Políticas de registro de las VPN y jurisdicciones de privacidad: la tabla de referencia de 2026

Casi todas las páginas de privacidad de las VPN dicen las mismas tres cosas: la empresa no conserva nada, reside en algún lugar con leyes favorables y un auditor estuvo de acuerdo en su día. Esas afirmaciones son baratas de hacer y, hasta que llega una orden judicial o un registro policial, imposibles de comprobar. Esta página es la referencia que yo quería y no encontraba: lo que dice realmente la ley en cada jurisdicción a septiembre de 2026, con la norma o la sentencia enlazada, y los diez casos mejor documentados en los que la policía puso a prueba la política de registro de una VPN, con lo que se llevaron.

La versión corta es incómoda para todo el sector, nosotros incluidos. El país que figura en la página "quiénes somos" resulta ser un mal predictor de lo que ocurre cuando llega la orden. Lo que lo decide es la presencia o ausencia de datos identificativos ese día.

¿Qué cubre realmente la política de registro de una VPN?

Dos cosas distintas reciben el nombre de "registros", y las páginas de privacidad las confunden a propósito. Los datos de actividad son lo que hiciste a través del túnel: los sitios, las consultas DNS, el tráfico. Los datos de conexión son la contabilidad alrededor del túnel: cuándo se conectó una cuenta, a qué servidor y cuántos datos se movieron. Un proveedor puede conservar lo segundo sin lo primero, y la mayoría de los servicios comerciales lo hace, porque de otro modo es difícil aplicar los límites de abuso de ancho de banda y de conexiones simultáneas.

La pregunta que hace un tribunal es más estrecha que cualquiera de las dos: ¿puede esta empresa, hoy, vincular una dirección IP vista a una hora determinada con un cliente de pago? Ese vínculo puede existir en un registro de conexión, en un sistema de cuentas, en los archivos de un procesador de pagos o en una herramienta de prevención del fraude. Rara vez vive en el lugar del que habla la página de privacidad.

La posición de Le VPN cabe en una frase: conservamos registros de conexión, no registros de actividad. El objetivo de este artículo es darte las herramientas para poner a prueba una frase así, la nuestra incluida.

¿Qué países obligan a los proveedores de VPN a conservar datos?

La tabla recopila la situación en materia de retención de las jurisdicciones donde están constituidas la mayoría de las VPN comerciales, más las cuatro que cambiaron el mercado legislando en su contra. "Alcanza a las VPN" significa que el deber de retención se aplica a un servicio VPN que opera desde ese país, no solo a los operadores de telecomunicaciones con licencia. Las fuentes son la ley, la sentencia o la declaración del propio gobierno allí donde existe.

Recorre la tercera columna y el patrón salta a la vista. De 16 jurisdicciones, cinco tienen en vigor un deber de retención bajo el que podría caer una VPN que opere allí. India redactó su norma nombrando a los servicios VPN. Rusia, Francia, el Reino Unido y Australia redactaron las suyas para operadores, proveedores de alojamiento u "operadores de telecomunicaciones", definiciones lo bastante amplias como para alcanzar a una VPN y, hasta ahora, rara vez puestas a prueba contra una. En todos los demás no hay deber alguno. Los países favoritos como "refugio de privacidad" y los supuestamente hostiles Países Bajos o Rumanía están en la misma fila: ninguna ley de retención.

¿Sigue importando la lista de los Cinco Ojos?

Menos de lo que sugiere el marketing. Los Cinco Ojos (Estados Unidos, Reino Unido, Canadá, Australia, Nueva Zelanda) son un acuerdo de intercambio de inteligencia de señales que data del acuerdo UKUSA de 1946. Las extensiones de los Nueve y los Catorce Ojos proceden de documentos de la era Snowden que describen el grupo "SIGINT Seniors Europe", que añade Dinamarca, Francia, los Países Bajos y Noruega, y después Bélgica, Alemania, Italia, España y Suecia. La entrada de Wikipedia sobre los Cinco Ojos sigue la pista de los documentos primarios.

Lo que regulan estos acuerdos es cómo las agencias de inteligencia comparten lo que ya han interceptado. Lo que no regulan es si un juez de Ciudad de Panamá o de Road Town puede ordenar a una empresa que entregue sus archivos, que es una cuestión de procedimiento penal nacional y de tratados de asistencia legal mutua. Panamá tiene un MLAT con Estados Unidos desde 1995; las Islas Vírgenes Británicas responden a las solicitudes a través del Reino Unido. La segunda tabla de abajo muestra el resultado práctico: los dos casos limpios estadounidenses vinieron de un país de los Cinco Ojos, y los dos proveedores que entregaron datos identificativos en 2017 y 2021 tenían su sede en Hong Kong y Suiza.

