary wynoszący pięć lat został podwyższony w nowelizacji z 2020 roku do ośmiu lat.

ARTICLE 19 stwierdza, że Ministerstwo Sprawiedliwości nigdy nie opublikowało ustawy z 2018 roku w dzienniku urzędowym, a jedyny znajdujący się w obiegu egzemplarz wyciekł. Kolejność wierszy odpowiada wynikowi bezpieczeństwa, a lokalizacja serwera nie jest rekomendacją.