VPN avec des serveurs au Salvador

Le décret 552 (Diario Oficial 225, 29 novembre 2022) a ajouté à l'article 32 l'obligation de tenir des registres des utilisateurs, sans comptes anonymes ni comptes sous de faux noms. Son nouvel article 43 oblige les opérateurs détenant des données de géolocalisation ou des enregistrements à coopérer avec le procureur général et à fournir des plateformes permettant l'accès direct aux bases de données requises.

L'article 47 du décret 285 oblige également les opérateurs à fournir aux procureurs, sur ordre motivé, les relevés de lignes, d'appels, de courriels et autres télécommunications dans les délais fixés, ainsi qu'à conserver tous ces enregistrements pendant au moins dix ans. Il n'est pas établi qu'un opérateur VPN soit un opérateur au sens de l'article 4(e).

La Loi spéciale contre les infractions informatiques et les infractions connexes (décret 260 de 2016) punit les contenus à caractère sexuel impliquant des enfants, des adolescents ou des personnes handicapées, produits, diffusés ou détenus au moyen des technologies de l'information : article 28 (quatre à huit ans), article 29 (huit à douze ans pour leur production ou leur diffusion), article 30 (deux à cinq ans pour leur acquisition ou leur possession) et article 31 (huit à douze ans pour leur corruption).

La même loi punit de deux à quatre ans toute personne qui tourmente, harcèle, humilie, insulte ou dénigre un enfant, un adolescent ou une personne handicapée au moyen des technologies de l'information (art. 32). L'usurpation de l'identité d'une personne est punie de trois à cinq ans, et davantage lorsque des données personnelles sont prises (art. 22) ; les comportements sexuels non désirés en ligne sont punis de quatre à six ans (art. 27) ; et l'interception de transmissions sans justification est punie de sept à dix ans (art. 21).

L'article 24 de la Constitution n'autorise l'interception que temporairement et sur autorisation judiciaire écrite et motivée, comme le rappelle le décret 552. L'état d'exception déclaré le 27 mars 2022 suspend les articles 12(2), 13(2) et 24, et le décret de prorogation du 31 juillet 2025 a maintenu la suspension des trois articles pendant 30 jours.

L'article 49 du décret 285 prévoit que, dans un état d'exception suspendant l'article 24, le décret déclaratif peut élargir les infractions susceptibles de faire l'objet d'une interception, mais l'autorisation judiciaire préalable et la procédure prévue par la loi continuent de s'appliquer.

En janvier 2022, Citizen Lab a confirmé des infections par Pegasus sur 37 appareils appartenant à 35 personnes, des journalistes et des membres de la société civile, entre juillet 2020 et novembre 2021. Le laboratoire n'a pas pu les attribuer de manière concluante à un client gouvernemental, mais a constaté un lien étroit avec le gouvernement du Salvador. L'ordre des lignes correspond au score de sécurité, et l'emplacement d'un serveur ne constitue pas une recommandation.