Jurisdicción de una VPN: qué ley se aplica y qué ha cambiado en 2026

La jurisdicción de una VPN es el país cuya ley se aplica a la empresa que la presta. Importa por dos motivos: decide qué le pueden obligar a guardar y a entregar, y decide ante quién puedes reclamar tú si algo va mal. No hay un país perfecto. Y lo que dicen muchas webs sobre «países seguros» está desfasado: en la UE, la directiva que obligaba a guardar datos se anuló en 2014, aunque muchos países, España incluida, mantienen leyes propias. Y en 2026 han cambiado cosas.

Qué decide la jurisdicción

• Qué datos debe conservar la empresa, si la ley del país la obliga a guardar alguno.
• Cómo le pueden pedir datos las autoridades, y si las de otro país tienen que pasar por un procedimiento internacional.
• Qué derechos tienes tú sobre tus datos y a qué autoridad acudes.

Lo primero es lo que más importa para una VPN. Si la ley no obliga a guardar nada y la empresa no guarda nada, una orden judicial no tiene qué recoger.

La UE y la conservación de datos: lo que pasó

En 2006 la UE aprobó una directiva que obligaba a los operadores a guardar entre 6 meses y 2 años quién se comunicaba con quién, cuándo y desde dónde. El 8 de abril de 2014 el Tribunal de Justicia de la UE la declaró inválida en el caso Digital Rights Ireland. Era una injerencia en la vida privada demasiado amplia para lo que se buscaba.

Algunos tribunales nacionales habían ido por delante. El Constitucional de Rumanía tumbó la ley rumana en 2009, cinco años antes que el tribunal europeo, y anuló la siguiente en 2014. En 2015 Rumanía aprobó otra norma sobre conservación y acceso a datos con orden judicial. En los Países Bajos, un tribunal de La Haya dejó sin efecto la ley neerlandesa el 11 de marzo de 2015. Desde entonces no hay obligación de conservación allí; un proyecto de ley de 2016 sigue sin aprobarse. Son los países de CyberGhost y de Surfshark.

Después, el Tribunal de la UE fue matizando. En 2020, en el caso La Quadrature du Net, admitió excepciones, como la conservación generalizada ante una amenaza grave para la seguridad nacional. Y en abril de 2024, en el caso C-470/21, aceptó que se guarden las direcciones IP para perseguir delitos, con condiciones estrictas.

En España sigue vigente la Ley 25/2007, que obliga a los operadores de telecomunicaciones a conservar durante 12 meses datos como la IP que te asignan y cuándo te conectas, para entregarlos, con autorización judicial, en investigaciones de delitos graves. La ley excluye lo que consultas. Pero tu operador, mientras navegas, sí puede ver a qué servidores te conectas. Con una VPN, lo que ve es solo que te conectas a un servidor de la VPN. Lo explico con ejemplos en qué revela tu IP.

Lo que ha cambiado en 2026

Las órdenes europeas de entrega de pruebas

El Reglamento (UE) 2023/1543 se aplica desde el 18 de agosto de 2026. Permite a un juez o fiscal de un país de la UE ordenar directamente a un proveedor de servicios de otro país que entregue o conserve datos. En los casos más sensibles se avisa a las autoridades de ese otro país, que pueden oponerse. Las empresas de fuera de la UE que ofrecen servicios aquí tienen que nombrar un representante legal en la UE, según la Directiva 2023/1544; las establecidas en la UE, un establecimiento designado.

El reglamento no habla de VPN por su nombre, y no obliga a guardar nada nuevo. Solo cambia el camino para pedir lo que ya existe. Una VPN que de verdad no guarda registros sigue sin tener qué entregar. Lo que cambia es la rapidez: lo que antes pasaba por la autoridad del otro país, con una orden europea de investigación o una comisión rogatoria, ahora puede ser una orden directa con plazo de 10 días, u 8 horas en urgencias.

La vuelta de la conservación de datos

La Comisión Europea anunció, dentro de su estrategia de seguridad ProtectEU, que estudiaría una nueva norma de conservación de datos, con una propuesta prevista para 2026. Según heise, la mayoría de gobiernos quiere un año de conservación, y al menos seis meses. Según TechRadar, algunos quieren incluir a los proveedores de VPN.

Según el registro de iniciativas de la Comisión, la propuesta, prevista para el primer trimestre de 2026, sigue sin adoptarse a mediados de octubre. Si llega, tendría que respetar lo que ha dicho el Tribunal de la UE desde 2014, y pasar por el Parlamento y el Consejo. Actualizaré este artículo entonces.

