Legisladores demócratas de la Cámara y el Senado enviaron en marzo de 2026 una carta a la directora de Inteligencia Nacional (DNI), Tulsi Gabbard, planteando una pregunta que la mayoría de usuarios de VPN nunca se han hecho: ¿cambia tu protección legal frente a la vigilancia del gobierno de EE.UU. si enrutas tu tráfico por un VPN comercial? La carta llega antes del plazo del 20 de abril de 2026, fecha límite para que el Congreso renueve la Sección 702 de la ley FISA. Por primera vez, el uso del VPN en sí queda bajo escrutinio legal.
Hoy no ha cambiado nada en tu VPN. No se aprobó ninguna ley, no se prohibió ningún VPN, ningún tribunal dictó sentencia sobre esto. Pero la carta señala que legisladores estadounidenses están examinando una pregunta que llevaba años sin respuesta. Esto es lo que hace realmente la Sección 702, qué pide la carta, y por qué importa incluso si no eres estadounidense, en cuanto tu tráfico pase por infraestructura de EE.UU. o por proveedores de VPN con sede allí.
Qué es la Sección 702 de FISA
FISA son las siglas de Foreign Intelligence Surveillance Act, la ley estadounidense de vigilancia de inteligencia extranjera. La Sección 702, añadida en 2008, permite a agencias de inteligencia como la NSA recopilar comunicaciones de personas que no son ciudadanos de EE.UU. y que están fuera del país, sin necesidad de una orden individual para cada objetivo. Es la base legal de programas como PRISM, revelado por Edward Snowden en 2013.
El problema, la razón por la que la renovación de la Sección 702 genera controversia cada pocos años, es que no solo recopila comunicaciones de extranjeros. Cuando un objetivo extranjero habla con un estadounidense, o los datos de un estadounidense quedan atrapados en la red de recopilación, también se capturan. Esto se llama “recopilación incidental” y lleva quince años en el centro de un enfrentamiento entre defensores de las libertades civiles y agencias de inteligencia. Los estadounidenses capturados de esta forma no tienen las mismas protecciones de orden judicial que en una vigilancia doméstica ordinaria.
La Sección 702 necesita reautorización periódica del Congreso. Eso explica el plazo del 20 de abril de 2026, y por qué los legisladores están haciendo preguntas concretas sobre el alcance de la ley justo ahora y no en cualquier otro momento del año.
Qué pregunta realmente la carta a Gabbard
La carta, enviada por legisladores demócratas de ambas cámaras, pide a la oficina de la DNI Tulsi Gabbard que aclare cómo interactúa el uso de un VPN comercial con las protecciones de FISA. Puedes leerla directamente en el sitio del senador Wyden: wyden.senate.gov.
La preocupación de fondo no es que los VPN sean peligrosos o ilegales. Es más concreta y técnica: cuando enrutas tu tráfico por un VPN, sobre todo uno con sede fuera de EE.UU., o uno que podría verse obligado a cooperar con solicitudes de inteligencia, ¿cambia eso la forma en que se clasifican tus comunicaciones bajo la Sección 702? ¿Complica si cuentas como “persona estadounidense” con protección de la Cuarta Enmienda para un dato concreto, o empuja tu tráfico a una zona gris donde esas protecciones se vuelven confusas?
Nadie tiene una respuesta clara. No es que el gobierno haya fallado en contra de los usuarios de VPN. Es que la pregunta, al parecer, nunca se ha resuelto ni aclarado públicamente, y los legisladores detrás de la carta quieren que la oficina de la DNI Gabbard diga, por escrito, cómo tratan sus agencias el tráfico que pasa por un VPN.
Por qué importan aquí la jurisdicción y el enrutamiento del VPN
Esta es una pregunta distinta a la habitual sobre jurisdicción de VPN. La mayoría de las guías de privacidad, incluida nuestra explicación de las alianzas de inteligencia Five Eyes, Nine Eyes y 14 Eyes, se centran en el país donde un proveedor de VPN tiene su sede legal y si ese país puede obligarlo a entregar registros. Eso trata de proteger tus datos frente a una orden legal que reciba tu proveedor.
