VPN z serwerami w Salwadorze

Dekret 552 (Diario Oficial nr 225, 29 listopada 2022 r.) dodał do art. 32 obowiązek prowadzenia rejestrów użytkowników, bez kont anonimowych ani kont pod fałszywymi nazwiskami. Nowy art. 43 nakłada na operatorów przechowujących dane geolokalizacyjne lub rejestry obowiązek współpracy z Prokuratorem Generalnym i zapewnienia platform umożliwiających bezpośredni dostęp do wymaganych baz danych.

Art. 47 dekretu 285 zobowiązuje również operatorów do przekazywania prokuratorom, na podstawie uzasadnionego nakazu, danych dotyczących linii, połączeń, poczty elektronicznej i innych rejestrów telekomunikacyjnych w określonych terminach oraz do przechowywania wszystkich tych rejestrów przez co najmniej dziesięć lat. Nie potwierdzono, czy dostawca VPN jest operatorem w rozumieniu art. 4 lit. e.

Ustawa szczególna przeciwko przestępstwom komputerowym i powiązanym przestępstwom (dekret 260 z 2016 r.) penalizuje treści seksualne z udziałem dzieci, młodzieży lub osób z niepełnosprawnościami, tworzone, rozpowszechniane lub przechowywane za pośrednictwem technologii informacyjnych: art. 28 (od czterech do ośmiu lat), art. 29 (od ośmiu do dwunastu lat za ich wytwarzanie lub rozpowszechnianie), art. 30 (od dwóch do pięciu lat za ich nabywanie lub posiadanie) oraz art. 31 (od ośmiu do dwunastu lat za deprawowanie tych osób).

Ta sama ustawa przewiduje karę od dwóch do czterech lat dla osoby, która za pośrednictwem technologii informacyjnych dręczy, nęka, poniża, obraża lub zniesławia dziecko, młodzież lub osobę z niepełnosprawnością (art. 32). Podszywanie się pod inną osobę podlega karze od trzech do pięciu lat, a kara jest wyższa w przypadku przejęcia danych osobowych (art. 22); niechciane zachowania seksualne w internecie podlegają karze od czterech do sześciu lat (art. 27), a przechwytywanie transmisji bez uzasadnienia — karze od siedmiu do dziesięciu lat (art. 21).

Art. 24 Konstytucji zezwala na przechwytywanie wyłącznie tymczasowo i na podstawie pisemnego, uzasadnionego zezwolenia sądowego, jak stanowi dekret 552. Stan wyjątkowy ogłoszony 27 marca 2022 r. zawiesza art. 12 ust. 2, art. 13 ust. 2 i art. 24, a dekret przedłużający stan wyjątkowy z 31 lipca 2025 r. utrzymał zawieszenie wszystkich trzech przepisów przez 30 dni.

Art. 49 dekretu 285 stanowi, że w stanie wyjątkowym zawieszającym art. 24 dekret ogłaszający ten stan może rozszerzyć katalog przestępstw, w związku z którymi dopuszczalne jest przechwytywanie, jednak wcześniejsze zezwolenie sądowe i procedura określona w ustawie nadal mają zastosowanie.

W styczniu 2022 r. Citizen Lab potwierdziło infekcje oprogramowaniem Pegasus na 37 urządzeniach należących do 35 osób — dziennikarzy i pracowników społeczeństwa obywatelskiego — w okresie od lipca 2020 r. do listopada 2021 r. Nie przypisało ich jednoznacznie klientowi rządowemu, ale stwierdziło istnienie silnego związku z rządem Salwadoru. Kolejność wierszy odpowiada wynikowi bezpieczeństwa, a lokalizacja serwera nie jest rekomendacją.