Una definición que conviene guardar: la jurisdicción de una VPN es el país cuyos tribunales pueden obligar a la empresa que gestiona el servicio, que no siempre es el país donde están los servidores, y rara vez es el país cuya bandera aparece en la página de precios.

¿Qué leyes de retención cambian en 2026?

Hay tres expedientes abiertos a la vez, y los tres pasarían a los proveedores de VPN de la columna "sin deber" a la columna "deber" si se aprueban tal como están redactados.

La Unión Europea va por su quinto intento. La Directiva de retención de datos de 2006 fue anulada en Digital Rights Ireland (8 de abril de 2014); las copias nacionales cayeron en Tele2 y Watson (21 de diciembre de 2016), La Quadrature du Net (6 de octubre de 2020) y SpaceNet (20 de septiembre de 2022). El Tribunal se ablandó en La Quadrature du Net II (30 de abril de 2024), al aceptar la retención general de direcciones IP vinculadas a la identidad civil para la delincuencia ordinaria. La estrategia ProtectEU de la Comisión de abril de 2025 prometió una nueva iniciativa, en mayo de 2025 se abrió una evaluación de impacto, un documento de la presidencia del Consejo del 27 de noviembre de 2025 recogió que la mayoría de los Estados miembros quería un mínimo de retención de un año que la ley nacional pudiera superar, y en su reunión informal de Dublín del 17 de julio de 2026 los ministros de Justicia respaldaron el principio. El texto legislativo seguía sin publicarse cuando este artículo salió a la luz. La propia página de retención de datos de la Comisión es donde aparecerá primero.

Alemania intenta adelantarse a Bruselas. El Ministerio de Justicia publicó un borrador el 22 de diciembre de 2025, el gabinete lo adoptó el 22 de abril de 2026, el Bundesrat adoptó sus enmiendas el 12 de junio y el Bundestag celebró la primera lectura el 24 de junio de 2026 antes de remitirlo a comisión. El deber es estrecho sobre el papel (dirección IP más número de puerto, 3 meses, proveedores de acceso a internet) y la asociación del sector eco ya ha dicho que espera el mismo destino que los dos intentos anteriores. Una VPN alemana es un proveedor de acceso en el sentido corriente de la palabra, así que las definiciones del proyecto de ley importarán.

Suiza es la que habría golpeado directamente a las empresas de VPN. El borrador de revisión de la ordenanza de vigilancia (VÜPF) de enero de 2025 proponía tratar a los "servicios de comunicación derivados" con más de 5.000 usuarios como operadores de telecomunicaciones: verificar la identidad, conservar metadatos 6 meses, descifrar a petición cuando el proveedor tenga las claves. Proton y NymVPN dijeron públicamente que se irían, Threema dijo que combatiría la ordenanza y Proton empezó a sacar infraestructura del país. Dos mociones parlamentarias en septiembre de 2025 exigieron una reescritura; el 11 de febrero de 2026 el Consejo Federal publicó los resultados de la consulta y encargó un estudio externo de impacto regulatorio antes de una segunda consulta, sin calendario vinculante. La frase de la Suiza amistosa en la portada de una VPN sigue siendo, por ahora, cierta, y por primera vez es condicional.

¿Qué políticas de registro de VPN han sido puestas a prueba por la policía o los tribunales?

Esta es la parte que ninguna tabla de jurisdicciones puede sustituir. Diez casos entre 2011 y 2023 están documentados lo bastante bien como para citarlos: un expediente judicial, la propia declaración del proveedor, o ambos. Los proveedores se nombran porque los casos son de dominio público; lo que importa es el patrón, no la marca.

Puntúalo como quieras y la jurisdicción pierde. Cuatro de los diez entregaron datos identificativos: uno en el Reino Unido, uno en Estados Unidos, uno en Hong Kong y uno en Suiza. Seis no entregaron nada: dos en Estados Unidos y uno en cada uno de Suecia, Suiza, las Islas Vírgenes Británicas y Canadá. Suiza aparece en ambos lados del balance. Lo que separa a los dos grupos es la ingeniería y el diseño de las cuentas: si una dirección IP llega a escribirse alguna vez junto a un identificador de cuenta, y durante cuánto tiempo.

