Inicio → Jurisdicción y registros
De los cinco criterios que hacen que dos comparativas de VPN lleguen a conclusiones distintas — repasados en la vista general sobre por qué cada ranking de la mejor VPN da un ganador distinto — la jurisdicción es el que menos aparece en las tablas comparativas y el que más pesa cuando algo sale mal. No es un tecnicismo legal secundario: es la base sobre la que descansa cualquier otra promesa que haga el proveedor.
Una política de cero registros (no-logs) es una declaración que el proveedor hace sobre sí mismo, publicada en su propio sitio web. Es un buen punto de partida, pero no es una garantía verificable por sí sola: cualquier empresa puede escribir esa frase, la diferencia está en si existe algo detrás que la respalde. Lo que sí es verificable es si un tercero independiente — una firma de auditoría reconocida, no un boletín de prensa del propio proveedor — revisó los sistemas reales y confirmó que no queda información identificable almacenada. Una auditoría de una sola vez, además, vale menos que auditorías repetidas a lo largo del tiempo, porque la infraestructura y las políticas de una empresa cambian.
Cada proveedor está constituido legalmente en algún país, y ese país tiene sus propias leyes sobre retención de datos, sobre qué puede exigir un tribunal o una agencia de gobierno, y sobre qué tan público es ese proceso cuando ocurre. Un país con leyes de retención de datos obligatoria puede exigir a una empresa que registre cierta información aunque su política declarada diga lo contrario — en ese escenario, la ley local tiene más peso que la promesa de marketing. Esto no significa que exista un país "perfecto": significa que la jurisdicción es un dato que hay que revisar activamente, no asumir.
Existen acuerdos entre gobiernos para compartir información de inteligencia entre sí, conocidos informalmente por el número de países que los integran. Que un proveedor esté constituido en un país miembro de una de estas alianzas no lo descalifica automáticamente — muchos proveedores serios operan desde esos países — pero sí es un factor que cambia el análisis de riesgo según qué tan sensible sea el uso que se le vaya a dar al servicio. Ignorar este dato porque "suena demasiado técnico" es exactamente el tipo de atajo que separa una comparativa superficial de una que realmente ayuda a decidir.
Algunos proveedores publican lo que se conoce como un warrant canary: una declaración periódica que confirma que la empresa no ha recibido ninguna orden legal secreta hasta la fecha de publicación. Si esa declaración deja de actualizarse o desaparece del sitio, se interpreta como una señal de alerta. Es una herramienta interesante, pero tiene un límite claro: depende de que el proveedor la mantenga de forma honesta, y no todos los marcos legales permiten siquiera este tipo de aviso indirecto. Sirve como una señal adicional, no como una prueba definitiva. Quien decide dar peso a este criterio debería revisar la fecha de la última actualización del canario, no solo su existencia — un canario que no se actualiza hace meses equivale, en la práctica, a no tener ninguno.
Una política de cero registros bien implementada no significa que el proveedor pueda ignorar una orden judicial válida emitida en su propio país — significa que, cuando esa orden llega, no hay nada útil que entregar porque nunca se guardó en primer lugar. Esa es la diferencia real entre un proveedor que puede decir honestamente "no tenemos esa información" y uno que solo puede decir "preferiríamos no dar esa información". La primera postura depende de una arquitectura técnica verificada por auditoría; la segunda depende únicamente de la buena voluntad de la empresa, algo que ninguna auditoría puede confirmar. Esta distinción explica también por qué algunos proveedores serios reciben, de vez en cuando, alguna solicitud legal documentada públicamente: no es una señal de alarma en sí misma, es la prueba de que el sistema de verificación funciona como se espera cuando se pone a prueba.
Aun con la política de registros de navegación más estricta posible, casi todo proveedor conserva algún dato asociado a la cuenta: un correo electrónico de contacto, un método de pago, en algunos casos la dirección IP usada al momento de crear la cuenta. Esta información también está sujeta a la jurisdicción del proveedor, y es precisamente el motivo por el que algunos proveedores ofrecen métodos de pago más anónimos como opción adicional. Evaluar la jurisdicción solo en función de "si guardan el historial de navegación" deja fuera esta capa adicional de datos, que en la práctica suele ser la que primero se solicita ante un requerimiento legal.
La política de privacidad publicada por el propio proveedor suele ser el primer documento que se ignora por extenso y aburrido, pero contiene señales que ninguna comparativa resume bien. Una redacción vaga sobre "datos de diagnóstico" o "datos técnicos necesarios para el servicio", sin especificar exactamente cuáles, suele esconder más de lo que aparenta. Una política que cambió de redacción varias veces en poco tiempo, visible en versiones archivadas del sitio, también merece una segunda lectura: no es necesariamente mala señal, pero sí amerita entender qué motivó el cambio. Y una empresa que no publica quién realizó la auditoría, limitándose a decir "fuimos auditados" sin nombrar a la firma ni enlazar el reporte, está pidiendo una confianza que no ha ganado con transparencia.
Ninguna de estas preguntas tiene una respuesta que sirva igual para todo el mundo — lo que sí es cierto es que responderlas toma menos de diez minutos de investigación, y cambia radicalmente qué tanto peso darle a este criterio frente a los otros cuatro. Es, además, el único de los cinco criterios que no se puede corregir después: un error de jurisdicción no se soluciona cambiando de plan, solo cambiando de proveedor — lo cual implica perder la configuración ya hecha, gestionar el reembolso del plan anterior, y volver a revisar este mismo criterio desde cero en otro candidato.