¿Qué países obligan a las VPN a bloquear sitios web? Todas las órdenes y proyectos de ley, con fechas

En un intervalo de diez días de septiembre de 2026, el Congreso de Estados Unidos recibió dos proyectos de ley que ordenan a las empresas de internet bloquear sitios piratas y discrepan sobre exactamente un tipo de empresa. La American Copyright Protection Act, presentada el 14 de septiembre, designa a las redes privadas virtuales como agentes de bloqueo. La ley DEFEND IP, presentada el 24 de septiembre, las excluye con todas las letras. Decida lo que decida el Congreso, estará eligiendo entre dos modelos que ya existen: en Europa, tribunales y reguladores de exactamente tres países han incorporado a los proveedores de VPN a la cadena de bloqueo, y en el resto del mundo la obligación se detiene un escalón más abajo.

Esta página es el registro. Todos los instrumentos que hemos podido verificar que imponen, o impondrían, a un proveedor de VPN el deber de bloquear sitios web: país por país, con fechas, la base legal, quién fue nombrado y en qué punto está cada litigio. Se actualiza a medida que llegan nuevas órdenes.

Una definición antes de la tabla, porque la distinción sostiene todo el asunto: una orden de bloqueo de sitios contra una VPN manda a una empresa filtrar destinos; no crea una infracción para la persona que usa la VPN, y ninguna orden ni proyecto de ley de este registro sanciona el uso de VPN en sí.

¿Qué países han ordenado a proveedores de VPN bloquear sitios web?

Tres filas con un sí en toda la tabla, y hasta esas tres llegaron por caminos distintos: Francia mediante órdenes judiciales contradictorias repetidas, España mediante una medida cautelar concedida sin oír a los proveedores, Italia mediante regulación sin que conste aún en el registro público ninguna orden contra una VPN nombrada. El resto de esta página recorre las filas una a una.

¿Qué ordenaron los tribunales franceses a las VPN, y bajo qué ley?

Francia es el expediente más extenso, y el que seguimos desde la primera orden. El artículo L.333-10 del código del deporte permite a los titulares de derechos pedir al Tribunal Judicial de París que ordene “cualquier medida” contra “cualquier persona” en condiciones de contribuir a remediar la piratería del deporte en directo. En mayo de 2025, el tribunal tomó esa amplitud al pie de la letra y ordenó a cinco proveedores de VPN, NordVPN, CyberGhost, Surfshark, ExpressVPN y Proton VPN, bloquear 203 dominios para Canal+ y la LFP. En julio de 2025 dictó nuevas órdenes y se negó a remitir la cuestión al Tribunal de Justicia de la UE. Para marzo de 2026, el modelo se había ampliado más allá de los ISP y las VPN hasta los resolutores DNS y los servicios CDN en una sola tanda de órdenes para beIN.

Las órdenes de la temporada actual llegaron en dos oleadas de julio. El 8 y el 9 de julio de 2026, la LFP obtuvo sus sentencias para 2026/27, un lote que en conjunto alcanza a ISP, proveedores de VPN, resolutores DNS y buscadores, aunque la orden principal contra ISP (n.º 26/07709) solo nombra a nueve proveedores de acceso. El 17 de julio llegaron catorce resoluciones para Canal+: siete sobre la Champions League con 26 dominios y siete sobre la Premier League con 47, vigentes hasta finales de mayo y principios de junio de 2027, y esta vez con Proton VPN, CyberGhost y ExpressVPN entre los demandados. Días más tarde, el 21 de julio, el legislador aprobó una ley del deporte cuyo artículo 10 reescribe el L.333-10 en torno al bloqueo automatizado en tiempo real: nuevos dominios enviados a los intermediarios durante la propia retransmisión, con ARCOM verificando después en lugar de aprobar antes.

Francia mantiene además un segundo registro de bloqueos completamente aparte, para los sitios para adultos que omiten la verificación de edad, y la mecánica rima. Mantenemos un registro fechado dedicado al bloqueo de sitios web en Francia, así que este registro deja comprimidas las filas francesas.

