La Suisse est-elle un paradis de la confidentialité pour les VPN ? Ce que le droit suisse exige vraiment, 2016-2026
La version précédente de cette page louait la culture suisse de la confidentialité en termes généraux et ne citait rien. Cette version la remplace par ce que les gens cherchent réellement, « lois suisses VPN » et « la Suisse est-elle un paradis de la confidentialité », avec des réponses tirées des lois et des arrêts. La réponse est plus intéressante que la version marketing : la Suisse est à la fois le pays dont les tribunaux ont protégé Threema et Proton des obligations de surveillance télécom, et le pays dont le gouvernement a proposé, en 2025, l'un des régimes d'identification en ligne les plus larges d'Europe, avant de devoir le suspendre.
Chaque affirmation ci-dessous porte sa source, et la chronologie court jusqu'à mai 2026.
Que demande réellement le droit suisse, par type de fournisseur ?
Le droit suisse de la surveillance, la LSCPT et son ordonnance d'application l'OSCPT, trie les fournisseurs en catégories, et tout dépend de la catégorie dans laquelle un service tombe. C'est le fait le plus mal compris de la confidentialité suisse, et c'est l'enjeu commun des procès de 2020-2021 et de la bataille de révision de 2025.
| Question | La règle en Suisse | Loi ou décision | Source |
|---|---|---|---|
| Utiliser un VPN est-il légal ? | Oui. Aucun texte ne le restreint, pour les résidents comme pour les visiteurs, et aucune obligation ne pèse sur l'utilisateur. | Aucun ne s'applique à l'utilisateur. | Wikipedia |
| Que doivent conserver les opérateurs télécoms ? | Les métadonnées de communication, qui a contacté qui, quand et d'où, pendant six mois, à disposition des autorités sur mandat. | LSCPT, révisée le 18 mars 2016, en vigueur le 1er mars 2018 | EDRi, netzpolitik.org |
| Les messageries comptent-elles comme télécoms ? | Non. Le Tribunal fédéral a jugé en avril 2021 que Threema n'est qu'un fournisseur de services de communication dérivés, aux obligations de coopération minimales et sans conservation de type télécom. | Tribunal fédéral, 2C_544/2020, 29 avril 2021 | MLL News, CORE Attorneys |
| Les services de courriel comptent-ils comme télécoms ? | Non. Le Tribunal administratif fédéral a admis le recours de Proton par arrêt du 13 octobre 2021 : les fournisseurs de courriel ne sont pas des fournisseurs télécoms et échappent aux obligations de conservation. | Tribunal administratif fédéral, A-5373/2020 | SWI swissinfo, Steiger Legal |
| Les fournisseurs de VPN ont-ils des obligations de conservation ? | Pas en droit positif. L'arrêt Proton a expressément laissé ouverte la classification des services VPN, et aucune décision ne les a placés dans la catégorie télécom porteuse d'obligations de conservation. | Catégories de la LSCPT ; Tribunal administratif fédéral, A-5373/2020 | Steiger Legal |
| Une société suisse peut-elle être contrainte d'agir sur un compte précis ? | Oui. Les ordres ciblés dans les affaires pénales lient les sociétés suisses, comme l'a montré l'affaire Proton Mail de 2021, où l'adresse IP d'un compte de militant a été enregistrée sur ordre contraignant. | Procédure suisse d'entraide pénale | TechCrunch, Proton |
| La Suisse bloque-t-elle des sites web ? | Deux catégories. Les jeux d'argent sans licence : listes noires de la CFMJ et de Gespa, bloquées au niveau DNS par les fournisseurs suisses, la seule liste des casinos comptant environ 3 567 domaines en août 2026. Et les contenus d'abus sexuels sur mineurs listés par la police fédérale. | Loi sur les jeux d'argent, en vigueur le 1er janvier 2019 ; loi révisée sur les télécommunications | Gespa, SiGMA, fedpol |
| Le blocage des sites de piratage est-il exigé ? | Non. La révision du droit d'auteur de 2020 a délibérément écarté le blocage de sites, et le téléchargement pour usage privé, sauf logiciels, reste légal. | Révision de la loi sur le droit d'auteur, en vigueur le 1er avril 2020 | SWI swissinfo |
| Le renseignement peut-il scanner le trafic ? | Oui, dans des limites : la loi sur le renseignement approuvée par 65,5 % des votants en septembre 2016 autorise l'exploration du réseau câblé pour le trafic transfrontalier, avec des autorisations judiciaires et ministérielles. | Loi sur le renseignement, référendum du 25 septembre 2016 | SWI swissinfo |
| La révision 2025 est-elle en vigueur ? | Non. Le projet qui étendrait l'identification aux services de plus de 5 000 utilisateurs, et la conservation de six mois aux plus grands, a été suspendu en février 2026 pour une évaluation externe des risques et une seconde consultation. | Projet de révision de l'OSCPT, consultation de janvier à mai 2025 | Digitec, TechRadar |
La forme du tableau est la réponse. Le droit suisse oblige les opérateurs télécoms à conserver les métadonnées de communication pendant six mois, mais il n'impose aujourd'hui aux fournisseurs de VPN aucune obligation de conservation ni d'identification, et ses tribunaux ont refusé deux fois de laisser le service de surveillance élargir la catégorie télécom par simple décision. La Suisse n'est pas un pays sans loi de surveillance ; c'est un pays où la loi de surveillance a des bords, et où déplacer un bord exige de gagner un débat public. La saga de révision 2025-2026 de la dernière ligne est exactement ce débat, et son issue décidera si la première phrase de ce paragraphe reste vraie.
