Hace tres semanas, Utah se convirtió en el primer estado de EE. UU. en aplicar una ley que tiene en cuenta de forma expresa el uso de VPN. Las organizaciones de derechos digitales respondieron con la segunda jornada de acción “Defend VPNs”, convocada para el 25 de septiembre por Fight for the Future y respaldada por más de 100 organizaciones. Ninguna de las dos cosas prohíbe los VPN. Pero las dos muestran hacia dónde va la pelea.
Y desde España no es un tema lejano. La pregunta de qué hacer con los VPN aparece en cada debate sobre verificación de edad, también en la ley española de protección de menores en entornos digitales que lleva tiempo en tramitación.
La SB 73 de Utah: lo que se aplica desde el 3 de septiembre
La SB 73 es una ley de verificación de edad. Obliga a las webs en las que más de un tercio del contenido es “perjudicial para menores” a comprobar la edad de los usuarios de Utah. Lo que la diferencia de las decenas de leyes parecidas en otros estados es cómo define a un usuario de Utah.
Como explicó Gizmodo, la ley considera usuario de Utah a cualquiera que esté físicamente en Utah, use VPN o no. Alguien en Salt Lake City que se conecta a través de un servidor en Alemania sigue estando, legalmente, en Utah. Las webs que no cumplan se exponen a 2.500 dólares por infracción, más responsabilidad civil.
La ley debía aplicarse en mayo de 2026. Aylo, la empresa matriz de Pornhub, la recurrió, y Utah aceptó no aplicarla hasta el 3 de septiembre, algo que contamos en junio cuando se anunció la suspensión. Esa pausa ha terminado y la ley ya es exigible.
Qué significa la SB 73 para quien usa un VPN
Vamos a ser precisos, porque los titulares no siempre lo han sido.
No es una prohibición de los VPN. Usar un VPN en Utah sigue siendo legal para la privacidad, el trabajo, los viajes o el streaming. El artículo de Gizmodo insiste en ello.
La carga recae en las webs, no en los usuarios. Una web afectada tiene que averiguar si un visitante está físicamente en Utah, aunque su IP diga Fráncfort o Toronto. No hay forma fiable de hacerlo solo con una IP, y ese es el problema. En la práctica, las webs verifican la edad de todo el mundo, usan señales de ubicación más intrusivas (GPS, datos del dispositivo) o bloquean Utah y el tráfico VPN en general.
Los proveedores de VPN están inquietos de todos modos. NordVPN habló de una “trampa de responsabilidad”, según Gizmodo. Si una web puede ser sancionada porque un usuario se escondió tras un VPN, la presión empuja a detectar y bloquear el tráfico VPN en general. Eso afecta a cualquiera que use un VPN, no solo a quien quiere evitar un control de edad.
Nuestro primer análisis del texto, la ley SB 73 de Utah explicada, repasa la letra de la ley con más detalle.
Por qué “estar físicamente en Utah” es tan difícil de comprobar
Toda la ley se basa en una idea: una web debería saber dónde está físicamente un visitante. Técnicamente, es mucho más complicado de lo que parece.
La geolocalización por IP es la herramienta estándar, y es justo la que un VPN anula a propósito. Un usuario de VPN en Provo aparece con la IP de un servidor en Denver, París o Tokio.
Las listas de IP de VPN son el siguiente paso. Bases de datos comerciales marcan los rangos de IP de proveedores de VPN y centros de datos. Detectan bastante bien los servidores VPN populares y bastante mal los proxys residenciales, las redes móviles y las IP nuevas. Y no dicen dónde está la persona detrás del VPN, solo que usa uno.
La ubicación del dispositivo (GPS, posicionamiento wifi) es precisa, pero los navegadores solo la comparten con permiso expreso, y nadie lo concede para leer un periódico online.
Así que una web que quiera estar tranquila con la SB 73 tiene tres opciones: verificar la edad de todos sin importar dónde estén, bloquear todo el tráfico VPN o asumir el riesgo legal. Cada una salpica a gente que no tiene nada que ver con Utah. Justo de eso avisa la coalición Defend VPNs.
La jornada Defend VPNs del 25 de septiembre
Fight for the Future organizó la primera jornada Defend VPNs el año pasado, con unos 20.000 participantes según la organización. La segunda edición estaba convocada para el 25 de septiembre de 2026, con una coalición de más de 100 organizaciones de derechos humanos, derechos reproductivos, colectivos LGBTQ y derechos digitales.
