在萨尔瓦多设有服务器的VPN

第 552 号法令（《官方公报》第 225 期，2022 年 11 月 29 日）在第 32 条中增加了保存用户登记信息的义务，并禁止匿名账户或使用假名的账户。新增的第 43 条规定，持有地理位置数据或记录的运营商必须与检察长合作，并为直接访问所需数据库提供平台。

第 285 号法令第 47 条还规定，运营商须根据附有理由的命令，在规定期限内向检察官提供线路、通话、电子邮件及其他电信记录，并将所有此类记录保存不少于十年。VPN 运营商是否属于第 4(e) 条所称的运营商，尚未确认。

《打击计算机犯罪及相关违法行为特别法》（2016 年第 260 号法令）规定，通过信息技术制作、传播或持有涉及儿童、青少年或残障人士的色情内容将受到处罚：第 28 条规定刑期为四至八年；第 29 条规定制作或传播此类内容的刑期为八至十二年；第 30 条规定获取或持有此类内容的刑期为二至五年；第 31 条规定使其堕落的刑期为八至十二年。

同一部法律规定，通过信息技术折磨、骚扰、羞辱、侮辱或贬损儿童、青少年或残障人士的人，将被处以二至四年刑罚（第 32 条）。冒用他人身份的刑期为三至五年；如进一步取得个人数据，刑期更高（第 22 条）；在线实施不受欢迎的性行为的刑期为四至六年（第 27 条）；无正当理由截取传输内容的刑期为七至十年（第 21 条）。

《宪法》第 24 条规定，只有在临时期限内并经书面且附有理由的司法授权，方可进行截取；第 552 号法令也重申了这一点。2022 年 3 月 27 日宣布的紧急状态暂停了第 12(2)、13(2) 和 24 条；2025 年 7 月 31 日的延长法令又将这三项暂停各延长了 30 天。

第 285 号法令第 49 条规定，在暂停第 24 条的紧急状态下，宣布紧急状态的法令可以扩大允许截取所针对的犯罪范围，但事先的司法授权和法律规定的程序仍继续适用。

2022 年 1 月，Citizen Lab 确认，2020 年 7 月至 2021 年 11 月期间，35 名记者和公民社会工作人员使用的 37 台设备感染了 Pegasus。该机构未能 conclusively 将感染归因于某个政府客户，但发现其与萨尔瓦多政府存在强关联。各条记录的顺序依据安全得分排列，服务器的位置不构成推荐。