Quels pays obligent les VPN à bloquer des sites ? Le registre complet, décision par décision

En dix jours de septembre 2026, le Congrès américain a reçu deux projets de loi qui ordonnent tous deux aux entreprises de l’internet de bloquer les sites pirates, et qui ne divergent que sur une seule catégorie d’entreprise. L’American Copyright Protection Act, déposé le 14 septembre, désigne les réseaux privés virtuels comme agents de blocage. Le DEFEND IP Act, déposé le 24 septembre, les exclut en toutes lettres. Quel que soit le choix du Congrès, il tranchera entre deux modèles qui existent déjà : en Europe, juges et régulateurs de trois pays exactement ont fait entrer les fournisseurs de VPN dans la chaîne de blocage, et partout ailleurs l’obligation s’arrête un étage plus bas.

Cette page est le registre. Chaque instrument que nous avons pu vérifier qui impose, ou imposerait, à un fournisseur de VPN une obligation de bloquer des sites : pays par pays, daté, avec le fondement juridique, les sociétés visées, et l’état de chaque contentieux. Il est mis à jour à mesure que les décisions tombent.

Une définition avant le tableau, parce que la distinction porte tout le sujet : une injonction de blocage adressée à un VPN ordonne à une entreprise de filtrer des destinations ; elle ne crée aucune infraction pour la personne qui utilise le VPN, et aucune décision ni aucun texte de ce registre ne sanctionne l’usage du VPN en lui-même.

Quels pays ont ordonné à des fournisseurs de VPN de bloquer des sites ?

Trois lignes « oui » dans tout le tableau, et même ces trois-là ne sont pas arrivées de la même façon : la France par décisions contradictoires répétées, l’Espagne par une mesure conservatoire accordée sans entendre les fournisseurs, l’Italie par voie réglementaire sans qu’aucune décision visant un VPN nommé ne figure encore au dossier public. La suite de cette page reprend les lignes une à une.

Qu'ont ordonné les tribunaux français aux VPN, et sur quel fondement ?

La France est le dossier le plus épais, et celui que nous suivons depuis la première décision. L’article L.333-10 du Code du sport permet aux ayants droit de demander au tribunal judiciaire de Paris d’ordonner « toute mesure » à l’encontre de « toute personne » en mesure de contribuer à remédier au piratage du sport en direct. En mai 2025, le tribunal a pris cette formule au pied de la lettre et ordonné à cinq fournisseurs de VPN, NordVPN, CyberGhost, Surfshark, ExpressVPN et Proton VPN, de bloquer 203 domaines pour Canal+ et la LFP. En juillet 2025, il a rendu de nouvelles décisions et refusé de renvoyer la question à la Cour de justice de l’UE. En mars 2026, le modèle s’était élargi au-delà des FAI et des VPN jusqu’aux résolveurs DNS et aux services CDN en une seule série de décisions beIN.

Les décisions de la saison en cours sont arrivées en deux vagues de juillet. Les 8 et 9 juillet 2026, la LFP a obtenu ses jugements 2026/27, un ensemble qui atteint collectivement FAI, fournisseurs de VPN, résolveurs DNS et moteurs de recherche, même si la décision FAI de tête (n° 26/07709) ne vise elle-même que neuf fournisseurs d’accès. Le 17 juillet sont tombées quatorze décisions pour Canal+ : sept couvrant la Ligue des champions avec 26 domaines et sept couvrant la Premier League avec 47, courant jusqu’à fin mai et début juin 2027, et visant cette fois nommément Proton VPN, CyberGhost et ExpressVPN parmi les défendeurs. Quelques jours plus tard, le 21 juillet, le législateur a adopté une loi sur le sport dont l’article 10 réécrit le L.333-10 autour du blocage automatisé en temps réel : de nouveaux domaines transmis aux intermédiaires pendant la diffusion elle-même, l’ARCOM contrôlant après coup au lieu d’approuver avant.

La France tient aussi un second registre de blocage, entièrement distinct, pour les sites pour adultes qui ignorent la vérification de l’âge, et la mécanique se ressemble. Nous tenons un registre daté dédié au blocage des sites en France, ce qui permet au présent registre de garder des lignes françaises compactes.

