VPNs com servidores em Moçambique

Os fornecedores de serviços intermediários e digitais que armazenem dados de tráfego e de localização devem facultar às autoridades competentes o acesso a esses dados, mediante pedido (art. 39). A lei entrou em vigor 90 dias após a sua publicação, em 1 de julho de 2026 (art. 80), e o Conselho de Ministros deve regulamentá-la no prazo de 180 dias a contar da publicação (art. 79).

Nos termos da Lei relativa aos Crimes Cibernéticos (Lei n.º 14/2026), em vigor 90 dias após a publicação (art. 36), a autoridade judiciária pode ordenar a qualquer pessoa que controle dados informáticos, incluindo um fornecedor de serviços, que os preserve por um período máximo de três meses, renovável até um ano (art. 18), e que entregue dados especificados, incluindo dados de subscritores (art. 20). Não está comprovado que um operador de VPN seja um fornecedor de serviços intermediários ou digitais ao abrigo de qualquer uma das leis.

Nos termos da Lei relativa aos Crimes Cibernéticos, a apreensão de dados informáticos autorizada pela autoridade judiciária pode assumir a forma de eliminação dos dados ou de bloqueio do acesso aos mesmos, e uma apreensão efetuada pelo órgão de investigação criminal deve ser validada por uma autoridade judiciária no prazo de 72 horas (art. 22).

A publicação de conteúdo pode enquadrar-se no crime de ciberterrorismo e extremismo violento (art. 12, dois a oito anos de prisão), no crime de extorsão cibernética mediante ameaça de divulgação de informação comprometedora (art. 13, até dois anos, ou até três quando a vítima exerce funções públicas) e no crime de conteúdo sexual envolvendo crianças (art. 15, de seis meses a um ano e multa).

A interceção de comunicações é permitida em processos relativos aos crimes criados pela lei e aos previstos no artigo 222 do Código de Processo Penal, quando cometidos através de um sistema informático ou quando necessitem de prova eletrónica (art. 23). A ordem de entrega de dados prevista no artigo 20 abrange os dados de subscritores dos fornecedores, incluindo fornecedores estrangeiros ao abrigo de tratados, mas não pode ser utilizada contra suspeitos ou arguidos.

Em 29 de julho de 2026, o Conselho Constitucional, no Acórdão n.º 6/CC/2026, declarou inconstitucionais normas do Regulamento de Controlo do Tráfego de Telecomunicações aprovado pelo Decreto n.º 48/2025, publicado em 16 de dezembro de 2025, num processo instaurado pelo Provedor de Justiça. O regulamento tinha criado um regime de monitorização, recolha de dados, suspensão de serviços e intervenção nas redes.

O Conselho entendeu que estas medidas restringem substancialmente a liberdade de expressão e de informação, a vida privada e a inviolabilidade das comunicações, e que só uma lei da Assembleia da República pode limitar esses direitos. A ordem das linhas corresponde à pontuação de segurança, e a localização de um servidor não constitui uma recomendação.