エルサルバドルにサーバーを持つVPN

政令第552号（官報第225号、2022年11月29日）は、第32条に、匿名アカウントや偽名によるアカウントを認めず、利用者のレジスターを保持する義務を加えた。同政令の新設第43条は、位置情報データまたは記録を保有する事業者に対し、司法長官に協力し、必要なデータベースへの直接アクセス用プラットフォームを提供する義務を課している。

政令第285号第47条も、事業者に対し、理由を付した命令に基づき、定められた期限内に回線、通話、電子メールその他の電気通信記録を検察官に提出し、それらすべての記録を10年以上保持することを義務付けている。VPN事業者が第4条(e)の事業者に該当するかは確認済みではない。

コンピューター犯罪および関連犯罪に関する特別法（2016年政令第260号）は、情報技術を通じて作成、配布、または保有された、児童、青少年または障害者が関わる性的コンテンツを処罰している。第28条は4年から8年、第29条はその制作または配布について8年から12年、第30条はその取得または所持について2年から5年、第31条は彼らを堕落させる行為について8年から12年の刑を定めている。

同法は、情報技術を通じて児童、青少年または障害者を苦しめ、嫌がらせをし、辱め、侮辱し、または中傷した者を2年から4年の刑に処している（第32条）。他人になりすます行為には3年から5年の刑が科され、個人データを取得した場合はさらに重くなる（第22条）。オンラインで望まれない性的行為を行った場合は4年から6年（第27条）、正当な理由なく通信を傍受した場合は7年から10年となる（第21条）。

憲法第24条は、政令第552号が述べるとおり、傍受を一時的なものに限り、理由を付した書面による司法の許可を必要としている。2022年3月27日に宣言された非常事態は第12条第2項、第13条第2項および第24条を停止し、2025年7月31日の延長政令は、これら3つすべてを30日間維持した。

政令第285号第49条は、第24条を停止する非常事態において、宣言政令によって傍受の対象となる犯罪を拡大できると定めている。ただし、事前の司法の許可と同法の手続きは引き続き適用される。

2022年1月、Citizen Labは、2020年7月から2021年11月までの間に、ジャーナリストと市民社会の職員35人が使用する37台の端末でPegasusへの感染を確認した。政府の顧客によるものだと結論づけるまでには至らなかったが、エルサルバドル政府との強い関連性を見いだした。行の順序はセキュリティスコアを示すものであり、サーバーの所在地は推薦を意味しない。