Una VPN constituida en Panamá opera bajo obligaciones legales muy distintas a una con sede en Estados Unidos o el Reino Unido. La jurisdicción determina qué leyes se aplican, qué requisitos de retención de datos existen y qué puede exigir un gobierno legalmente a la empresa.
Esto importa porque incluso una VPN con una política de cero registros genuina podría verse obligada a empezar a registrar datos en el futuro si opera en una jurisdicción con leyes de retención obligatoria o autoridad de vigilancia amplia.
Las alianzas de vigilancia que conviene conocer
Los Cinco Ojos (Estados Unidos, Reino Unido, Canadá, Australia, Nueva Zelanda) es el acuerdo de intercambio de inteligencia más relevante. Sus miembros comparten datos de vigilancia entre sí y históricamente han presionado a empresas para que cooperen con solicitudes de datos.
Los Nueve Ojos suman Francia, Dinamarca, Países Bajos y Noruega. Los Catorce Ojos amplían el grupo con Alemania, Bélgica, Italia, Suecia y España.
Quedar fuera de estas alianzas no hace inmune a una VPN frente a la vigilancia, pero sí implica menos acuerdos automáticos de intercambio de datos y marcos legales distintos para la divulgación forzada.
Las mejores jurisdicciones para una VPN
Panamá: sin leyes de retención de datos, fuera de cualquier alianza de vigilancia y sin historial de cooperación con solicitudes extranjeras. NordVPN está constituida aquí. Las solicitudes legales deben pasar por tribunales panameños, que no tienen obligación de reconocer órdenes extranjeras.
Suiza: no pertenece a la UE, no está en ninguna alianza de vigilancia, y alberga una de las legislaciones de privacidad más sólidas del mundo. ProtonVPN es suiza. Los tribunales suizos tienen historial de rechazar solicitudes de datos extranjeras. La Ley Federal de Protección de Datos fija estándares estrictos.
Islandia: fuera de la UE y de todas las alianzas de vigilancia, con fuertes protecciones constitucionales de privacidad y sin retención de datos obligatoria. Un puñado de proveedores centrados en privacidad usan constitución islandesa.
Islas Vírgenes Británicas: no pertenecen a los Cinco Ojos, aunque es territorio británico. ExpressVPN estuvo constituida aquí históricamente, lo que aportaba cierta separación de la jurisdicción del Reino Unido. Con la propiedad de Kape, el peso práctico de esa constitución en las BVI se diluye bastante.
Rumanía: miembro de la UE, pero con historial de tumbar directivas de retención de datos obligatoria y un poder judicial relativamente resistente a las solicitudes de datos. CyberGhost está constituida aquí.
Las peores jurisdicciones para la privacidad de una VPN
Estados Unidos: vigilancia de la NSA, cartas de seguridad nacional (que pueden exigir divulgación de datos con orden de silencio incluida) e historial de presión gubernamental sobre empresas tecnológicas. Entre las VPN con sede en EE. UU. están PIA, IPVanish y StrongVPN.
Reino Unido: la Investigatory Powers Act (la “carta de los fisgones”) exige a los proveedores retener metadatos de conexión y otorga amplia autoridad de vigilancia gubernamental. Ninguna VPN seria centrada en privacidad debería tener su sede aquí.
Australia: aprobó la Assistance and Access Act en 2018, que puede obligar a las empresas a crear puertas traseras en sus productos. Entre las leyes de vigilancia más agresivas de cualquier democracia.
China: las VPN que operan aquí deben mantener registros y entregar datos bajo demanda. Cualquier VPN con propiedad o infraestructura china debe tratarse con máxima cautela.
Jurisdicción frente a política de cero registros: ¿qué importa más?
Ambas importan, pero funcionan de forma distinta.
Una política de cero registros determina qué datos existen hoy. Si los registros no existen, no hay nada que entregar, sin importar la jurisdicción.
La jurisdicción determina qué se puede exigir mañana. Una VPN con sede en EE. UU. con una política de cero registros genuina hoy podría recibir una carta de seguridad nacional que la obligue a empezar a registrar usuarios específicos, y podría estar prohibido revelar que lo está haciendo.
Panamá y Suiza son las jurisdicciones más sólidas porque combinan legislación de privacidad favorable con ausencia de obligaciones automáticas de intercambio de inteligencia. Un proveedor con sede en cualquiera de los dos países, con política de cero registros verificada y servidores solo en RAM, se enfrenta a las mayores barreras posibles para acabar convertido en herramienta de vigilancia.
La salvedad de la estructura corporativa
La jurisdicción de la entidad VPN no siempre coincide con la de la empresa matriz. NordVPN es panameña, pero su matriz Nord Security es lituana (UE). ProtonVPN es suiza y su matriz Proton AG también lo es, una estructura más limpia.
