¿Son legales las VPN en España? La ley y los 13 episodios de bloqueo que llevaron a la gente a preguntárselo
La versión anterior de esta página empezaba con España como el segundo país más atacado del mundo, 45.000 ciberataques al día y un salto del 2.500% en las altas en VPN. Intenté encontrar la fuente de las tres cifras. Las dos primeras remiten a notas de prensa de empresas españolas de seguridad que no explican ningún método. La tercera es una mala lectura: la empresa a la que se atribuye, Proton, habló en su propia publicación de un aumento del 200%. Ninguna de ellas aparece en esta versión.
La pregunta con la que la gente llega a esta página es más sencilla. ¿Son legales las VPN en España y, a menudo, en Italia o en España? La respuesta corta es que sí. La respuesta larga importa porque España es el país donde los bloqueos dirigidos contra la piratería del fútbol han dejado fuera de línea a cientos de miles de sitios web sin relación alguna, y donde un juzgado ha ordenado ya a dos proveedores de VPN que se sumen. A continuación están las normas, con sus leyes, y todos los episodios de bloqueo que pude documentar desde 2017, cada uno con un veredicto sobre si una VPN lo habría sorteado.
¿Son legales las VPN en España?
Sí. En España es legal vender una VPN y es legal usarla, y ninguna ley española que yo haya podido encontrar menciona siquiera las VPN. Busqué en la LSSI, en la Ley General de Telecomunicaciones de 2022, en la ley de conservación de datos, en la Ley de Propiedad Intelectual, en la ley del juego y en el artículo 270 del Código Penal. No existe una frase oficial que diga «las VPN son legales», porque nadie ha necesitado escribirla. Lo más parecido viene del Instituto Nacional de Ciberseguridad, INCIBE, cuya primera recomendación para las wifis públicas es usar una.
| Pregunta | La norma en España | Ley o resolución | Fuente |
|---|---|---|---|
| ¿Es legal usar una VPN? | Sí. Ninguna ley lo restringe, ni a residentes ni a visitantes. | Ninguna. INCIBE recomienda las VPN a los ciudadanos. | INCIBE |
| ¿Necesitan los proveedores de VPN una licencia o un registro? | No existe ningún régimen específico para las VPN. | La Ley 11/2022, General de Telecomunicaciones, regula a los operadores de redes y no menciona los servicios VPN. | BOE |
| ¿Quién tiene que conservar datos, y durante cuánto tiempo? | Los operadores de servicios de comunicaciones electrónicas disponibles al público y de redes públicas de comunicaciones, durante 12 meses. La cesión exige autorización judicial. El contenido queda excluido. Los servicios VPN no se nombran. | Ley 25/2007, artículos 1, 2, 5 y 6. Sigue en vigor, con su última modificación en 2014, pese a una serie de sentencias del Tribunal de Justicia de la UE contra la conservación generalizada desde 2014. | BOE |
| ¿Quién puede bloquear un sitio en general? | La autoridad competente en materia de orden público, salud, menores o propiedad intelectual. Cuando la Constitución ampara la expresión, solo un juez. | Ley 34/2002, de servicios de la sociedad de la información (LSSI), artículos 8 y 11 | BOE |
| ¿Puede un juzgado civil ordenar a los operadores que bloqueen? | Sí, contra los intermediarios a cuyos servicios recurre un tercero para infringir, aunque el intermediario no sea responsable. Es la base de los casos del fútbol. | Ley de Propiedad Intelectual, artículos 138, 139.1.h y 141 | BOE |
| ¿Puede bloquearse un sitio por derechos de autor sin un juez? | Sí, en caso de infractores reincidentes, desde 2019. En el procedimiento ordinario un juzgado todavía tiene que autorizar el paso del bloqueo. La Sección Segunda de la Comisión de Propiedad Intelectual, del Ministerio de Cultura, bloqueó 110 webs en 2025. | Ley de Propiedad Intelectual, artículo 195, modificado por la Ley 2/2019 | BOE, Estrella Digital |
| ¿Pueden bloquearse los sitios de juego sin licencia? | Sí, por el regulador del juego, la DGOJ, mediante órdenes a los intermediarios. | Ley 13/2011, artículo 47 | BOE |
| ¿Qué sigue siendo delito con una VPN activada? | La infracción a escala comercial y las webs de enlaces: prisión de seis meses a cuatro años. Un juez penal puede ordenar el bloqueo cuando la conducta es reiterada. | Código Penal, artículo 270 | BOE |
