VPNs com servidores na Indonésia

Os operadores têm de dar aos ministérios acesso aos seus sistemas e dados para efeitos de supervisão, e às autoridades de aplicação da lei para efeitos de aplicação da lei (art. 21), incluindo dados armazenados no estrangeiro sobre residentes ou entidades indonésias (art. 34). Mediante pedido formal, um operador fornece dados de tráfego e informações dos subscritores no prazo de cinco dias de calendário (arts. 36–37). O regulamento não indica qualquer período de retenção. Não está comprovado que um operador de VPN esteja abrangido pelo seu âmbito.

O acesso aos sistemas não registados é cortado (art. 7(2)). Os operadores têm de impedir que permaneçam nos seus sistemas conteúdos proibidos: conteúdos que violem a lei, perturbem a ordem pública ou expliquem como aceder a conteúdos proibidos (art. 9(4)). Têm de os remover no prazo de 24 horas após uma ordem, ou de quatro horas no caso de terrorismo, pornografia infantil ou conteúdos que perturbem a ordem pública; se não o fizerem, o ministro pode cortar o acesso a todo o sistema ou ordenar aos fornecedores de Internet que o façam (arts. 14–16).

A Lei sobre Informação e Transações Eletrónicas, alterada pela Lei n.º 1 de 2024, permite ao Governo cortar o acesso a conteúdos ilícitos ou ordenar aos operadores que o façam (art. 40(2b)).

O Código Penal (Lei n.º 1 de 2023, em vigor desde 2 de janeiro de 2026), tal como promulgado, pune a difamação por escrito ou através de imagens exibidas em público com uma pena máxima de um ano e seis meses ou uma multa máxima de 50 milhões de rupias, aumentada em um terço quando é utilizada tecnologia da informação, e apenas mediante queixa da vítima (arts. 433, 440, 441).

A expressão pública de hostilidade, ódio ou desprezo contra um grupo da população por motivos de raça, nacionalidade, etnia, cor, sexo ou deficiência é punida com uma pena máxima de três anos ou uma multa máxima de 200 milhões de rupias (art. 242). A divulgação dessas declarações através de tecnologia da informação, quando dela resulte violência, é punida com uma pena máxima de quatro anos (art. 243).

A Lei n.º 1 de 2024 determinou que os seus artigos sobre estas infrações só se aplicassem até à entrada em vigor do Código Penal (art. II), e o artigo 622 do Código revoga, entre outras disposições, os artigos 27(1), 27(3) e 28(2) da lei de 2008. As informações dos subscritores são divulgadas às autoridades de aplicação da lei ao abrigo do artigo 36 do regulamento de 2020.

Na decisão 20/PUU-XIV/2016, de 7 de setembro de 2016, o Tribunal Constitucional decidiu que a interceção só pode ser realizada ao abrigo de uma lei, que o seu procedimento deve constar de uma lei específica e que deve exigir autorização judicial, para que alguém a supervisione. Ao constatar a ausência dessa lei processual, decidiu que a prova eletrónica resultante de uma interceção só conta se tiver sido recolhida para efeitos de aplicação da lei a pedido da polícia, dos procuradores ou de outros órgãos designados por lei.

Ao abrigo do regulamento de 2020, o conteúdo das comunicações e determinados dados pessoais exigem uma ordem do juiz presidente de um tribunal distrital (art. 36(4)–(5)); o acesso aos dados está limitado a infrações puníveis com uma pena mínima de dois anos (art. 32), e o acesso ao sistema a infrações puníveis com cinco anos ou mais, ou com dois a cinco anos quando exista uma ordem de um tribunal distrital (art. 33). A ordem das linhas corresponde à pontuação de segurança, e a localização de um servidor não é uma recomendação.