La pregunta de FISA es distinta. Se trata de cómo el uso de un VPN, cualquiera que sea, podría afectar la propia clasificación que hace el gobierno de tus comunicaciones al recopilar datos de forma masiva bajo la Sección 702, sin importar si tu proveedor concreto recibe o no una solicitud. Cifrar tu tráfico y enrutarlo por servidores en otro país podría, en teoría, cambiar cómo se marca una comunicación, si parece “extranjera” o “doméstica” para un sistema de recopilación, y qué estándar legal se aplica. Los expertos legales llevan años señalando esta ambigüedad sin una respuesta definitiva, y la carta a Gabbard pide en la práctica que la comunidad de inteligencia aclare su postura.
Un proveedor de VPN con sede en EE.UU. también es más alcanzable directamente por una National Security Letter o una orden FISA que uno con sede en Suiza o Panamá, por lo que la jurisdicción sigue siendo un factor adicional relevante. La base suiza de ProtonVPN, con la exigencia de una investigación penal suiza antes de poder exigir datos, o el modelo de cuentas anónimas de Mullvad desde Suecia en mullvad.net, son relevantes precisamente porque quedan fuera del alcance directo del derecho estadounidense. Pero la pregunta que plantea la carta existe con independencia del VPN que uses o de dónde tenga su sede: qué hace la Sección 702 con el tráfico cifrado por VPN, sin más.
Qué significa esto en la práctica, hoy
Para ti no cambia nada ahora mismo. Ningún VPN ha sido restringido, ninguna norma nueva obliga a los proveedores a actuar de forma distinta, y usar un VPN sigue siendo completamente legal en EE.UU. y en cualquier otro sitio. La carta es una solicitud de aclaración enviada a una funcionaria, antes de un plazo legislativo. Es una señal de que se está haciendo una pregunta de forma oficial, no un resultado de política pública.
Lo que sí indica es que el uso de VPN forma ahora parte explícita del debate sobre la Sección 702 en el Congreso, algo que no ocurría tanto en ciclos de renovación anteriores. Si la oficina de la DNI Gabbard responde, o si aparece lenguaje relacionado con VPN en el paquete de renovación o reforma que avance en el Congreso antes del 20 de abril, merece la pena seguirlo. Los defensores de la privacidad han presionado por reformas más estrictas de FISA en ciclos anteriores y en su mayoría han perdido esas batallas, así que no hay garantía de que esta carta cambie algo concreto. Pero es la primera vez que el uso del VPN en sí, y no solo la jurisdicción del proveedor, aparece de forma tan directa en el debate sobre vigilancia.
Si estás pensando en qué VPN confiar mientras tanto, la jurisdicción, las políticas de no-logs auditadas y los informes de transparencia siguen siendo las palancas prácticas que controlas. Nuestra guía sobre warrant canaries de VPN explica cómo los proveedores señalan solicitudes gubernamentales secretas, la herramienta más cercana que existe hoy para seguir este tipo de presión sobre un proveedor concreto.
¿Quieres comparar todos los VPN uno al lado del otro? Consulta nuestra tabla comparativa completa con puntuaciones en 18 criterios.
Qué vigilar antes del 20 de abril
Algunos puntos que merece la pena seguir mientras se acerca el plazo de renovación.
Si la oficina de la DNI Gabbard responde realmente a la carta, y qué dice sobre la clasificación del tráfico VPN bajo la Sección 702.
Si el proyecto de renovación, en la Cámara o el Senado, incluye algún lenguaje específico sobre el uso de VPN o el enrutamiento de tráfico cifrado, algo que no ha ocurrido en ningún texto hasta ahora.
Si organizaciones como la EFF o la ACLU recogen este ángulo concreto del VPN en sus propias campañas de reforma de FISA, ya que históricamente se han centrado más en exigir orden judicial para la recopilación incidental en general.
Nada de esto significa que debas dejar de usar un VPN, y nada sugiere que el uso de un VPN cree por sí mismo un riesgo legal para un usuario normal. La pregunta planteada es sobre cómo trata la ley tus datos, no sobre si puedes usar la herramienta.
Esto es una carta que plantea una pregunta, no una sentencia ni una ley nueva. Hoy no ha cambiado nada en el uso de VPN, y ningún proveedor está señalado por nada. Lo relevante es que legisladores estadounidenses examinan ahora cómo trata la Sección 702 el tráfico cifrado por VPN, antes del plazo de renovación del 20 de abril de 2026, un ángulo que no había recibido tanta atención en ciclos anteriores. Sigue usando un VPN serio, auditado, sin registros, con sede en una jurisdicción favorable. Eso te protege frente a que un proveedor se vea obligado a entregar datos, el riesgo más concreto e inmediato ahora mismo. La pregunta sobre la clasificación FISA es algo que vigilar, no algo que temer.