| ¿Puede el Gobierno asumir el control de las redes? | De forma excepcional y transitoria, por motivos de seguridad pública y seguridad nacional, y nunca vulnerando derechos fundamentales. Las aplicaciones de mensajería por internet quedan excluidas. | Ley 11/2022, artículo 4.6, que absorbió un real decreto-ley de 2019 | BOE |
| ¿Puede un juzgado ordenar a un proveedor de VPN que bloquee? | Ha ocurrido una vez, como medida cautelar contra dos proveedores concretos, tratados como intermediarios conforme al Reglamento de Servicios Digitales de la UE. Todavía no se ha examinado en cuanto al fondo ni en apelación. | Juzgado de lo Mercantil n.º 1 de Córdoba, anunciado el 17 de febrero de 2026 | LaLiga, BleepingComputer |
| ¿Afectan a las VPN las normas sobre menores? | No en el proyecto. La ley orgánica en tramitación eleva de 14 a 16 años la edad de consentimiento para el tratamiento de datos y obliga a las plataformas a verificar la edad, y su texto no menciona las VPN. Una enmienda presentada, la número 89, obligaría a los proveedores de VPN y de DNS a bloquear en 30 minutos ante una orden judicial o administrativa. | Proyecto de Ley 121/000052, en el Congreso desde abril de 2025 | Congreso de los Diputados, proyecto de ley, enmiendas |
Dos apuntes sobre esas 11 filas. España tiene cinco vías distintas para llegar a un sitio web bloqueado, que son la LSSI, los juzgados civiles, la comisión del Ministerio de Cultura, el regulador del juego y los juzgados penales, y tres de las cinco pueden funcionar sin un juez: la vía general, que es la que usó la AEMPS, la agencia del medicamento, para bloquear Women on Web, la comisión de Cultura cuando un sitio ya es infractor reincidente, y el regulador del juego. Y en ninguna de las 11 la ley impone deber alguno a la persona que usa una VPN. Todas las obligaciones recaen sobre un operador, un intermediario o un infractor. El derecho español sobre las VPN es, por ahora, la ausencia de derecho sobre las VPN.
¿Qué órdenes de bloqueo llevaron a los españoles a preguntar por las VPN?
La tabla recoge 13 episodios entre 2017 y septiembre de 2026. La última columna responde a una pregunta técnica acotada: tal como se construyó el bloqueo, ¿lo habría sorteado una VPN? No es una afirmación sobre lo que era lícito ver.
| Fecha | Qué se bloqueó, y por orden de quién | Cómo se hizo | ¿Lo habría sorteado una VPN? | Fuente |
|---|---|---|---|---|
| Del 13 de septiembre al 1 de octubre de 2017 | Al menos 25 sitios web sobre el referéndum de independencia de Cataluña, por orden del Tribunal Superior de Justicia de Cataluña, ejecutada por la policía | Los dominios .cat se intervinieron en el propio registro. Los sitios espejo se bloquearon mediante manipulación de DNS en Orange y Euskaltel y mediante inspección de tráfico en Telefónica. | En parte. Sí para los espejos bloqueados dentro de las redes españolas. No para los dominios .cat intervenidos, que dejaron de existir para todo el mundo. | OONI |
| 12 de enero de 2018 | HDFull y Repelis, a demanda de seis estudios de cine. Juzgado de lo Mercantil n.º 6 de Barcelona | Cuatro operadores bloquean los dominios y cualquier otro dominio o dirección IP que dé acceso | Sí. Ver contenidos en streaming desde ellos seguía siendo una infracción. | TorrentFreak, Elzaburu |
| Octubre de 2019 | Las webs y la aplicación de la plataforma de protesta Tsunami Democràtic, por orden de un juez de la Audiencia Nacional. Después GitHub dejó el repositorio de la aplicación inaccesible en España a petición de la Guardia Civil. | Bloqueo de los dominios en los operadores españoles, y luego un bloqueo geográfico de GitHub basado en la ubicación del visitante | Sí. Ambos dependían de una conexión española. | Genbeta, Xataka |
| Desde principios de 2020 hasta hoy | Women on Web, un servicio sin ánimo de lucro de información sobre el aborto, por orden de la AEMPS, la agencia del medicamento, sin intervención de ningún juzgado | Siete operadores, con manipulación de DNS, equipos de inspección de tráfico, certificados falsificados y reinicios de conexión. El Tribunal Supremo ordenó un desbloqueo parcial en octubre de 2022. OONI seguía midiendo el bloqueo en varias redes en 2026. | Sí. La interferencia está dentro de las redes de acceso españolas. | informe de Magma, OONI, EFE |