La jornada apuntaba a una serie de leyes y proyectos que restringen el acceso a los VPN o imponen verificación de edad con documento de identidad:
- la SB 73 de Utah, la primera ley estatal de EE. UU. que tiene en cuenta los VPN
- el proyecto de verificación de edad de Wisconsin, que evitó por poco una prohibición de VPN (explicamos por qué esas cláusulas fracasan)
- la prohibición total de VPN que se propone en Míchigan, la HB 4938
- las normas australianas de verificación de edad y el enfoque británico sobre los VPN
- las prohibiciones de redes sociales para jóvenes en Indonesia, Malasia y Emiratos, y los proyectos en Francia y Massachusetts
Francia está en la lista, y el debate francés sobre prohibir las redes sociales a menores plantea la misma pregunta que Utah. Lo repasamos en nuestro artículo sobre Francia y la regulación de los VPN.
La reivindicación central es sencilla: el acceso a los VPN debe protegerse como un derecho, no tratarse como un resquicio. La directora de campaña, Sarah Phillips, lo resumió sin rodeos: usar un VPN “no es un delito”.
¿Quieres comparar todos los VPN uno al lado del otro? Consulta nuestra tabla comparativa completa con puntuaciones en 18 criterios.
¿Por qué ahora?
Las leyes de verificación de edad se han extendido muy rápido. El mapa de Proton muestra que ya afectan a decenas de países, y seguimos el panorama global en nuestro repaso sobre verificación de edad y VPN. Con cada nuevo control de edad se disparan las descargas de VPN, los legisladores lo ven y el siguiente borrador intenta ocuparse de los VPN.
Una ley tiene pocas formas de “ocuparse” de los VPN, y ninguna es limpia:
- Prohibir los VPN (la propuesta de Míchigan). Difícil de aplicar, probablemente inconstitucional en EE. UU. y dañino para empresas y seguridad.
- Hacer a las webs responsables de los usuarios con VPN (Utah). Empuja a las webs a bloquear el tráfico VPN o a recoger más datos de ubicación.
- Obligar a los proveedores de VPN a aplicar bloqueos o controles. Es la dirección del nuevo proyecto federal American Copyright Protection Act, que obligaría a los grandes VPN a bloquear webs piratas, y de algunas propuestas europeas.
Las organizaciones ven un patrón: leyes vendidas en nombre de la protección de menores o de los derechos de autor normalizan poco a poco la detección y el bloqueo de VPN, que luego se usan para otras cosas. Los legisladores ven los VPN como un agujero en cada norma que aprueban. Esa tensión no va a desaparecer.
Qué hacer en la práctica
Si estás en Utah, nada cambia en el uso legal de un VPN. Puede que más webs te pidan verificar la edad y que más webs rechacen conexiones VPN. Si estás en España o Latinoamérica, el efecto directo es nulo, pero el indirecto es real: las herramientas anti-VPN creadas para una ley acaban aplicándose a todos. Un medio, un foro o una tienda que decida que es más barato bloquear los VPN que revisar documentos te bloqueará en Sevilla o en Bogotá igual que en Salt Lake City.
Dos consejos prácticos:
- Sigue eligiendo VPN auditados y con buena reputación. La presión sobre el sector empuja hacia apps gratuitas que nadie regula ni audita. Es la dirección equivocada para tu privacidad. Nuestra lista de los mejores VPN auditados sin registros es un punto de partida más seguro, con NordVPN y ProtonVPN en cabeza.
- No esperes que un VPN resuelva los controles de identidad. La verificación de edad se basa en documentos o escaneos faciales, no en la ubicación. Un VPN no cambia lo que te piden demostrar cuando una web decide pedirlo.
Si tienes una web, háblalo con un abogado antes de bloquear todos los VPN. Bloquear todo el tráfico VPN también deja fuera a periodistas, a gente que teletrabaja y a empleados detrás de redes corporativas: un precio alto por cumplir la norma de un solo estado.
Seguiremos la aplicación de la ley en Utah, los recursos y la próxima ola de proyectos.
La SB 73 de Utah ya es exigible y trata a cualquiera que esté físicamente en Utah como usuario de Utah, con VPN o sin él. No prohíbe los VPN, pero empuja a las webs a detectarlos y bloquearlos. La jornada Defend VPNs del 25 de septiembre muestra lo amplia que se ha vuelto la oposición. Para los usuarios, el consejo no cambia: los VPN son legales, elige un proveedor auditado y no esperes que un VPN se salte los controles basados en la identidad.