VPN ที่มีเซิร์ฟเวอร์ในเอลซัลวาดอร์

กฤษฎีกา 552 (Diario Oficial 225, 29 พฤศจิกายน 2022) เพิ่มหน้าที่ไว้ในมาตรา 32 ให้จัดทำทะเบียนผู้ใช้ โดยห้ามมีบัญชีแบบไม่เปิดเผยตัวตนหรือบัญชีที่ใช้ชื่อปลอม มาตรา 43 ฉบับใหม่กำหนดให้ผู้ประกอบการที่ครอบครองข้อมูลตำแหน่งทางภูมิศาสตร์หรือบันทึก ต้องให้ความร่วมมือกับสำนักงานอัยการสูงสุด และจัดเตรียมแพลตฟอร์มเพื่อให้เข้าถึงฐานข้อมูลที่จำเป็นได้โดยตรง

มาตรา 47 ของกฤษฎีกา 285 ยังบังคับให้ผู้ประกอบการส่งข้อมูลสายโทรศัพท์ ข้อมูลการโทร อีเมล และบันทึกการสื่อสารโทรคมนาคมอื่น ๆ ให้อัยการตามคำสั่งที่มีเหตุผลประกอบภายในกำหนดเวลา และเก็บบันทึกทั้งหมดนั้นไว้อย่างน้อยสิบปี ยังไม่มีการยืนยันว่าผู้ให้บริการ VPN เป็นผู้ประกอบการตามมาตรา 4(e) หรือไม่

กฎหมายพิเศษว่าด้วยการต่อต้านอาชญากรรมคอมพิวเตอร์และความผิดที่เกี่ยวข้อง (กฤษฎีกา 260 ปี 2016) ลงโทษเนื้อหาทางเพศที่เกี่ยวข้องกับเด็ก วัยรุ่น หรือบุคคลทุพพลภาพ ซึ่งจัดทำ เผยแพร่ หรือเก็บไว้ผ่านเทคโนโลยีสารสนเทศ ได้แก่ มาตรา 28 (จำคุกสี่ถึงแปดปี) มาตรา 29 (จำคุกแปดถึงสิบสองปีสำหรับการผลิตหรือเผยแพร่) มาตรา 30 (จำคุกสองถึงห้าปีสำหรับการได้มาหรือครอบครอง) และมาตรา 31 (จำคุกแปดถึงสิบสองปีสำหรับการทำให้บุคคลเหล่านั้นเสื่อมเสีย)

กฎหมายฉบับเดียวกันลงโทษบุคคลที่ทรมาน คุกคาม ทำให้อับอาย ดูหมิ่น หรือทำให้เด็ก วัยรุ่น หรือบุคคลทุพพลภาพเสื่อมเสียผ่านเทคโนโลยีสารสนเทศ โดยมีโทษจำคุกสองถึงสี่ปี (มาตรา 32) การแอบอ้างอัตลักษณ์ของบุคคลอื่นมีโทษจำคุกสามถึงห้าปี และมีโทษสูงขึ้นหากนำข้อมูลส่วนบุคคลไปใช้ (มาตรา 22) การกระทำทางเพศออนไลน์ที่ไม่พึงประสงค์มีโทษจำคุกสี่ถึงหกปี (มาตรา 27) และการดักรับการส่งข้อมูลโดยไม่มีเหตุผลอันชอบธรรมมีโทษจำคุกเจ็ดถึงสิบปี (มาตรา 21)

มาตรา 24 ของรัฐธรรมนูญอนุญาตให้ดักรับการสื่อสารได้เฉพาะชั่วคราวและต้องมีคำอนุญาตจากศาลเป็นลายลักษณ์อักษรพร้อมเหตุผลประกอบ ตามที่กฤษฎีกา 552 ระบุ ภาวะยกเว้นที่ประกาศเมื่อวันที่ 27 มีนาคม 2022 ระงับมาตรา 12(2), 13(2) และ 24 และกฤษฎีกาขยายเวลาลงวันที่ 31 กรกฎาคม 2025 ยังคงระงับทั้งสามมาตราเป็นเวลา 30 วัน

มาตรา 49 ของกฤษฎีกา 285 บัญญัติว่า ในภาวะยกเว้นที่ระงับมาตรา 24 กฤษฎีกาประกาศภาวะดังกล่าวอาจขยายประเภทความผิดที่สามารถดักรับการสื่อสารได้ แต่ยังคงต้องมีคำอนุญาตจากศาลล่วงหน้าและปฏิบัติตามขั้นตอนของกฎหมาย

ในเดือนมกราคม 2022 Citizen Lab ยืนยันการติดเชื้อ Pegasus ในอุปกรณ์ 37 เครื่องของบุคคล 35 คน ซึ่งเป็นนักข่าวและเจ้าหน้าที่ภาคประชาสังคม ระหว่างเดือนกรกฎาคม 2020 ถึงพฤศจิกายน 2021 การตรวจสอบดังกล่าวไม่สามารถระบุโดยสรุปได้ว่าการติดเชื้อมาจากลูกค้าของรัฐบาล แต่พบความเชื่อมโยงอย่างแน่นแฟ้นกับรัฐบาลเอลซัลวาดอร์ ลำดับของแถวข้อมูลคือคะแนนความปลอดภัย และตำแหน่งของเซิร์ฟเวอร์ไม่ใช่คำแนะนำ