Al evaluar la jurisdicción, conviene rastrear toda la cadena corporativa. La constitución del producto VPN importa, pero también dónde están los empleados, los servidores y la sede de la matriz.
¿Quieres comparar todos los VPN uno al lado del otro? Consulta nuestra tabla comparativa completa con puntuaciones en 18 criterios.
Panamá y Suiza son las mejores jurisdicciones para la privacidad VPN en 2026. NordVPN (Panamá) y ProtonVPN (Suiza) se benefician de los marcos legales más sólidos, fuera de todas las grandes alianzas de inteligencia y sin obligaciones de retención de datos. Evita las VPN con sede en EE. UU., Reino Unido o Australia si la jurisdicción es tu prioridad. Para la mayoría de usuarios, una buena auditoría de cero registros importa más en el día a día que la jurisdicción, pero esta última determina el perfil de riesgo a largo plazo.
Las jurisdicciones, ordenadas por niveles prácticos de compra
Simplificando la ley en niveles de compra: el nivel fuerte combina ausencia de retención de datos con no pertenencia a ninguna alianza, y sus ejemplos son Panamá (NordVPN), las Islas Vírgenes Británicas (ExpressVPN) y Suiza (Proton, con la excepción legal específica para VPN que la convierte quizás en la bandera individual más sólida). El nivel intermedio cubre democracias de la UE y de los Catorce Ojos (Mullvad en Suecia, Surfshark en Países Bajos, CyberGhost en Rumanía), donde la ley actual funciona razonablemente bien y la de mañana es la incógnita. El nivel débil son los núcleos de los Cinco Ojos (EE. UU., Reino Unido, Canadá, Australia), donde el entramado de alianzas y herramientas legales es más profundo; el historial judicial de PIA muestra que la arquitectura puede compensar, y el caso de IPVanish en 2016 explica por qué ese historial importa tanto.
El nivel pesa más en los márgenes del problema: el usuario corriente casi nunca nota la jurisdicción, mientras que a quien lo persiguen no le queda otra cosa que notarla. Valora el nivel según tu propia situación real.
Cómo interactúa la jurisdicción con todo lo demás
Las banderas no operan solas, se multiplican junto a la arquitectura y la verificación. Jurisdicción fuerte sin auditorías es una promesa en un buen barrio; auditorías con jurisdicción débil (el caso de PIA) pueden seguir produciendo peticiones vacías; las flotas solo en RAM hacen que cualquier incautación en cualquier jurisdicción resulte poco interesante; y las cuentas anónimas (Mullvad) reducen lo que cualquier petición legal podría siquiera preguntar. Estas combinaciones explican nuestra tabla mejor que cualquier columna aislada: NordVPN y Proton lideran porque las cuatro capas se suman, no porque Panamá o Berna por sí solos obren magia.
La heurística que sobrevive a todo el matiz legal: prioriza el nivel fuerte cuando la privacidad es el motivo de compra, acepta el nivel intermedio cuando otras puntuaciones lo justifican, y trata el nivel débil como algo que necesita pruebas extraordinarias, algo que exactamente un proveedor de ese grupo ha aportado.
Las preguntas que ponen a prueba cualquier bandera
Tres preguntas revelan más que cualquier mapa de marketing. ¿Se ha puesto a prueba la ley de esa jurisdicción contra el proveedor (casos judiciales, órdenes, incautaciones con resultados documentados)? La singularidad suiza de Proton, las citaciones estadounidenses de PIA y la incautación de ExpressVPN en Turquía responden con pruebas; la mayoría de banderas responden con silencio. ¿Podría el proveedor trasladarse si la ley cambiara (y lo ha dicho así públicamente)? Los compromisos de reubicación declarados importan precisamente porque las leyes cambian. ¿Y muestra el informe de transparencia de la empresa solicitudes que llegan y fracasan? Un informe que enumera peticiones respondidas con nada convierte la teoría de jurisdicción en práctica comprobable.
Pregunta esas tres cosas a cualquier proveedor y el mapa de marketing se convierte en un cuadro de riesgo real, que es exactamente la habilidad que este artículo busca transmitir.
(La jurisdicción es una de las cinco capas de confianza que puntuamos en nuestra comparativa; léela junto a auditorías, arquitectura, propiedad e historial de incidentes, y ninguna columna aislada, esta incluida, debería cargar con toda la decisión.)
El panorama sigue evolucionando: el marco de retención pendiente en la UE podría redibujar el nivel intermedio en pocos años, que es exactamente el motivo por el que este artículo enlaza a nuestra cobertura legislativa en curso en lugar de fingir que el mapa está cerrado. Revisa el nivel y después revisa las noticias.
Sigue leyendo: Cinco Ojos, Nueve Ojos, Catorce Ojos explicado y Mejor VPN para pago anónimo en 2026.