¿Qué pasó en España con LaLiga, NordVPN y Proton VPN?

La entrada de España es un juzgado, un demandante y un detalle procesal que recibió más críticas que el propio bloqueo. En febrero de 2026, el Juzgado de lo Mercantil n.º 1 de Córdoba concedió a LaLiga y a la filial audiovisual de Telefónica medidas cautelares que ordenaban a NordVPN y Proton VPN bloquear 16 sitios, y lo hizo inaudita parte, sin oír antes a los proveedores. La orden se sumó al bloqueo de direcciones IP que LaLiga ya ejercía a través de los ISP españoles, la campaña que ha convertido los fines de semana de fútbol españoles en un caso de estudio sobre daños colaterales, que tratamos en nuestra referencia sobre España.

La continuación fue en sentido contrario. El 19 de mayo de 2026, el mismo juzgado rechazó la petición de LaLiga de multas coercitivas contra NordVPN, negándose a sancionar al proveedor mientras las medidas están impugnadas. La orden de bloqueo sigue en pie; el intento de encarecer el incumplimiento, no. Para dimensionar lo que la rodea: el estudio de medición de OONI sobre los cinco primeros meses de 2026 contó 554.507 dominios, el 5,8 por ciento de todo lo que analizó, atrapados por los bloqueos de IP de LaLiga, porque bloquear una dirección IP compartida tumba todos los sitios que hay detrás.

¿El Piracy Shield italiano se aplica a las VPN?

Sobre el papel, plenamente. Italia es el único país que impuso a los proveedores de VPN un deber regulatorio permanente en lugar de órdenes caso por caso: la plataforma Piracy Shield de AGCOM envía las denuncias de los titulares de derechos a los intermediarios registrados, que deben bloquear en 30 minutos, y una reforma de febrero de 2025 extendió el deber de registro a los proveedores de VPN y de DNS público. Una consecuencia llegó antes que cualquier medida contra una VPN nombrada: AirVPN dejó de aceptar residentes italianos, por considerar las obligaciones incompatibles con su servicio.

El caso de prueba de la ejecución es Cloudflare. AGCOM le impuso una multa de 14.247.698,56 euros, decidida el 29 de diciembre de 2025 y anunciada el 8 de enero de 2026, por no conectar su resolutor público 1.1.1.1 al Piracy Shield. Cloudflare recurrió ante el Tribunal Administrativo Regional del Lacio en marzo, y a fecha de esta actualización no se había publicado ninguna resolución. Cómo acabe ese recurso dirá a cada proveedor de VPN registrado en Italia cuánto valen realmente las normas.

Italia aporta además los mejores datos de error de este registro. Un equipo de la Universidad de Twente, en un estudio revisado por pares presentado en IEEE CNSM 2025, verificó a mano al menos 510 sitios web lícitos, ajenos al streaming, bloqueados por el Piracy Shield de un total de 7.114 dominios afectados, con bloqueos indebidos que duraron unos 320 días de media, y los autores califican esas cifras de límite inferior conservador.

¿Una ley estadounidense obligaría a las VPN a bloquear sitios? ACPA y DEFEND IP, comparadas

Aquí es donde los dos modelos se encuentran. Ambos proyectos están en las comisiones de Justicia de la Cámara y del Senado, ninguno tiene audiencia programada, y los escribieron personas que claramente leyeron las mismas noticias europeas y sacaron conclusiones opuestas. La comparación, a partir de los textos de los proyectos:

Dos detalles de la letra pequeña merecen más atención de la que han recibido. Primero, una corrección a algo muy repetido: la ACPA no contiene ninguna regla de “bloquear en 24 horas” para retransmisiones en directo. La cifra de 24 horas del texto forma parte de la definición de evento sensible al tiempo; lo que el proyecto concede en realidad es discrecionalidad judicial para comprimir plazos. Segundo, una desaparición de la que nadie parece haber informado: la predecesora de la ley DEFEND IP, la FADPA, prohibía cualquier orden que “impidiera a un usuario … usar una red privada virtual”. DEFEND IP suprime esa cláusula. Sigue definiendo el término, y luego no lo usa fuera de la exclusión. Los proveedores de VPN quedan fuera de su cadena de bloqueo; la protección expresa para los usuarios de VPN se fue con la reescritura.