Comment la Suisse en est-elle arrivée là : la chronologie 2016-2026
Le dossier ci-dessous rend concrète la réputation de confidentialité de la Suisse, et montre où elle a été mise à l'épreuve.
| Date | Ce qui s'est passé | Source |
|---|---|---|
| 18 mars 2016 | Le Parlement adopte la loi de surveillance révisée LSCPT, étendant la conservation des métadonnées et la coopération de surveillance. Une tentative de référendum échoue de peu à réunir les 50 000 signatures. | netzpolitik.org |
| 25 septembre 2016 | Les votants approuvent la loi sur le renseignement à 65,5 %, donnant au service de renseignement des pouvoirs d'exploration du réseau câblé sur le trafic transfrontalier, avec des garde-fous d'autorisation. | SWI swissinfo |
| 1er mars 2018 | La LSCPT révisée et son ordonnance OSCPT entrent en vigueur : les opérateurs télécoms doivent conserver les métadonnées de communication six mois. | EDRi |
| 10 juin 2018 | Les votants approuvent la loi sur les jeux d'argent à 72,9 %, réservant les jeux de casino en ligne aux concessionnaires suisses et imposant le blocage des sites de jeux étrangers, malgré les objections voyant dans le blocage DNS un précédent de censure. | SWI swissinfo |
| 1er janvier 2019 | La loi sur les jeux d'argent prend effet. Le premier dispositif national suisse de blocage de sites web démarre. | CFMJ |
| 3 septembre 2019 | Les premières listes noires sont publiées, et elles ne visent pas des inconnus : bet365, Unibet et d'autres grands opérateurs internationaux figurent parmi les domaines bloqués. | Casino News Daily |
| 1er avril 2020 | La loi révisée sur le droit d'auteur entre en vigueur. Le blocage de sites, envisagé, est abandonné ; le téléchargement privé reste légal ; les nouvelles obligations visent les hébergeurs suisses dont le modèle d'affaires est le piratage. | SWI swissinfo |
| 19 mai 2020 | Le Tribunal administratif fédéral annule la décision du service de surveillance reclassant Threema en fournisseur télécom. | Laux Lawyers |
| 29 avril 2021 | Le Tribunal fédéral le confirme : Threema, et les services par contournement en général, sont des fournisseurs de services de communication dérivés, hors des obligations de conservation télécom. | MLL News |
| 6 septembre 2021 | Proton confirme que, sur ordre juridiquement contraignant dans une affaire française relayée par les autorités suisses, il a enregistré puis remis l'adresse IP du compte de courriel d'un militant climatique. L'affaire rend visible au monde entier la limite des ordres ciblés dans la confidentialité suisse. | TechCrunch, Proton |
| 13 octobre 2021 | Proton gagne son recours, annoncé le 22 octobre : le Tribunal administratif fédéral juge que les services de courriel ne sont pas des fournisseurs télécoms et ne peuvent être pressés dans les obligations télécoms de conservation et de surveillance. Le même arrêt laisse expressément ouverte la classification des services VPN. | Steiger Legal, The Register |
| 29 janvier 2025 | Le département de justice ouvre la consultation sur une révision de l'OSCPT : les services en ligne de plus de 5 000 utilisateurs devraient identifier leurs clients, par passeport, permis de conduire ou numéro de téléphone, et tenir des relevés d'adresses IP, avec conservation complète des métadonnées de six mois pour les services dépassant un million d'utilisateurs ou 100 millions de francs de chiffre d'affaires. Les catégories que les tribunaux avaient protégées seraient réintégrées par ordonnance. | ISOC Suisse, HÄRTING |
| 6 mai 2025 | La consultation se clôt sur des réponses largement hostiles de tous les grands partis, de l'industrie et de la société civile. | Digitec |
| Mai 2025 | Le patron de Proton déclare que l'entreprise serait moins confidentielle que Google sous ce projet et menace de quitter la Suisse ; le fournisseur de VPN NymVPN dit de même. | TechRadar |
| Juillet-août 2025 | Proton passe aux actes, plaçant les serveurs de son nouvel assistant IA en Allemagne et projetant une infrastructure en Norvège, au motif de l'insécurité juridique ; une pétition contre la révision réunit plus de 15 000 signatures. | heise online |
| 11 février 2026 | Le Conseil fédéral prend acte des résultats de la consultation et suspend le projet : une évaluation externe d'impact des risques est commandée et un texte remanié passera par une seconde consultation avant toute adoption. La révision n'est pas retirée. | Digitec, TechRadar |
| 26 mai 2026 | Le verdict économique tombe : une évaluation d'impact réglementaire de Swiss Economics, commandée par la fondation technologique FONGIT, projette des pertes de revenus annuelles d'environ 10 milliards de francs d'ici 2035 pour le secteur numérique suisse si la révision aboutit telle quelle. | Digitale Gesellschaft, Swiss Economics |
Dix-sept lignes, et trois d'entre elles tranchent le débat. D'abord, chaque tentative d'élargir la surveillance suisse par décision administrative plutôt que par la loi a perdu devant les tribunaux : le service de surveillance a tenté de reclasser Threema puis Proton et a été désavoué les deux fois, ce qui explique précisément pourquoi l'offensive de 2025 est passée par une révision d'ordonnance. Ensuite, l'étage référendaire coupe dans les deux sens : le même électorat a approuvé l'exploration du câble en 2016 et le blocage des sites de jeux en 2018 ; la confidentialité suisse est un compromis négocié, pas un absolu. Enfin, le système s'est corrigé en février 2026 sous une pression qui comprenait une entreprise phare déménageant physiquement des serveurs et, en mai, une étude commandée chiffrant le projet à dix chiffres par an ; cette réactivité, plus qu'aucune règle isolée, est la substance derrière l'expression paradis de la confidentialité.
