Le VPN sono legali in Spagna? La legge e i 13 episodi di blocco che hanno fatto nascere la domanda

La versione precedente di questa pagina si apriva con la Spagna secondo paese più attaccato al mondo, 45.000 attacchi informatici al giorno e un balzo del 2.500% nelle iscrizioni alle VPN. Ho cercato la fonte di tutti e tre i dati. I primi due risalgono a comunicati stampa di aziende spagnole di sicurezza che non indicano alcun metodo. Il terzo è una lettura sbagliata: la società a cui viene attribuito, Proton, nel proprio post ha riportato un picco del 200%. Nessuno dei tre compare in questa versione.

La domanda che porta le persone su questa pagina è più semplice. Le VPN sono legali in Spagna e, spesso, in Italia o in Spagna? La risposta breve è sì. La risposta lunga conta perché la Spagna è il paese in cui i blocchi contro la pirateria calcistica hanno messo offline centinaia di migliaia di siti estranei, e in cui un tribunale ha ora detto a due fornitori di VPN di fare la loro parte. Qui sotto ci sono le regole, con le relative norme, e ogni episodio di blocco che ho potuto documentare dal 2017, ciascuno con un verdetto su una domanda: una VPN lo avrebbe aggirato?

Le VPN sono legali in Spagna?

Sì. In Spagna una VPN è legale da vendere e legale da usare, e nessuna legge spagnola che ho potuto trovare cita le VPN. Ho cercato nella legge sulla società dell'informazione, nella legge sulle telecomunicazioni del 2022, nella legge sulla conservazione dei dati, nella legge sul diritto d'autore, nella legge sul gioco d'azzardo e nell'articolo 270 del Codice penale. Non esiste un'unica frase ufficiale che dica "le VPN sono legali", perché nessuno ha avuto bisogno di scriverla. La cosa che più ci si avvicina è l'istituto statale per la cibersicurezza, INCIBE, la cui prima raccomandazione per il Wi-Fi pubblico è usarne una.

Due osservazioni su queste 11 righe. La Spagna ha cinque vie distinte per arrivare a un sito bloccato, cioè la legge generale sulla società dell'informazione, i tribunali civili, la commissione del ministero della cultura, l'autorità di regolazione del gioco e i tribunali penali, e tre delle cinque possono funzionare senza un giudice: la via generale, che è quella con cui l'agenzia del farmaco ha bloccato Women on Web, la commissione della cultura una volta che un sito è recidivo, e l'autorità del gioco. E in nessuna delle 11 la legge pone un obbligo a carico della persona che usa una VPN. Ogni obbligo ricade su un operatore, un intermediario o un autore della violazione. Il diritto spagnolo sulle VPN è, per ora, l'assenza di un diritto sulle VPN.

Quali ordini di blocco hanno spinto gli spagnoli a informarsi sulle VPN?

La tabella elenca 13 episodi tra il 2017 e settembre 2026. L'ultima colonna risponde a una domanda tecnica ristretta: visto come era costruito il blocco, una VPN lo avrebbe aggirato? Non è un'affermazione su ciò che era lecito guardare.

I verdetti danno dieci sì, due in parte e uno non necessario. La ragione è strutturale. Dieci dei tredici blocchi erano costruiti all'interno della rete del provider di accesso, e un tunnel VPN attraversa quella rete senza essere aperto. Il blocco geografico di GitHub del 2019 si basava su un indirizzo IP spagnolo, che una VPN cambia a sua volta. Due episodi sono diversi. Nel 2017 lo Stato si è rivolto al registro dei domini, e un dominio sequestrato sparisce per tutto il mondo. Nel 2026 i titolari dei diritti si sono rivolti direttamente ai fornitori di VPN. Sono le due direzioni in cui il blocco può andare quando la rete di accesso non basta più.

La portata dei blocchi del calcio è la parte su cui esistono misurazioni vere. OONI ha individuato 7.441 indirizzi IP bloccati sulle reti spagnole tra il 1º gennaio e il 1º giugno 2026, poi ha confrontato con questi 9,2 milioni di domini popolari: 554.507 di essi, ovvero il 5,8%, si sono trovati in qualche momento su un indirizzo bloccato. Più di 501.000 di quei domini stavano dietro 2.218 indirizzi Cloudflare, e bloccare tra 4 e 20 indirizzi in una sola ora bastava a mettere fuori uso oltre 400.000 domini. Tra i siti colpiti c'erano pagine nazionali dell'UNICEF e dell'agenzia ONU per i rifugiati, sezioni di Amnesty e un registro di software. La posizione di LaLiga è che i blocchi hanno ridotto la pirateria dal 40 al 60% nei fine settimana "senza impatto collaterale". Il tribunale di Barcellona ha respinto nel marzo 2025 le richieste di annullamento di Cloudflare e della conferenza sulla sicurezza RootedCON, ritenendo non provato il danno a terzi. I reclami sulla neutralità della rete presentati al ministero sono passati da circa dieci a circa 265 nel 2025.

