Los gobiernos de medio mundo han decidido que las VPN son un resquicio legal. En 2026 están intentando cerrarlo. El resultado hasta ahora: legislación técnicamente ingenua, adopción récord de VPN y defensores de la privacidad cada vez más indignados.
La ola global: qué está pasando de verdad
A mediados de 2026, 25 estados de EE. UU. tienen leyes activas de verificación de edad, entre ellos Texas, Florida, Arizona, Missouri, Georgia, Dakota del Sur y Ohio. La Online Safety Act del Reino Unido entró en vigor el 25 de julio de 2025. Australia prohibió las redes sociales a los menores de 16 años el 10 de diciembre de 2025 y amplió la aplicación de las restricciones a contenido adulto en marzo de 2026. La ley brasileña de verificación de edad entró en vigor en marzo de 2026. Turquía aprobó una prohibición de redes sociales para menores de 15 años el 22 de abril de 2026. La UE prepara un marco unificado de verificación de edad para los 27 estados miembros antes de que acabe el año.
Cada una de estas leyes ha provocado la misma reacción: más gente descargando VPN.
En el Reino Unido, las descargas de VPN alcanzaron los 2 millones en agosto de 2025, el mes siguiente a la entrada en vigor de la Online Safety Act, y se mantuvieron por encima del millón mensual después. Una sola app registró un aumento del 1.800% en descargas durante el primer mes tras la ley británica. La entrada en vigor de las medidas australianas en marzo de 2026 provocó un pico similar. No se trata de gente con malas intenciones buscando trucos. Son usuarios normales reaccionando de forma razonable ante una infraestructura de vigilancia que se construye alrededor de contenido perfectamente legal.
Utah fue más lejos que nadie
La mayoría de las leyes de verificación de edad esquivan el tema de las VPN ignorándolas. Utah hizo algo distinto.
La SB 73 de Utah, firmada por el gobernador Spencer Cox el 19 de marzo de 2026, es la primera ley estadounidense que apunta directamente a los usuarios de VPN. Según sus disposiciones, se considera que una persona está en Utah sin importar qué herramientas use para enmascarar su ubicación. Los sitios web son responsables si usuarios de Utah esquivan la verificación de edad con una VPN, un proxy o una herramienta similar. Los sitios afectados también tienen prohibido publicar instrucciones sobre cómo usar estas herramientas.
Expertos en derechos digitales la calificaron de “topo técnico interminable”. La postura de la Electronic Frontier Foundation es tajante: “las VPN no son una solución a los mandatos de verificación de edad”. Responsabilizar a las plataformas por herramientas que traen los propios usuarios no es un problema técnico con solución técnica. Es una fantasía de aplicación disfrazada de legislación.
Aylo, la matriz de Pornhub, demandó a Utah ante un tribunal federal el 13 de mayo. Utah aceptó retrasar la aplicación de la ley hasta el 3 de septiembre de 2026 mientras avanza el caso. La pregunta constitucional de fondo es real: ¿puede un estado regular a usuarios cuya ubicación física no puede verificar?
Wisconsin pasó por el mismo debate y llegó a una conclusión distinta. La disposición que prohibía las VPN fue retirada de la SB 130 / AB 105 tras la presión pública. Es el primer ejemplo concreto de una legislatura echándose atrás en este tipo de medidas ante la reacción social.
El Reino Unido tomó otro camino
En lugar de apuntar directamente a las VPN, el Reino Unido fue a por la población menor de 18 años. En enero de 2026, la Cámara de los Lores votó 207 a 159 a favor de prohibir el acceso a VPN a los menores de 18 como parte de las medidas de seguridad online. Prohibir una herramienta a un grupo demográfico concreto exige vigilancia a nivel de dispositivo (monitorizar cada conexión a internet), bloqueo a nivel de proveedor de acceso, o ambas cosas.
La Online Safety Act se vendió como protección infantil. El voto de la Cámara de los Lores muestra a dónde lleva esa lógica cuando choca con la realidad de que las VPN existen. Ya no va de contenido para adultos. Va de controlar qué herramientas de privacidad puede usar cada grupo de población.
Australia y el resto del mundo se apresuran
La prohibición australiana de redes sociales para menores de 16 años, en vigor desde el 10 de diciembre de 2025, fue de las más estrictas del mundo. La ampliación de marzo de 2026 sobre contenido adulto la endureció todavía más. Ambas medidas dispararon las descargas de VPN. Las autoridades australianas aún no han apuntado directamente a los proveedores de VPN, pero el brazo de investigación de la UE ya ha calificado las VPN como un “resquicio legal”, el tipo de lenguaje que suele preceder a la acción legislativa.
