VPN'er med servere i El Salvador

Dekret 552 (Diario Oficial 225, 29. november 2022) tilføjede artikel 32 en pligt til at føre registre over brugere uden anonyme konti eller konti under falske navne. Den nye artikel 43 pålægger udbydere, der har geolokaliseringsdata eller oplysninger, at samarbejde med rigsadvokaten og stille platforme til rådighed for direkte adgang til de krævede databaser.

Artikel 47 i dekret 285 forpligter også udbydere til efter en begrundet ordre at udlevere linje-, opkalds-, e-mail- og andre telekommunikationsoplysninger til anklagere inden for fastsatte frister og til at opbevare alle disse oplysninger i mindst ti år. Det er ikke dokumenteret, om en VPN-udbyder er en udbyder som omhandlet i artikel 4(e).

Særloven mod computerkriminalitet og relaterede lovovertrædelser (dekret 260 fra 2016) straffer seksuelt indhold, der involverer børn, unge eller personer med handicap, og som er fremstillet, distribueret eller opbevaret ved hjælp af informationsteknologi: artikel 28 (fire til otte år), artikel 29 (otte til tolv år for at fremstille eller distribuere det), artikel 30 (to til fem år for at anskaffe eller besidde det) og artikel 31 (otte til tolv år for at fordærve dem).

Den samme lov straffer en person, der gennem informationsteknologi plager, chikanerer, ydmyger, fornærmer eller nedværdiger et barn, en ung eller en person med handicap, med to til fire år (artikel 32). At udgive sig for at være en anden person straffes med tre til fem år, og straffen er højere, hvis personoplysninger tages (artikel 22); uønsket seksuel adfærd online straffes med fire til seks år (artikel 27), og uberettiget aflytning af transmissioner med syv til ti år (artikel 21).

Forfatningens artikel 24 tillader kun aflytning midlertidigt og med en skriftlig, begrundet domstolstilladelse, sådan som dekret 552 gengiver det. Undtagelsestilstanden, der blev erklæret den 27. marts 2022, suspenderer artikel 12(2), 13(2) og 24, og forlængelsesdekretet af 31. juli 2025 opretholdt alle tre i 30 dage.

Artikel 49 i dekret 285 bestemmer, at det dekret, der erklærer en undtagelsestilstand, som suspenderer artikel 24, kan udvide de lovovertrædelser, der kan gøres til genstand for aflytning, men at forudgående domstolstilladelse og lovens procedure fortsat gælder.

I januar 2022 bekræftede Citizen Lab Pegasus-infektioner på 37 enheder tilhørende 35 personer, herunder journalister og ansatte i civilsamfundet, mellem juli 2020 og november 2021. Det kunne ikke endeligt henføre dem til en statslig kunde, men fandt en stærk forbindelse til El Salvadors regering. Rækkefølgen af rækkerne er sikkerhedsscoren, og en servers placering er ikke en anbefaling.