Que s'est-il passé en Espagne entre LaLiga, NordVPN et Proton VPN ?

L’entrée espagnole tient en un tribunal, un demandeur et un détail de procédure qui a attiré plus de critiques que le blocage lui-même. En février 2026, le tribunal de commerce n° 1 de Cordoue a accordé à LaLiga et à la branche audiovisuelle de Telefonica des mesures conservatoires ordonnant à NordVPN et Proton VPN de bloquer 16 sites, et il l’a fait inaudita parte, sans entendre d’abord les fournisseurs. La décision s’ajoutait au blocage par IP que LaLiga menait déjà via les FAI espagnols, cette campagne qui a fait des week-ends de football espagnols un cas d’école de dommages collatéraux, que nous avons couverte dans notre référence sur l’Espagne.

La suite a tourné dans l’autre sens. Le 19 mai 2026, le même tribunal a rejeté la demande d’astreintes de LaLiga contre NordVPN, refusant de sanctionner le fournisseur tant que les mesures sont contestées. L’injonction de blocage demeure ; la tentative de rendre la non-exécution coûteuse a échoué. Pour mesurer ce qui l’entoure : l’étude de mesure d’OONI sur les cinq premiers mois de 2026 a compté 554 507 domaines, soit 5,8 % de tout ce qu’elle a testé, pris dans les blocages d’IP de LaLiga, parce que bloquer une adresse IP partagée fait tomber tous les sites qui se trouvent derrière.

Le Piracy Shield italien s'applique-t-il aux VPN ?

Sur le papier, pleinement. L’Italie est le seul pays à avoir placé les fournisseurs de VPN sous une obligation réglementaire permanente plutôt que sous des décisions au cas par cas : la plateforme Piracy Shield de l’AGCOM transmet les signalements des ayants droit aux intermédiaires enregistrés, qui doivent bloquer sous 30 minutes, et un amendement de février 2025 a étendu l’obligation d’enregistrement aux fournisseurs de VPN et de DNS publics. Une conséquence est arrivée avant toute mesure d’exécution contre un VPN nommé : AirVPN a cessé d’accepter les résidents italiens, jugeant ces obligations incompatibles avec son service.

Le test d’exécution, c’est Cloudflare. L’AGCOM lui a infligé une amende de 14 247 698,56 EUR, décidée le 29 décembre 2025 et annoncée le 8 janvier 2026, pour ne pas avoir raccordé son résolveur public 1.1.1.1 au Piracy Shield. Cloudflare a fait appel devant le tribunal administratif régional du Latium en mars, et aucune décision n’avait été publiée à la date de cette mise à jour. L’issue de cet appel dira à chaque fournisseur de VPN enregistré en Italie ce que ces règles valent réellement.

L’Italie fournit aussi les meilleures données d’erreur de ce registre. Une équipe de l’Université de Twente, dans une étude évaluée par les pairs et présentée à IEEE CNSM 2025, a vérifié à la main au moins 510 sites licites, sans rapport avec le streaming, bloqués par le Piracy Shield sur 7 114 domaines touchés, avec des blocages injustifiés durant environ 320 jours en moyenne, et les auteurs présentent ces chiffres comme une borne basse prudente.

Une loi américaine ferait-elle bloquer des sites aux VPN ? ACPA et DEFEND IP, comparés

C’est ici que les deux modèles se rencontrent. Les deux projets sont devant les commissions judiciaires de la Chambre et du Sénat, aucun n’a d’audition programmée, et ils ont été écrits par des gens qui ont manifestement lu la même actualité européenne et en ont tiré des conclusions opposées. La comparaison, d’après le texte des projets :

Deux détails des petites lignes méritent plus d’attention qu’ils n’en ont reçu. D’abord, une correction d’une affirmation largement répétée : l’ACPA ne contient aucune règle de « blocage sous 24 heures » pour les diffusions en direct. Les 24 heures qui figurent dans le texte appartiennent à la définition du time-sensitive event ; ce que le projet accorde réellement, c’est au juge la latitude de comprimer les délais. Ensuite, une disparition que personne ne semble avoir signalée : le prédécesseur du DEFEND IP Act, le FADPA, interdisait toute injonction qui « prevent a user … from using a virtual private network ». Le DEFEND IP supprime cette clause. Il définit encore le terme, puis ne l’emploie plus nulle part hors de l’exclusion. Les fournisseurs de VPN sortent de sa chaîne de blocage ; la protection explicite des utilisateurs de VPN est partie avec la réécriture.

