VPN con servidores en El Salvador

El Decreto 552 (Diario Oficial 225, 29 de noviembre de 2022) añadió al artículo 32 la obligación de conservar registros de los usuarios, sin cuentas anónimas ni cuentas con nombres falsos. Su nuevo artículo 43 obliga a los operadores que poseen datos de geolocalización o registros a cooperar con el Fiscal General y a proporcionar plataformas para el acceso directo a las bases de datos requeridas.

El artículo 47 del Decreto 285 también obliga a los operadores a entregar a los fiscales, mediante una orden motivada, registros de líneas, llamadas, correos electrónicos y otras telecomunicaciones dentro de los plazos establecidos, y a conservar todos esos registros durante al menos diez años. No está establecido si un operador de VPN es un operador comprendido en el artículo 4(e).

La Ley especial contra los delitos informáticos y delitos conexos (Decreto 260 de 2016) sanciona el contenido sexual que involucre a niños, adolescentes o personas con discapacidad, creado, distribuido o conservado mediante tecnologías de la información: el artículo 28 (de cuatro a ocho años), el artículo 29 (de ocho a doce años por producirlo o distribuirlo), el artículo 30 (de dos a cinco años por adquirirlo o poseerlo) y el artículo 31 (de ocho a doce años por corromperlos).

La misma ley sanciona con dos a cuatro años a quien atormente, acose, humille, insulte o denigre a un niño, adolescente o persona con discapacidad mediante tecnologías de la información (art. 32). Suplantar la identidad de una persona conlleva de tres a cinco años, y más cuando se toman datos personales (art. 22); la conducta sexual no deseada en línea conlleva de cuatro a seis años (art. 27); e interceptar transmisiones sin justificación conlleva de siete a diez años (art. 21).

El artículo 24 de la Constitución permite la interceptación únicamente de forma temporal y con una autorización judicial escrita y motivada, como recoge el Decreto 552. El estado de excepción declarado el 27 de marzo de 2022 suspende los artículos 12(2), 13(2) y 24, y el decreto de prórroga del 31 de julio de 2025 mantuvo los tres durante 30 días.

El artículo 49 del Decreto 285 establece que, durante un estado de excepción que suspenda el artículo 24, el decreto declaratorio puede ampliar los delitos sujetos a interceptación, pero siguen aplicándose la autorización judicial previa y el procedimiento previsto por la ley.

En enero de 2022, Citizen Lab confirmó infecciones de Pegasus en 37 dispositivos de 35 personas, periodistas y trabajadores de la sociedad civil, entre julio de 2020 y noviembre de 2021. No las atribuyó de forma concluyente a un cliente gubernamental, pero encontró un vínculo sólido con el Gobierno de El Salvador. El orden de las filas corresponde a la puntuación de seguridad, y la ubicación de un servidor no es una recomendación.