El caso de Proton merece una segunda mirada porque tiene la forma del futuro. Proton no tenía nada almacenado, y eso no importó. Las autoridades suizas ordenaron a la empresa empezar a recopilar la dirección IP de un usuario de ahí en adelante, y la ley suiza la obligó a cumplir. Las leyes de retención tratan del pasado; las órdenes de registro selectivo tratan del futuro, y ninguna jurisdicción de la primera tabla las prohíbe.

¿Qué demuestran las auditorías y los servidores solo RAM, y qué no?

Desde 2018 los proveedores más grandes pagan a Deloitte, PwC, KPMG o Cure53 por informes periódicos de aseguramiento, y desde alrededor de 2019 muchos han pasado a servidores sin disco que arrancan desde una imagen firmada y mantienen el estado solo en memoria. Ambas son mejoras reales. Ambas son también más estrechas que las notas de prensa.

Una auditoría es una opinión sobre la configuración durante los días en que miró el auditor, con un alcance definido por el proveedor que la pagó. Lee la sección de alcance: la mayoría cubre los servidores VPN y excluye los sistemas de cuentas, facturación y antifraude, donde tiende a vivir el vínculo entre IP y cliente. Los servidores solo RAM responden a una amenaza concreta, la máquina incautada, y la responden bien: los resultados limpios de Mullvad y ExpressVPN se deben más a ese diseño que a la ley sueca o caribeña. No dicen nada sobre una orden selectiva de registrar una cuenta a partir de mañana.

Las tres preguntas que sobreviven a todo esto son sencillas. ¿Llega alguna vez una dirección IP a estar junto a un identificador de cuenta en algún lugar de los sistemas de la empresa? Si es así, ¿durante cuánto tiempo? ¿Y se puede ordenar a la empresa que cree ese vínculo para un usuario a petición? Un proveedor cuya página de privacidad responde a esas tres preguntas con claridad te ha dicho más que cualquier insignia de jurisdicción.

Cómo leer la política de privacidad de una VPN en diez minutos

Encuentra la entidad legal. La política de privacidad o las condiciones nombrarán una empresa y una ley aplicable; si las dos difieren de la bandera de la portada, gana la cláusula de ley aplicable. Busca ese país en la primera tabla.

Busca "IP" en la política. Toda política que mencione siquiera las direcciones IP dice o bien que se almacenan (¿durante cuánto tiempo?), que se truncan o que nunca se escriben. El silencio sobre este punto también es una respuesta.

Comprueba el rastro de los pagos. Los pagos con tarjeta y PayPal te identifican ante el procesador de pagos con independencia de la práctica de la propia VPN; el efectivo y las criptomonedas no. Por eso la orden de registro contra Mullvad estaba condenada a fracasar desde el principio.

Busca un informe de transparencia o un canario de órdenes judiciales y comprueba sus fechas. Un informe que dejó de actualizarse hace dos años es un informe que se detuvo.

Pregunta qué ocurre ante una orden selectiva. La respuesta honesta, en todas las jurisdicciones de la primera tabla, es "tendríamos que cumplir una orden válida de empezar a registrar una cuenta". Una política que diga lo contrario describe un país que no existe.

Después aplica las mismas cinco comprobaciones a las páginas de este sitio. Le VPN fue fundada en París, Francia, en noviembre de 2010 y conserva registros de conexión, no registros de actividad. Las páginas de privacidad online y cifrado son el punto de partida para leer. Para la parte técnica de seguir oculto cuando se cae una conexión, consulta la explicación del kill switch; para la capa de identidad más allá del túnel, la guía de identidad anónima.

Cómo será esta tabla el año que viene

Tres de las filas anteriores llevan una fecha de 2026 y habrá que reescribirlas antes de 2027. Si el Bundestag aprueba el proyecto de ley de retención de IP, Alemania pasa a "sí" y todo proveedor de acceso de allí, VPN incluidas, empieza a conservar 3 meses de asignaciones de direcciones. Si la Comisión publica su propuesta con un mínimo de un año, las filas de los Países Bajos y Rumanía, limpias desde 2015 y 2014, vuelven a estar en juego en toda la UE, Francia incluida. Y si la segunda consulta de Suiza mantiene el umbral de 5.000 usuarios, el país que alberga a las empresas de privacidad más citadas de Europa se convierte en el primero en redactar un deber de retención específicamente para ellas.

Nada de eso cambia la lección de la segunda tabla. Las leyes deciden lo que una empresa debe conservar. La ingeniería decide lo que tiene cuando llega la orden. Juzga lo segundo antes de fiarte de lo primero.