| 11 de febrero de 2020 | 44 sitios pirata, a favor de la filial audiovisual de Telefónica. Un juzgado de lo mercantil de Madrid concede un bloqueo dinámico. | Seis operadores bloquean URL, dominios y direcciones IP. La lista se actualiza cada semana y las nuevas entradas se bloquean en un plazo de tres horas. | Sí. La infracción se mantiene. | TorrentFreak |
| 8 de abril de 2021 | Un protocolo permanente entre los titulares de derechos y operadores con el 98% del mercado, supervisado por el Ministerio de Cultura. Un comité técnico se reúne cada semana para añadir dominios espejo. A finales de 2024 había 1.194 dominios bloqueados. | Redirección web a una página de aviso oficial | Sí. La infracción se mantiene. | Ministerio de Cultura, Bandaancha |
| Del 22 al 25 de marzo de 2024 | Telegram, cuya suspensión ordenó un juez de la Audiencia Nacional en una causa por derechos de autor y que el mismo juez retiró tres días después por «excesiva y no proporcional» | Nunca se aplicó, hasta donde pude comprobar | Innecesario. El propio juez señaló que los usuarios podían recurrir a proxies y VPN. | Consejo General del Poder Judicial, elDiario.es |
| Desde febrero de 2025 | Direcciones IP utilizadas por emisiones pirata de fútbol, en virtud de la sentencia 310/2024 del Juzgado de lo Mercantil n.º 6 de Barcelona, de 18 de diciembre de 2024. Muchas de las direcciones son de Cloudflare y se comparten con miles de sitios lícitos. | Bloqueo puro de IP en el operador de acceso los días de partido. Telefónica descarta el tráfico en silencio, DIGI y Vodafone muestran un aviso, Orange y MásMóvil bloquean sin él. | Sí. Quien ya estaba conectado a una VPN nunca lo vio, y por eso usuarios legítimos recurrieron a las VPN. | TorrentFreak, TorrentFreak, Bandaancha |
| Comunicado el 15 de abril de 2025 | Dos direcciones IP de la empresa de alojamiento Vercel, bloqueadas por Movistar, Vodafone y Orange. Desbloqueadas para el 18 de abril. | Direcciones IP enteras, sin inspeccionar qué sitio se solicitaba | Sí. | Vercel |
| Del 18 al 20 de octubre de 2025 | Grandes rangos de direcciones de Cloudflare en Movistar, Orange y Vodafone. Resultan afectados servidores de juegos y servicios de streaming. Proton comunica un aumento del 200% en las altas gratuitas desde España el 19 de octubre. | Bloqueo de IP | Sí. | Proton |
| 17 de febrero de 2026 | LaLiga anuncia medidas cautelares del Juzgado de lo Mercantil n.º 1 de Córdoba contra NordVPN y Proton VPN, concedidas inaudita parte y sin posibilidad de recurso | Los dos proveedores deben hacer inaccesible desde España una lista cambiante de direcciones IP. A los operadores no se les pide que bloqueen las VPN. | En parte. Sobre el papel no, para los clientes de los dos proveedores señalados. LaLiga alegó que NordVPN no había aplicado la orden por completo. El 19 de mayo de 2026, según NordVPN, el juzgado rechazó la petición de multas de LaLiga, al no poder concluir que algún incumplimiento fuera deliberado. Los peritos de NordVPN sostuvieron que las direcciones de la lista quedan obsoletas en cuestión de horas. Ninguna de las partes ha publicado la resolución. | TorrentFreak, TorrentFreak, Xataka |
| 23 de marzo de 2026 | Una segunda sentencia de Barcelona extiende el bloqueo dinámico a todos los eventos deportivos en directo cuyos derechos tiene la filial audiovisual de Telefónica, incluidos la Champions League, el tenis y el golf | Direcciones IP, URL y dominios, en cuatro operadores | Sí. No se nombra a ningún proveedor de VPN ni de DNS. | Xataka |
| 15 de agosto de 2026 | La temporada de 2026 a 2027 arranca otra vez con bloqueos, con un máximo de unas 550 direcciones IP cerca de la medianoche. Es la última temporada que cubre la sentencia de diciembre de 2024. | Bloqueo de IP | Sí. | Xataka |
Los veredictos suman diez sí, dos en parte y un innecesario. La razón es estructural. Diez de los trece se construyeron dentro de la red del operador de acceso, y un túnel VPN atraviesa esa red sin que nadie lo abra. El bloqueo geográfico de GitHub en 2019 dependía de una dirección IP española, que una VPN también cambia. Dos episodios son distintos. En 2017 el Estado acudió al registro de dominios, y un dominio intervenido desaparece para el mundo entero. En 2026 los titulares de derechos acudieron a los propios proveedores de VPN. Esas son las dos direcciones que puede tomar el bloqueo cuando la red de acceso deja de bastar.