Suisse ou Panama : la juridiction d'un VPN compte-t-elle ?
La comparaison que les gens cherchent mérite une réponse franche. L'attrait de Panama est l'absence de loi : pas d'obligation de conservation, pas de dispositif de blocage, pas de loi de surveillance avec des dents. L'attrait de la Suisse est la présence de la loi : des tribunaux qui ont dit non au service de surveillance deux fois, un frein référendaire aux extensions, et une loi de protection des données en vigueur depuis 1992 avec des tribunaux qui l'appliquent. La faiblesse de chacune est la force de l'autre. Une garantie panaméenne repose sur le fait qu'il n'y a rien à respecter aujourd'hui ; une garantie suisse repose sur des institutions, mais la conservation des métadonnées télécoms suisses est réelle, les ordres suisses ciblés atteignent les sociétés suisses, comme l'a prouvé l'affaire Proton Mail de 2021, et le projet de 2025 a montré à quelle vitesse le périmètre peut être redessiné. Où les obligations d'un fournisseur mordent réellement est documenté pays par pays dans notre tableau des lois de conservation dans 16 juridictions, et la conclusion pratique est banale mais vraie : ce qu'un fournisseur conserve, et ce qu'on peut le contraindre à conserver demain, compte plus que le drapeau sur sa page d'accueil.
Qu'est-ce que cela change pour utiliser un VPN en Suisse ?
Pour l'utilisateur, la Suisse est l'un des pays les plus simples du monde : rien n'est bloqué hormis les jeux d'argent sans licence et la liste de la police fédérale, utiliser un VPN est légal, et les métadonnées que votre opérateur télécom doit garder six mois se réduisent, avec un VPN, au simple fait que vous vous êtes connecté à un serveur VPN. Pour les résidents suisses à l'étranger, le trafic circule dans l'autre sens, vers la banque suisse, les flux de la SSR et les services locaux via un point de sortie suisse. Le VPN dispose d'emplacements de serveurs en Suisse parmi des serveurs dans plus de 100 emplacements, autorise 10 connexions simultanées et s'accompagne d'une garantie de remboursement de 30 jours ; la page VPN pour la Suisse couvre les deux directions. Pour la façon dont les voisins de la Suisse traitent les mêmes questions d'une main bien plus lourde, voyez notre référence sur la légalité et Piracy Shield en Italie et le registre du blocage de sites web en France.
Qu'est-ce qui change ensuite ?
- La seconde consultation OSCPT. La pause de février 2026 promettait une évaluation externe des risques et un texte remanié sans calendrier contraignant ; l'évaluation est arrivée en mai avec son avertissement à 10 milliards de francs, et aucune seconde consultation ne s'était ouverte fin septembre 2026. La révision est en sommeil, pas morte, et le texte remanié est le seul dossier qui pourrait changer la réponse suisse sur les obligations des fournisseurs de VPN.
- L'empreinte de Proton. Que les déménagements d'infrastructure vers l'Allemagne et la Norvège se poursuivent ou s'inversent est le vote du marché, en direct, sur l'issue.
- Les listes noires des jeux d'argent. Environ 3 567 domaines sur la seule liste des casinos en août 2026, en hausse, avec une révision de la loi sur les jeux elle-même en discussion. À revérifier à chaque mise à jour.
- Le chiffrement de bout en bout. Les notes explicatives du projet de 2025 exemptaient le contenu des messages chiffrés de bout en bout de toute obligation de déchiffrement. À surveiller : si le texte remanié garde cette ligne.
À propos de l'auteur
Rédacteur du blog Le VPN
Alan Summers écrit et édite le blog Le VPN depuis plusieurs années, en couvrant la vie privée en ligne, la cybersécurité et les meilleures façons de profiter pleinement d'un VPN. Il suit de près l'actualité qui touche à la liberté sur Internet et la transforme en conseils pratiques pour les lecteurs de Le VPN.
Articles par Alan Summers →
