VPN dengan server di El Salvador

Dekret 552 (Diario Oficial 225, 29 November 2022) menambahkan kewajiban ke pasal 32 untuk menyimpan daftar pengguna, tanpa akun anonim atau akun dengan nama palsu. Pasal 43 yang baru mewajibkan operator yang menyimpan data geolokasi atau catatan untuk bekerja sama dengan Jaksa Agung dan menyediakan platform untuk akses langsung ke basis data yang diperlukan.

Pasal 47 Dekret 285 juga mewajibkan operator memberikan kepada jaksa, berdasarkan perintah yang beralasan, catatan saluran, panggilan, surel, dan telekomunikasi lainnya dalam tenggat yang ditetapkan, serta menyimpan semua catatan tersebut selama tidak kurang dari sepuluh tahun. Belum dipastikan apakah operator VPN merupakan operator sebagaimana dimaksud dalam pasal 4(e).

Undang-Undang Khusus tentang Kejahatan Komputer dan Pelanggaran Terkait (Dekret 260 tahun 2016) menghukum pembuatan, pendistribusian, atau penyimpanan melalui teknologi informasi atas konten seksual yang melibatkan anak-anak, remaja, atau penyandang disabilitas: pasal 28 (empat hingga delapan tahun), pasal 29 (delapan hingga dua belas tahun untuk membuat atau mendistribusikannya), pasal 30 (dua hingga lima tahun untuk memperoleh atau memilikinya), dan pasal 31 (delapan hingga dua belas tahun untuk merusak mereka).

Undang-undang yang sama menghukum orang yang menyiksa, melecehkan, mempermalukan, menghina, atau merendahkan anak, remaja, atau penyandang disabilitas melalui teknologi informasi dengan hukuman dua hingga empat tahun (pasal 32). Penyamaran identitas seseorang dikenai hukuman tiga hingga lima tahun, dan lebih berat jika data pribadi diambil (pasal 22); perilaku seksual yang tidak diinginkan secara daring dikenai hukuman empat hingga enam tahun (pasal 27); dan penyadapan transmisi tanpa pembenaran dikenai hukuman tujuh hingga sepuluh tahun (pasal 21).

Pasal 24 Konstitusi hanya mengizinkan penyadapan untuk sementara dan dengan otorisasi yudisial tertulis yang beralasan, sebagaimana dinyatakan dalam Dekret 552. Keadaan darurat yang ditetapkan pada 27 Maret 2022 menangguhkan Pasal 12(2), 13(2), dan 24, dan dekret perpanjangan tanggal 31 Juli 2025 mempertahankan ketiganya selama 30 hari.

Pasal 49 Dekret 285 menetapkan bahwa, dalam keadaan darurat yang menangguhkan Pasal 24, dekret yang menetapkannya dapat memperluas tindak pidana yang dapat menjadi dasar penyadapan, tetapi otorisasi yudisial sebelumnya dan prosedur dalam undang-undang tetap berlaku.

Pada Januari 2022, Citizen Lab mengonfirmasi infeksi Pegasus pada 37 perangkat milik 35 orang, yang terdiri atas jurnalis dan staf masyarakat sipil, antara Juli 2020 dan November 2021. Citizen Lab tidak secara konklusif mengaitkannya dengan pelanggan pemerintah, tetapi menemukan keterkaitan yang kuat dengan pemerintah El Salvador. Urutan baris ditentukan oleh skor keamanan, dan lokasi server bukanlah rekomendasi.