La escala de los bloqueos del fútbol es la parte que cuenta con mediciones reales. OONI identificó 7.441 direcciones IP bloqueadas en redes españolas entre el 1 de enero y el 1 de junio de 2026, y después cotejó con ellas 9,2 millones de dominios populares: 554.507 de ellos, el 5,8%, estuvieron en algún momento en una dirección bloqueada. Más de 501.000 de esos dominios estaban detrás de 2.218 direcciones de Cloudflare, y bloquear entre 4 y 20 direcciones en una sola hora bastó para afectar a más de 400.000 dominios. Entre los sitios afectados había páginas nacionales de UNICEF y de la agencia de la ONU para los refugiados, secciones de Amnistía y un registro de software. La postura de LaLiga es que los bloqueos redujeron la piratería entre un 40 y un 60% los fines de semana y sin impacto colateral. El juzgado de Barcelona desestimó en marzo de 2025 las peticiones de nulidad de Cloudflare y del congreso de seguridad RootedCON, al no considerar probado el daño a terceros. Las quejas por neutralidad de la red ante el ministerio pasaron de unas diez a unas 265 en 2025.
Por eso «son legales las VPN en España» se convirtió en una búsqueda habitual. La mayoría de quienes preguntaban no buscaban fútbol. Eran desarrolladores cuyos despliegues fallaban un sábado por la tarde, y compradores a quienes no les cargaba la página de pago.
¿Es legal una VPN en Italia o en España, y en qué se diferencian?
Usar una VPN es legal en los dos países. Se diferencian en hasta dónde se han trasladado los deberes de bloqueo a las empresas de VPN y de DNS, e Italia ha ido más lejos.
| España | Italia | |
|---|---|---|
| ¿Es legal usar una VPN? | Sí | Sí |
| ¿Quién ordena los bloqueos del deporte en directo? | Los juzgados de lo mercantil, con listas de direcciones que aportan los titulares de derechos | El regulador AGCOM, a través de la plataforma Piracy Shield creada por la Ley 93, de 14 de julio de 2023, con bloqueos exigibles en 30 minutos |
| ¿Están incluidos los proveedores de VPN? | Dos proveedores concretos, por un auto de medidas cautelares de febrero de 2026 | Todos, en principio. AGCOM incluye a los proveedores de VPN, a los proveedores de DNS públicos y a los motores de búsqueda entre los destinatarios de sus órdenes, y su última modificación, de 30 de julio de 2025, extendió el sistema del deporte a todo el contenido audiovisual en directo. |
| Servidores DNS públicos | No se encontró ninguna orden contra ningún servidor DNS | El Tribunal de Milán ordenó a Google el 11 de marzo de 2025 que bloqueara en su DNS público los dominios de una lista. AGCOM multó a Cloudflare con 14.247.698 €, sanción anunciada el 8 de enero de 2026, por no filtrar en su servidor DNS 1.1.1.1. Cloudflare recurrió el 8 de marzo de 2026, y el Tribunal Administrativo Regional del Lacio desestimó el recurso el 17 de julio de 2026. |
| Proveedores que se marcharon | No se encontró ninguno | El proveedor italiano AirVPN dejó de aceptar clientes en Italia a partir del 19 de febrero de 2024, por considerar las exigencias demasiado gravosas. |
El contraste es entre un regulador y una sala de vistas. Italia incorporó a los proveedores de VPN a un sistema administrativo permanente. España tiene un único auto de medidas cautelares que el propio juzgado que lo dictó se negó después a hacer cumplir con multas. Ninguno de los dos países ha tocado al usuario. Nuestras páginas sobre el uso de una VPN en España y en Italia cubren el lado cotidiano, y el registro de bloqueos de sitios web en Francia muestra el tercer modelo, en el que los tribunales de París han ordenado a cinco proveedores de VPN bloquear dominios de piratería deportiva desde mayo de 2025.
