VPN có máy chủ tại Zambia

Điều 40(1)(b) cũng yêu cầu nhà cung cấp lưu trữ thông tin liên quan đến cuộc gọi hoặc hồ sơ kết nối internet; Luật không quy định thời hạn mà giao cách thức thực hiện cho các quy định mà Tổng thống có thể ban hành. Chưa xác lập việc một nhà khai thác VPN có giấy phép theo Luật năm 2009 hay không và do đó có thuộc các nghĩa vụ này hay không.

Cyber Crimes Act, 2025 (Luật số 4) cho phép một sĩ quan yêu cầu lưu giữ dữ liệu trong tối đa bảy ngày (điều 30) và cho phép thẩm phán ra lệnh cho người kiểm soát dữ liệu lưu lượng thu thập dữ liệu đó (điều 32). Human Rights Watch đưa tin rằng vào tháng 7 năm 2025, Hiệp hội Luật Zambia đã đề nghị Tòa Thượng thẩm tuyên các điều khoản của Cyber Crimes Act là vi hiến.

Cả hai Luật đều không quy định việc chặn các trang web. Nội dung bị hạn chế bằng các tội hình sự: Cyber Crimes Act trừng phạt hành vi khiêu dâm trẻ em (điều 15) và việc sử dụng máy tính để kích động chia rẽ sắc tộc giữa người dân Zambia (điều 24(1)(b)); hành vi sau, cùng với các hành vi khác liên quan đến khủng bố trong khoản đó, bị phạt tù chung thân.

Điều 22 của Cyber Crimes Act quy định việc công bố dữ liệu không đứng đắn hoặc tục tĩu với ý định làm nhục hoặc quấy rối, cũng như việc phát tán thông tin hoặc hình ảnh mà người phát tán biết là sai sự thật khi việc đó gây tổn hại đến danh tiếng của một người hoặc khiến người đó phải chịu sự chế giễu, khinh miệt, thù ghét hoặc bẽ mặt trước công chúng, là hành vi phạm tội. Hình phạt là phạt tiền tối đa 200.000 đơn vị phạt, phạt tù tối đa hai năm, hoặc cả hai.

Người nhận được lệnh điều tra phạm tội nếu tiết lộ sự tồn tại của lệnh đó (điều 21). Một tài khoản được truy vết thông qua các nhà cung cấp: sĩ quan có lệnh khám xét có thể yêu cầu dữ liệu lưu lượng xác định một nhà cung cấp hoặc đường truyền của một cuộc liên lạc (điều 31), và thẩm phán có thể ra lệnh thu thập dữ liệu đó (điều 32).

Việc thu thập trái phép thông tin liên lạc cần có đơn ex parte gửi thẩm phán (điều 29 của Cyber Security Act), dù một sĩ quan có thể yêu cầu bằng lời một nhà cung cấp thực hiện việc này khi tính mạng, an toàn thân thể hoặc tài sản đang bị đe dọa (điều 30). Mọi hoạt động thu thập trái phép thông tin liên lạc đều đi qua Trung tâm, do bộ phận phụ trách thông tin liên lạc của Chính phủ điều hành (điều 21).

Thứ tự các hàng là điểm bảo mật, còn điểm thoát của máy chủ không phải là một khuyến nghị.