Brasil puso en marcha la verificación de edad obligatoria en marzo de 2026. Turquía la siguió en abril. Sumado al marco de la UE que se prepara para finales de 2026, el panorama es el de un esfuerzo internacional, algo descoordinado, por verificar quién está conectado. El internet que algunos legisladores parecen haber imaginado, uno donde la ubicación y la identidad son siempre verificables, nunca ha existido.
Quién sale perjudicado de verdad
Los más afectados por las restricciones a las VPN y los bloqueos de IP a nivel de plataforma no son los adolescentes buscando trucos. Los adolescentes son ingeniosos. Encuentran la forma de saltarse las barreras.
Los afectados son los adultos preocupados por su privacidad que usan ProtonVPN u otros servicios similares porque no quieren que sus datos de navegación se vendan a intermediarios. Periodistas que trabajan en entornos delicados. Supervivientes de abusos que necesitan mantener su ubicación en privado. Trabajadores remotos conectados a redes públicas. Toda la población con motivos legítimos para usar una VPN queda atrapada en la misma red diseñada para otro objetivo.
La EFF lo dice claramente en su análisis de la SB 73 de Utah. El daño colateral no es incidental, es estructural. Cuando construyes un mecanismo de aplicación de la ley alrededor de bloquear o vigilar el tráfico VPN, construyes una infraestructura de vigilancia que acabará usándose más allá de su propósito original. No es una especulación. Es el patrón observable en cada jurisdicción que ha ido por este camino.
Por qué estas leyes no funcionarán como pretenden
El problema técnico es real. No se puede identificar de forma fiable la ubicación física de un usuario que no quiere ser identificado. No es un fallo de la tecnología VPN que se pueda parchear. Es la función principal de la herramienta. Responsabilizar a los sitios web por esta realidad, como hace Utah, no resuelve el problema. Crea una crisis de cumplimiento normativo para los operadores web mientras el problema real sigue ahí.
La mayoría de la gente que usa una VPN para acceder a contenido restringido por edad tampoco son adolescentes. Son adultos que prefieren no subir su documento de identidad a un sitio con prácticas de datos poco claras. Las leyes de verificación de edad empujan a ambos grupos hacia las VPN al mismo tiempo.
La dimensión internacional lo complica aún más. Una ley aprobada en Utah o el Reino Unido no llega a proveedores de VPN constituidos en Suiza o Panamá. NordVPN tiene su sede en Panamá. ProtonVPN opera bajo legislación suiza. Ninguno de los dos va a reestructurar su producto por un estatuto de Utah. El marco de la UE tendrá más alcance simplemente por el tamaño de su mercado, pero hacer cumplir la ley contra proveedores fuera de la UE que operan a través de fronteras es un problema muy distinto a redactar una directiva.
Qué vigilar en la segunda mitad de 2026
El 3 de septiembre de 2026 termina la pausa en la aplicación de la ley de Utah. Si la demanda de Aylo no ha conseguido una medida cautelar para entonces, los sitios web se enfrentarán a una decisión de cumplimiento real. El resultado marcará si otros estados siguen el modelo de Utah o lo tratan como un caso de advertencia.
El marco unificado de la UE está previsto para finales de 2026. Que se centre en las plataformas o apunte directamente a los proveedores de VPN va a importar mucho para todo el mundo en Europa.
Vale la pena seguir el caso de Wisconsin y su retirada del lenguaje anti-VPN. Es la primera legislatura que da marcha atrás en este tipo de disposición bajo presión pública. Si el patrón se repite, el enfoque de Utah podría ser un callejón sin salida incluso antes de que los tribunales lo resuelvan.
Los gobiernos quieren saber quién está conectado. Las VPN lo dificultan. Ninguno de los enfoques legislativos probados hasta ahora ha resuelto el problema técnico de fondo, y ninguno lo hará.
¿Quieres comparar todos los VPN uno al lado del otro? Consulta nuestra tabla comparativa completa con puntuaciones en 18 criterios.
Las leyes de verificación de edad se multiplican más rápido que los mecanismos de aplicación efectivos. Apuntar directamente a las VPN, como hizo Utah, es el enfoque más agresivo hasta ahora, y está bajo revisión judicial. Las leyes que están funcionando sobre todo dificultan el acceso legal de los adultos, no detienen a los menores. Si usas una VPN por motivos legítimos de privacidad, la herramienta sigue funcionando igual. El entorno regulatorio a su alrededor está cambiando, eso sí, y merece la pena seguirlo de cerca.
Sigue leyendo: Canadá quiere que todos los adultos verifiquen su edad también y La Cámara de Representantes de EE. UU. aprueba la KIDS Act.
Fuentes: EFF sobre la SB 73 de Utah | TechRadar sobre las restricciones VPN en Utah | Tom’s Hardware sobre la investigación de la UE y la adopción de VPN | AndroidHeadlines sobre el aumento de descargas de VPN