¿Y la privacidad, la conservación de datos y la ciberdelincuencia en España?
La página antigua se apoyaba en cifras alarmantes. Estas son las oficiales. El equipo de respuesta de INCIBE gestionó 122.223 incidentes de ciberseguridad en 2025, un 26% más en un año, de los cuales 45.445 fueron fraude online, incluido el phishing. La AEPD, la agencia de protección de datos, recibió 30.931 reclamaciones en 2025, un 64% más y la cifra más alta de su historia, e impuso multas por 48,1 millones de euros.
En materia de conservación, España mantiene la regla de los 12 meses que adoptó en 2007 para transponer una directiva de la UE que el Tribunal de Justicia de la UE anuló en 2014, en la primera de una serie de sentencias contra la conservación generalizada. La ley obliga a los operadores de telecomunicaciones, exige autorización judicial para el acceso, y no se ha reescrito. Tu operador de internet conserva por tanto un año de datos sobre cuándo y dónde te conectaste, aunque no sobre lo que leíste. Una VPN sustituye lo que ese operador puede anotar sobre tus destinos por una única entrada, el servidor VPN. Nuestra tabla de leyes de conservación en 16 jurisdicciones muestra cómo tratan otros países la misma cuestión. Le VPN tiene una ubicación de servidor en España entre más de 100, permite 10 conexiones simultáneas e incluye una garantía de devolución del dinero de 30 días.
¿Qué cambia a continuación?
- Tribunal Constitucional. RootedCON anunció su recurso de amparo contra los bloqueos del fútbol el 16 de mayo de 2025 y Cloudflare presentó el suyo antes de que acabara junio de 2025. A 18 de septiembre de 2026 el tribunal seguía sin decidir si admite el de RootedCON.
- Córdoba. Las medidas cautelares contra los dos proveedores de VPN siguen en vigor y el procedimiento principal está pendiente. No encontré ninguna información sobre si Proton ha aplicado la orden.
- La sentencia de Barcelona caduca con la temporada de 2026 a 2027, en torno al 20 de junio de 2027. El concurso de LaLiga por los derechos audiovisuales de 2027 a 2032 convierte la cooperación con los bloqueos, y el apoyo a las acciones legales contra las VPN y los servicios DNS, en una condición para los licitadores. Es probable una nueva demanda en 2027.
- Congreso de los Diputados. Una comisión aprobó una proposición no de ley el 29 de abril de 2026 que pide al Gobierno incorporar a la ley la «proporcionalidad tecnológica». Por sí sola no cambia nada, y no le ha seguido ningún proyecto de ley.
- La ley de menores. El Gobierno quiere aprobar la ley orgánica antes de que acabe 2026. La cláusula que conviene seguir es la enmienda 89, que incorporaría a los proveedores de VPN y de DNS a la LSSI como intermediarios con un deber de bloqueo en 30 minutos. No pude comprobar si la comisión la ha aceptado.
- Women on Web contra España se presentó ante el Tribunal Europeo de Derechos Humanos el 12 de junio de 2026.
- Italia. El Tribunal Administrativo Regional del Lacio confirmó la multa a Cloudflare el 17 de julio de 2026, en la sentencia 13201/2026. Cloudflare ha dicho que volverá a recurrir.
Sobre el autor
Editor del blog de Le VPN
Alan Summers lleva años escribiendo y editando el blog de Le VPN, cubriendo la privacidad en línea, la ciberseguridad y las mejores formas de aprovechar al máximo un VPN. Sigue de cerca las noticias que afectan a la libertad en internet y las convierte en consejos prácticos para los lectores de Le VPN.
Artículos de Alan Summers →
