VPNs com servidores em El Salvador

O Decreto 552 (Diário Oficial 225, de 29 de novembro de 2022) acrescentou ao artigo 32 o dever de manter registos dos utilizadores, sem contas anónimas ou contas com nomes falsos. O novo artigo 43 obriga os operadores que detenham dados de geolocalização ou registos a cooperar com o Procurador-Geral e a disponibilizar plataformas para o acesso direto às bases de dados necessárias.

O artigo 47 do Decreto 285 também obriga os operadores a fornecer aos procuradores, mediante ordem fundamentada, registos de linhas, chamadas, correio eletrónico e outras telecomunicações dentro dos prazos estabelecidos, e a conservar todos esses registos durante pelo menos dez anos. Não está comprovado que um operador de VPN seja um operador na aceção do artigo 4(e).

A Lei Especial contra os Crimes Informáticos e Infrações Conexas (Decreto 260 de 2016) pune a criação, distribuição ou posse, através de tecnologias da informação, de conteúdo sexual que envolva crianças, adolescentes ou pessoas com deficiência: o artigo 28 prevê quatro a oito anos, o artigo 29 prevê oito a doze anos para a sua produção ou distribuição, o artigo 30 prevê dois a cinco anos para a sua aquisição ou posse e o artigo 31 prevê oito a doze anos para a sua corrupção.

A mesma lei pune com dois a quatro anos a pessoa que, através de tecnologias da informação, atormente, assedie, humilhe, insulte ou denigra uma criança, um adolescente ou uma pessoa com deficiência (art. 32). Fazer-se passar por outra pessoa acarreta três a cinco anos, ou mais quando são obtidos dados pessoais (art. 22); uma conduta sexual indesejada em linha acarreta quatro a seis anos (art. 27); e a interceção injustificada de transmissões acarreta sete a dez anos (art. 21).

O artigo 24 da Constituição permite a interceção apenas temporariamente e mediante autorização judicial escrita e fundamentada, como estabelece o Decreto 552. O estado de exceção declarado em 27 de março de 2022 suspende os artigos 12(2), 13(2) e 24, e o decreto de prorrogação de 31 de julho de 2025 manteve os três durante 30 dias.

O artigo 49 do Decreto 285 estabelece que, num estado de exceção que suspenda o artigo 24, o decreto que o declara pode alargar os crimes sujeitos a interceção, mas a autorização judicial prévia e o procedimento previsto na lei continuam a aplicar-se.

Em janeiro de 2022, o Citizen Lab confirmou infeções por Pegasus em 37 dispositivos de 35 pessoas, entre jornalistas e membros da sociedade civil, ocorridas entre julho de 2020 e novembro de 2021. Não atribuiu conclusivamente as infeções a um cliente governamental, mas encontrou uma forte ligação ao Governo de El Salvador. A ordem das linhas corresponde à pontuação de segurança, e a localização de um servidor não é uma recomendação.