Le VPN con server in El Salvador

Il Decreto 552 (Diario Oficial 225, 29 novembre 2022) ha aggiunto all’articolo 32 l’obbligo di tenere registri degli utenti, senza account anonimi o account con nomi falsi. Il nuovo articolo 43 obbliga gli operatori che detengono dati di geolocalizzazione o documenti a cooperare con il procuratore generale e a predisporre piattaforme per l’accesso diretto alle banche dati richieste.

L’articolo 47 del Decreto 285 obbliga inoltre gli operatori a fornire ai procuratori, sulla base di un ordine motivato, i dati relativi a linee, chiamate, e-mail e altre telecomunicazioni entro termini stabiliti, nonché a conservare tutti questi documenti per almeno dieci anni. Non è accertato se un operatore VPN sia un operatore ai sensi dell’articolo 4(e).

La Legge speciale contro i crimini informatici e i reati connessi (Decreto 260 del 2016) punisce i contenuti sessuali che coinvolgono bambini, adolescenti o persone con disabilità, creati, distribuiti o detenuti tramite tecnologie dell’informazione: l’articolo 28 prevede da quattro a otto anni, l’articolo 29 da otto a dodici anni per la produzione o distribuzione, l’articolo 30 da due a cinque anni per l’acquisto o la detenzione e l’articolo 31 da otto a dodici anni per la corruzione delle persone coinvolte.

La stessa legge punisce chi tormenta, molesta, umilia, insulta o denigra un bambino, un adolescente o una persona con disabilità tramite tecnologie dell’informazione con una pena da due a quattro anni (art. 32). L’usurpazione dell’identità di una persona comporta da tre a cinque anni, con una pena maggiore quando vengono sottratti dati personali (art. 22); la condotta sessuale indesiderata online comporta da quattro a sei anni (art. 27); e l’intercettazione di trasmissioni senza giustificazione comporta da sette a dieci anni (art. 21).

L’articolo 24 della Costituzione consente l’intercettazione solo temporaneamente e con un’autorizzazione giudiziaria scritta e motivata, come ribadisce il Decreto 552. Lo stato di eccezione dichiarato il 27 marzo 2022 sospende gli articoli 12(2), 13(2) e 24, e il decreto di proroga del 31 luglio 2025 ha mantenuto tutti e tre per 30 giorni.

L’articolo 49 del Decreto 285 stabilisce che, in uno stato di eccezione che sospende l’articolo 24, il decreto che lo dichiara può ampliare i reati per i quali è consentita l’intercettazione, ma l’autorizzazione giudiziaria preventiva e la procedura prevista dalla legge continuano ad applicarsi.

Nel gennaio 2022 Citizen Lab ha confermato infezioni da Pegasus su 37 dispositivi appartenenti a 35 persone, tra giornalisti e operatori della società civile, tra luglio 2020 e novembre 2021. Non ha attribuito in modo conclusivo le infezioni a un cliente governativo, ma ha riscontrato un forte collegamento con il governo di El Salvador. L’ordine delle righe corrisponde al punteggio di sicurezza e la posizione di un server non costituisce una raccomandazione.