VPN có máy chủ tại El Salvador

Nghị định 552 (Diario Oficial 225, ngày 29 tháng 11 năm 2022) bổ sung vào Điều 32 nghĩa vụ lưu giữ sổ đăng ký người dùng, không có tài khoản ẩn danh hoặc tài khoản dùng tên giả. Điều 43 mới của nghị định này buộc các nhà khai thác nắm giữ dữ liệu định vị địa lý hoặc các bản ghi phải hợp tác với Tổng chưởng lý và cung cấp nền tảng để truy cập trực tiếp vào các cơ sở dữ liệu được yêu cầu.

Điều 47 của Nghị định 285 cũng buộc các nhà khai thác, theo lệnh có nêu lý do, phải cung cấp cho công tố viên dữ liệu đường dây, cuộc gọi, thư điện tử và các bản ghi viễn thông khác trong thời hạn quy định, đồng thời lưu giữ toàn bộ các bản ghi đó không dưới mười năm. Chưa xác lập việc một nhà khai thác VPN có thuộc nhóm nhà khai thác theo Điều 4(e) hay không.

Luật đặc biệt chống tội phạm máy tính và các hành vi phạm tội liên quan (Nghị định 260 năm 2016) trừng phạt hành vi tạo ra, phân phối hoặc lưu giữ thông qua công nghệ thông tin nội dung tình dục liên quan đến trẻ em, thanh thiếu niên hoặc người khuyết tật: Điều 28 (từ bốn đến tám năm), Điều 29 (từ tám đến mười hai năm đối với hành vi sản xuất hoặc phân phối), Điều 30 (từ hai đến năm năm đối với hành vi thu nhận hoặc sở hữu) và Điều 31 (từ tám đến mười hai năm đối với hành vi làm họ suy đồi).

Luật này cũng trừng phạt người dùng công nghệ thông tin để hành hạ, quấy rối, làm nhục, lăng mạ hoặc bôi nhọ trẻ em, thanh thiếu niên hoặc người khuyết tật, với mức phạt từ hai đến bốn năm (Điều 32). Việc mạo danh một người bị phạt từ ba đến năm năm, và mức phạt cao hơn nếu dữ liệu cá nhân bị lấy cắp (Điều 22); hành vi tình dục không mong muốn trên mạng bị phạt từ bốn đến sáu năm (Điều 27); còn việc chặn truyền tải mà không có lý do chính đáng bị phạt từ bảy đến mười năm (Điều 21).

Điều 24 của Hiến pháp chỉ cho phép chặn tạm thời và phải có phê chuẩn tư pháp bằng văn bản, nêu rõ lý do, như Nghị định 552 nhắc lại. Tình trạng ngoại lệ được ban bố ngày 27 tháng 3 năm 2022 đình chỉ các Điều 12(2), 13(2) và 24, và nghị định gia hạn ngày 31 tháng 7 năm 2025 tiếp tục duy trì cả ba điều này trong 30 ngày.

Điều 49 của Nghị định 285 quy định rằng, trong tình trạng ngoại lệ đình chỉ Điều 24, nghị định ban bố có thể mở rộng các tội danh được phép chặn, nhưng phê chuẩn tư pháp trước đó và thủ tục của luật vẫn tiếp tục được áp dụng.

Tháng 1 năm 2022, Citizen Lab xác nhận Pegasus đã lây nhiễm trên 37 thiết bị của 35 người, gồm nhà báo và nhân viên xã hội dân sự, trong khoảng thời gian từ tháng 7 năm 2020 đến tháng 11 năm 2021. Tổ chức này không quy kết một cách kết luận các vụ lây nhiễm cho một khách hàng chính phủ, nhưng nhận thấy mối liên hệ chặt chẽ với chính phủ El Salvador. Thứ tự của các hàng là điểm bảo mật, còn vị trí của máy chủ không phải là một khuyến nghị.