¿Sigue siendo legal usar una VPN en estos países?

Sí, en todos los países de este registro. Merece la pena decirlo de forma mecánica: las órdenes francesas obligan a cinco empresas, la orden española obliga a dos, las normas italianas obligan a los intermediarios registrados, y los dos proyectos de ley estadounidenses definen deberes para proveedores de servicios por encima de un umbral de tamaño. La persona que se conecta a través de una VPN no aparece en ninguno de ellos como titular de una obligación.

El país que estuvo más cerca es Dinamarca, y el intento murió dos veces. Un borrador de diciembre de 2025 de su paquete antipiratería habría multado a los usuarios que accedieran a contenido bloqueado o restringido geográficamente a través de una VPN; a las dos semanas de abrirse la consulta, el ministro de cultura Jakob Engel-Schmidt anunció que la sección sobre VPN se retiraba, y el proyecto decayó por completo cuando Dinamarca convocó sus elecciones de marzo de 2026 antes de presentarse nada. Conviene recordar algo por si vuelve: la cláusula operativa del borrador estaba redactada de forma tecnológicamente neutra, en torno a cualquier “solución técnica” usada para obtener acceso no autorizado, así que un proyecto resucitado no necesitaría las letras VPN para cubrir una. Allí donde el uso de VPN en sí está restringido en el mundo actual, el instrumento es una ley de censura, no una de derechos de autor, y nuestra guía país por país sobre la legalidad de las VPN cartografía ese territorio aparte.

¿Una orden de bloqueo significa que una VPN tiene que registrar a sus usuarios?

No, y confundir las dos cosas no ayuda a nadie. Una orden de bloqueo es un deber de filtrado: impedir las conexiones a los destinos de esta lista. Una obligación de registro sería un deber de vigilancia: anotar lo que hicieron tus usuarios. Nada en las órdenes judiciales francesas, las medidas españolas, las normas italianas ni en ninguno de los dos proyectos de ley estadounidenses pide a un proveedor rastrear qué usuario intentó acceder a qué sitio, y la ACPA llega a prohibir a los tribunales prescribir cualquier medida técnica concreta, dejando el método en manos del proveedor. Las críticas honestas a las órdenes de bloqueo tratan del exceso de alcance y del error, los 510 sitios italianos lícitos y el medio millón de dominios españoles de arriba, no de una vigilancia secreta.

¿Qué conviene vigilar ahora?

Cuatro procedimientos redibujarán esta tabla. La resolución del TAR del Lacio sobre la multa de Cloudflare decide si el modelo regulatorio italiano sobrevive al contacto con un demandado con recursos. Las apelaciones francesas, incluida la de NordVPN contra la orden de la LFP de diciembre de 2025, ponen a prueba si “cualquier medida contra cualquier persona” tiene techo. Cualquier tramitación de la ACPA o de DEFEND IP mostrará qué modelo estadounidense tiene apoyo en comisión, y el tratamiento de la definición de VPN será la pista; con la Cámara de Representantes sin actividad hasta sus votaciones del 9 de noviembre, nada se mueve allí antes de mediados de noviembre. Y cada nueva temporada europea de fútbol trae ya, con fiabilidad, una tanda de órdenes más amplia que la anterior.

Mantendremos este registro actualizado a medida que llegue cada una de esas piezas. Para la cuestión más amplia de dónde son legales, reguladas o restringidas las propias VPN, empiece por la guía de legalidad; para saber qué hace que una VPN merezca ser defendida, nuestro repaso de la legalidad de las VPN y sus usos legítimos cubre el terreno.