VPNs mit Servern in El Salvador

Dekret 552 (Diario Oficial 225, 29. November 2022) ergänzte Artikel 32 um die Pflicht, Register der Nutzer zu führen; anonyme Konten oder Konten unter falschem Namen sind nicht zulässig. Der neue Artikel 43 verpflichtet Betreiber, die Geolokalisierungsdaten oder Datensätze besitzen, zur Zusammenarbeit mit dem Generalstaatsanwalt und dazu, Plattformen für den direkten Zugriff auf die erforderlichen Datenbanken bereitzustellen.

Artikel 47 des Dekrets 285 verpflichtet Betreiber außerdem, Staatsanwälten auf begründete Anordnung innerhalb festgelegter Fristen Leitungs-, Anruf-, E-Mail- und sonstige Telekommunikationsdatensätze zu übermitteln und all diese Datensätze mindestens zehn Jahre aufzubewahren. Ob ein VPN-Anbieter ein Betreiber im Sinne von Artikel 4(e) ist, ist nicht belegt.

Das Sondergesetz gegen Computerkriminalität und damit verbundene Straftaten (Dekret 260 von 2016) stellt sexuelle Inhalte unter Strafe, an denen Kinder, Jugendliche oder Menschen mit Behinderungen beteiligt sind und die mithilfe der Informationstechnologie hergestellt, verbreitet oder besessen werden: Artikel 28 (vier bis acht Jahre), Artikel 29 (acht bis zwölf Jahre für deren Herstellung oder Verbreitung), Artikel 30 (zwei bis fünf Jahre für deren Erwerb oder Besitz) und Artikel 31 (acht bis zwölf Jahre für deren Verderbnis).

Dasselbe Gesetz stellt es mit zwei bis vier Jahren unter Strafe, ein Kind, einen Jugendlichen oder einen Menschen mit Behinderungen mithilfe der Informationstechnologie zu quälen, zu belästigen, zu demütigen, zu beleidigen oder herabzuwürdigen (Art. 32). Die Identität einer Person vorzutäuschen wird mit drei bis fünf Jahren bestraft, bei der Aneignung personenbezogener Daten mit einer höheren Strafe (Art. 22); unerwünschtes sexuelles Verhalten im Internet wird mit vier bis sechs Jahren bestraft (Art. 27), und das ungerechtfertigte Abfangen von Übertragungen mit sieben bis zehn Jahren (Art. 21).

Artikel 24 der Verfassung erlaubt eine Überwachung nur vorübergehend und mit einer schriftlichen, begründeten richterlichen Genehmigung, wie es im Dekret 552 heißt. Der am 27. März 2022 ausgerufene Ausnahmezustand setzt Artikel 12(2), 13(2) und 24 außer Kraft; das Verlängerungsdekret vom 31. Juli 2025 hielt alle drei Bestimmungen für 30 Tage aufrecht.

Artikel 49 des Dekrets 285 sieht vor, dass das Dekret zur Ausrufung eines Ausnahmezustands, in dem Artikel 24 außer Kraft gesetzt wird, die Straftaten ausweiten darf, für die eine Überwachung zulässig ist; die vorherige richterliche Genehmigung und das Verfahren des Gesetzes gelten jedoch weiterhin.

Im Januar 2022 bestätigte Citizen Lab Pegasus-Infektionen auf 37 Geräten von 35 Personen, darunter Journalisten und Mitarbeiter der Zivilgesellschaft, zwischen Juli 2020 und November 2021. Die Infektionen konnten nicht abschließend einem Kunden einer Regierung zugerechnet werden, es wurde jedoch ein starker Bezug zur Regierung von El Salvador festgestellt. Die Reihenfolge der Zeilen entspricht dem Sicherheits-Score, und der Standort eines Servers ist keine Empfehlung.