Las cuatro VPN que analizo, país por país

VPN	País	En la UE	Situación legal que más le afecta
NordVPN	Panamá	No (representante RGPD en Ámsterdam)	Las peticiones extranjeras siguen el procedimiento panameño, según su política
Proton VPN	Suiza	No	Reforma de la ordenanza de vigilancia pendiente de una segunda consulta
Surfshark	Países Bajos	Sí	Ley de conservación sin efecto desde 2015; órdenes europeas desde 2026
CyberGhost	Rumanía	Sí	Leyes de conservación anuladas en 2009 y 2014; norma posterior (2015) con acceso por orden judicial; órdenes europeas desde 2026

Panamá: NordVPN

La política de privacidad de NordVPN dice que las peticiones de autoridades extranjeras deben seguir el procedimiento legal panameño, como un tratado de asistencia judicial. Eso añade un paso más para quien pida datos. Aun así, la empresa reconoce el RGPD y tiene un representante a sus efectos en la UE, NordSec B.V. Con el nuevo reglamento europeo, los proveedores de fuera de la UE deben designar además un representante legal para recibir las órdenes; NordVPN no indica en su política quién es. Detalles en el análisis de NordVPN.

Suiza: Proton VPN

Proton afirma que, con la ley suiza actual, su VPN no tiene obligación de guardar registros. Pero en 2025 el Gobierno suizo propuso reformar su ordenanza de vigilancia para obligar a guardar metadatos e identificar a los usuarios. Proton respondió anunciando que sacaría del país buena parte de su infraestructura. El 11 de febrero de 2026 el Gobierno anunció que, tras un estudio externo de impacto, abrirá una segunda consulta; no he encontrado que se haya abierto a mediados de octubre. Detalles en el análisis de Proton VPN.

Unión Europea: Surfshark y CyberGhost

Surfshark tiene su sede en los Países Bajos y CyberGhost en Rumanía. Les aplica de lleno el Reglamento General de Protección de Datos. Para un usuario en España es lo más sencillo: es la misma ley que ya te protege con cualquier empresa europea, y puedes reclamar ante la autoridad de protección de datos.

Por qué el país no basta

Una empresa en un país «favorable» puede guardar registros igual. Y una en un país con más obligaciones puede no tener nada que entregar si de verdad no los guarda. Lo que lo demuestra son las auditorías independientes repetidas en el tiempo, y los casos reales.

Dos ejemplos con cifras de las propias empresas. CyberGhost dice en su informe de transparencia que en 2025 recibió 11 peticiones de la policía y no entregó nada. Proton dice que su política se ha puesto a prueba en más de 400 casos legales sin poder dar datos que no tenía. Las auditorías y las cifras de cada una están en la comparativa de VPN.

Fíjate también en el grupo empresarial. NordVPN y Surfshark pertenecen al mismo, Nord Security, aunque tengan sedes distintas. CyberGhost es de Kape Technologies. Tu confianza se extiende al grupo entero.

Ojo con las listas de «países seguros» y los «Cinco Ojos»

Circulan muchas listas de países buenos y malos para una VPN, casi siempre con los «Cinco Ojos», «Nueve Ojos» y «Catorce Ojos». Los Cinco Ojos son una alianza real: el acuerdo UKUSA de intercambio de inteligencia entre Estados Unidos, Reino Unido, Canadá, Australia y Nueva Zelanda. Las ampliaciones a nueve y catorce salen sobre todo de documentos filtrados y de interpretaciones periodísticas.

El problema es que esas listas mezclan dos cosas distintas: qué espían los servicios de inteligencia y qué obliga la ley a guardar a una empresa. Para una VPN pesa más lo segundo. Si una web te da una lista así, busca qué ley concreta cita. Si no cita ninguna, no la tomes como dato.

Preguntas frecuentes

¿Cuál es el mejor país para una VPN?

No hay uno. Para un usuario en España, una empresa en la UE da la protección más fácil de usar, el RGPD. Una fuera de la UE puede ponérselo más difícil a quien pida datos, pero también a ti si reclamas. Lo decisivo es que no guarde registros y que lo haya demostrado.

¿Una VPN de fuera de la UE se libra de la ley europea?

No del todo. El RGPD se aplica a cualquier empresa que ofrezca servicios a personas en la UE, y el reglamento de pruebas electrónicas también le alcanza a través de su representante legal.

¿Me puede pedir datos la policía española si uso una VPN?

Puede pedírselos, con autorización judicial, a tu operador, que guarda qué IP te asignó y cuándo estuviste conectado, y a la VPN, que solo podrá dar lo que guarde. Si no guarda registros de actividad, no hay nada que relacione tu conexión con lo que hiciste.