Est-il toujours légal d'utiliser un VPN dans ces pays ?

Oui, dans chaque pays de ce registre. Le point mérite d’être énoncé mécaniquement : les décisions françaises lient cinq sociétés, la décision espagnole en lie deux, les règles italiennes lient les intermédiaires enregistrés, et les deux projets américains définissent des obligations pour des fournisseurs de services au-dessus d’un seuil de taille. La personne qui se connecte via un VPN n’apparaît dans aucun de ces textes comme débitrice d’une obligation.

Le seul pays qui s’en est approché est le Danemark, et la tentative est morte deux fois. Un avant-projet de décembre 2025 de son paquet antipiratage aurait sanctionné d’une amende les utilisateurs accédant via un VPN à des contenus bloqués ou soumis à des restrictions géographiques ; dans les deux semaines suivant l’ouverture de la consultation, le ministre de la culture Jakob Engel-Schmidt a annoncé le retrait de la section VPN, puis le projet est tombé entièrement quand le Danemark a convoqué ses élections de mars 2026 avant tout dépôt. À retenir s’il revient : la clause opérante de l’avant-projet était rédigée de façon technologiquement neutre, autour de toute « solution technique » utilisée pour obtenir un accès non autorisé, si bien qu’un projet ressuscité n’aurait pas besoin des lettres VPN pour en couvrir un. Là où l’usage du VPN est lui-même restreint dans le monde aujourd’hui, l’instrument est une loi de censure, pas une loi de droit d’auteur, et notre guide pays par pays de la légalité des VPN cartographie ce territoire distinct.

Une injonction de blocage oblige-t-elle un VPN à journaliser ses utilisateurs ?

Non, et confondre les deux n’aide personne. Une injonction de blocage est une obligation de filtrage : empêcher les connexions vers les destinations de cette liste. Une obligation de journalisation serait une obligation de surveillance : enregistrer ce que font les utilisateurs. Rien dans les décisions françaises, les mesures espagnoles, les règles italiennes ni dans aucun des deux projets américains ne demande à un fournisseur de tracer quel utilisateur a tenté d’atteindre quel site, et l’ACPA va jusqu’à interdire aux tribunaux de prescrire une mesure technique précise, laissant la méthode au fournisseur. Les critiques honnêtes des injonctions de blocage portent sur l’excès de périmètre et sur l’erreur, les 510 sites italiens licites et le demi-million de domaines espagnols ci-dessus, pas sur une surveillance secrète.

Que surveiller ensuite ?

Quatre procédures redessineront ce tableau. La décision du TAR du Latium sur l’amende de Cloudflare dira si le modèle réglementaire italien survit au contact d’un défendeur qui a les moyens. Les appels français, dont celui de NordVPN contre la décision LFP de décembre 2025, testent si « toute mesure contre toute personne » a un plafond. Tout examen en commission de l’ACPA ou du DEFEND IP montrera quel modèle américain a des soutiens, et le sort réservé à la définition du VPN sera le révélateur ; la Chambre étant absente jusqu’à ses votes du 9 novembre, rien n’y bouge avant la mi-novembre. Et chaque nouvelle saison de football européenne apporte désormais, avec régularité, une série de décisions plus large que la précédente.

Nous mettons ce registre à jour à chaque échéance. Pour la question plus large de savoir où les VPN eux-mêmes sont légaux, encadrés ou restreints, commencez par le guide de légalité ; pour ce qui fait qu’un VPN vaut la peine d’être défendu, notre tour d’horizon de la légalité des VPN et de leurs usages légitimes couvre le terrain.