Ecco perché "le VPN sono legali in Spagna" è diventata una ricerca comune. La maggior parte di chi lo chiedeva non cercava il calcio. Erano sviluppatori i cui deployment fallivano il sabato sera, e acquirenti a cui la pagina di pagamento non si caricava.

Una VPN è legale in Italia o in Spagna, e come si confrontano i due paesi?

Usare una VPN è legale in entrambi i paesi. La differenza sta in quanto gli obblighi di blocco sono stati spinti sulle società di VPN e di DNS, e l'Italia è andata più lontano.

Il contrasto è tra un'autorità di regolazione e un'aula di tribunale. L'Italia ha inserito i fornitori di VPN in un sistema amministrativo permanente. La Spagna ha un solo provvedimento cautelare, che lo stesso tribunale ha poi rifiutato di far rispettare con le multe. Nessuno dei due paesi ha toccato l'utente. Le nostre pagine sull'uso di una VPN in Spagna e in Italia coprono il lato quotidiano, e il registro dei blocchi di siti web in Francia mostra il terzo modello, in cui da maggio 2025 i tribunali di Parigi hanno ordinato a cinque fornitori di VPN di bloccare domini di pirateria sportiva.

E la privacy, la conservazione dei dati e la criminalità informatica in Spagna?

La vecchia pagina si appoggiava a numeri allarmanti. Questi sono quelli ufficiali. Il team di risposta di INCIBE ha gestito 122.223 incidenti di cibersicurezza nel 2025, il 26% in più in un anno, di cui 45.445 erano frodi online, phishing compreso. L'agenzia per la protezione dei dati ha ricevuto 30.931 reclami nel 2025, il 64% in più e il numero più alto della sua storia, e ha inflitto sanzioni per €48,1 milioni.

Sulla conservazione, la Spagna ha ancora la regola dei 12 mesi adottata nel 2007 per attuare una direttiva UE che la Corte di giustizia dell'UE ha annullato nel 2014, con la prima di una serie di sentenze contro la conservazione generalizzata. La legge vincola gli operatori di telecomunicazioni, richiede l'autorizzazione di un giudice per l'accesso e non è stata riscritta. Il tuo provider internet conserva quindi un anno di dati su quando e da dove ti sei connesso, ma non su ciò che hai letto. Una VPN sostituisce ciò che quel provider può annotare sulle tue destinazioni con una sola voce, il server VPN. La nostra tabella delle leggi sulla conservazione in 16 giurisdizioni mostra come altri paesi trattano la stessa questione. Le VPN ha una posizione server in Spagna tra più di 100, consente 10 connessioni simultanee e prevede una garanzia di rimborso di 30 giorni.

Che cosa cambierà?

• Tribunale costituzionale. RootedCON ha annunciato il suo ricorso contro i blocchi del calcio il 16 maggio 2025 e Cloudflare ha depositato il proprio entro giugno 2025. Al 18 settembre 2026 il tribunale non aveva ancora deciso se ammettere quello di RootedCON.
• Cordova. Il provvedimento cautelare contro i due fornitori di VPN resta in vigore e la causa principale è pendente. Non ho trovato alcuna notizia sul fatto che Proton abbia applicato il provvedimento.
• La sentenza di Barcellona scade con la stagione dal 2026 al 2027, intorno al 20 giugno 2027. La gara di LaLiga per i diritti televisivi dal 2027 al 2032 pone come condizione per gli offerenti la cooperazione ai blocchi e il sostegno alle azioni legali contro VPN e servizi DNS. Una nuova istanza nel 2027 è probabile.
• Congresso. Il 29 aprile 2026 una commissione ha approvato una mozione non vincolante che chiede al governo di inserire nella legge la "proporzionalità tecnologica". Da sola non cambia nulla, e nessun disegno di legge è seguito.
• La legge sui minori. Il governo vuole che la legge organica sia approvata entro la fine del 2026. La clausola da tenere d'occhio è l'emendamento 89, che inserirebbe i fornitori di VPN e di DNS nella legge sulla società dell'informazione come intermediari con un obbligo di blocco entro 30 minuti. Non ho potuto accertare se la commissione lo abbia accolto.
• Women on Web contro Spagna è stato depositato alla Corte europea dei diritti dell'uomo il 12 giugno 2026.
• Italia. Il TAR del Lazio ha confermato la multa a Cloudflare il 17 luglio 2026, con la sentenza 13201/2026. Cloudflare ha dichiarato che farà di nuovo ricorso.