Les VPN sont-ils légaux en Espagne ? La loi, et les 13 épisodes de blocage qui ont fait naître la question
La version précédente de cette page s'ouvrait sur l'Espagne deuxième pays le plus attaqué au monde, 45 000 cyberattaques par jour et un bond de 2 500 % des inscriptions aux VPN. J'ai cherché la source de ces trois chiffres. Les deux premiers remontent à des communiqués de presse d'éditeurs espagnols de sécurité qui ne donnent aucune méthode. Le troisième est une erreur de lecture : l'entreprise à laquelle on l'attribue, Proton, faisait état d'un pic de 200 % dans son propre billet. Aucun des trois ne figure dans cette version.
La question que les gens apportent sur cette page est plus simple. Les VPN sont-ils légaux en Espagne, et, souvent, en Italie ou en Espagne ? La réponse courte est oui. La réponse longue compte, car l'Espagne est le pays où des blocages visant le piratage du football ont mis hors ligne des centaines de milliers de sites web sans rapport, et où un tribunal vient de demander à deux fournisseurs de VPN d'y prendre part. Voici les règles, avec leurs textes, et tous les épisodes de blocage que j'ai pu documenter depuis 2017, chacun avec un verdict : un VPN l'aurait-il contourné ?
Les VPN sont-ils légaux en Espagne ?
Oui. Un VPN est légal à vendre et légal à utiliser en Espagne, et aucune des lois espagnoles que j'ai pu consulter ne mentionne les VPN. J'ai cherché dans la loi sur la société de l'information, la loi de 2022 sur les télécommunications, la loi sur la conservation des données, la loi sur le droit d'auteur, la loi sur les jeux d'argent et l'article 270 du Code pénal. Il n'existe aucune phrase officielle qui dise « les VPN sont légaux », parce que personne n'a eu besoin de l'écrire. Ce qui s'en approche le plus vient de l'institut public de cybersécurité, INCIBE, dont la première recommandation pour les Wi-Fi publics est d'en utiliser un.
| Question | La règle en Espagne | Texte ou décision | Source |
|---|---|---|---|
| Utiliser un VPN est-il légal ? | Oui. Aucune loi ne le restreint, pour les résidents comme pour les visiteurs. | Aucun. INCIBE recommande les VPN aux citoyens. | INCIBE |
| Les fournisseurs de VPN ont-ils besoin d'une licence ou d'un enregistrement ? | Il n'existe aucun régime propre aux VPN. | La loi 11/2022 sur les télécommunications encadre les opérateurs de réseaux et ne mentionne pas les services VPN. | BOE |
| Qui doit conserver des données, et combien de temps ? | Les opérateurs de services et de réseaux publics de communications électroniques, pendant 12 mois. La remise exige un juge. Le contenu est exclu. Les services VPN ne sont pas nommés. | Loi 25/2007, articles 1, 2, 5 et 6. Toujours en vigueur, modifiée pour la dernière fois en 2014, malgré une série d'arrêts de la justice de l'UE contre la conservation généralisée depuis 2014. | BOE |
| Qui peut bloquer un site en général ? | L'autorité compétente en matière d'ordre public, de santé, de mineurs ou de propriété intellectuelle. Là où la Constitution protège l'expression, seulement un juge. | Loi 34/2002 sur les services de la société de l'information, articles 8 et 11 | BOE |
| Un tribunal civil peut-il ordonner aux fournisseurs d'accès de bloquer ? | Oui, contre les intermédiaires dont un tiers utilise les services pour commettre une atteinte, même quand l'intermédiaire n'est pas responsable. C'est le fondement des affaires de football. | Loi sur la propriété intellectuelle, articles 138, 139.1.h et 141 | BOE |
| Un site peut-il être bloqué pour atteinte au droit d'auteur sans juge ? | Oui, pour les contrevenants récidivistes, depuis 2019. Dans la procédure ordinaire, un tribunal doit encore autoriser l'étape du blocage. La commission du ministère de la Culture a bloqué 110 sites web en 2025. | Loi sur la propriété intellectuelle, article 195, tel que modifié par la loi 2/2019 | BOE, Estrella Digital |
| Les sites de jeux d'argent sans licence peuvent-ils être bloqués ? | Oui, par le régulateur des jeux, au moyen d'ordres adressés aux intermédiaires. | Loi 13/2011, article 47 | BOE |
| Qu'est-ce qui reste un délit avec un VPN activé ? | La contrefaçon à échelle commerciale et les sites de liens : de six mois à quatre ans de prison. Un juge pénal peut ordonner le blocage quand les faits se répètent. | Code pénal, article 270 | BOE |
| Le gouvernement peut-il prendre le contrôle des réseaux ? | À titre exceptionnel et temporaire, pour la sécurité publique et la sécurité nationale, jamais en violation des droits fondamentaux. Les applications de messagerie sur internet sont exclues. | Loi 11/2022, article 4.6, qui a repris un décret-loi de 2019 | BOE |
| Un tribunal peut-il ordonner à un fournisseur de VPN de bloquer ? | C'est arrivé une fois, comme mesure provisoire contre deux fournisseurs nommés, traités comme des intermédiaires au sens du règlement européen sur les services numériques. La mesure n'a encore été examinée ni au fond ni en appel. | Tribunal de commerce n° 1 de Cordoue, annonce du 17 février 2026 | LaLiga, BleepingComputer |
| Les règles sur les mineurs touchent-elles les VPN ? | Pas dans le projet de loi. La loi organique en attente relève de 14 à 16 ans l'âge du consentement au traitement des données et oblige les plateformes à vérifier l'âge, et son texte ne mentionne pas les VPN. Un amendement déposé, le numéro 89, obligerait les fournisseurs de VPN et de DNS à bloquer dans les 30 minutes sur ordre judiciaire ou administratif. | Projet de loi 121/000052, au Congrès depuis avril 2025 | Congrès des députés, projet de loi, amendements |
Deux enseignements de ces 11 lignes. L'Espagne dispose de cinq voies distinctes pour bloquer un site web, à savoir la loi générale sur la société de l'information, les tribunaux civils, la commission du ministère de la Culture, le régulateur des jeux et les tribunaux pénaux, et trois des cinq peuvent fonctionner sans juge : la voie générale, celle par laquelle l'agence du médicament a bloqué Women on Web, la commission de la Culture dès lors qu'un site est récidiviste, et le régulateur des jeux. Et dans aucune des 11 la loi n'impose la moindre obligation à la personne qui utilise un VPN. Chaque obligation pèse sur un opérateur, un intermédiaire ou un contrevenant. Le droit espagnol des VPN, pour l'instant, c'est l'absence de droit des VPN.
Quels ordres de blocage ont poussé les Espagnols à s'interroger sur les VPN ?
Le tableau recense 13 épisodes entre 2017 et septembre 2026. La dernière colonne répond à une question technique étroite : vu la façon dont le blocage était construit, un VPN l'aurait-il contourné ? Elle ne dit rien de ce qu'il était licite de consulter.
| Date | Ce qui a été bloqué, et sur l'ordre de qui | Comment | Un VPN l'aurait-il contourné ? | Source |
|---|---|---|---|---|
| Du 13 septembre au 1er octobre 2017 | Au moins 25 sites web sur le référendum d'indépendance catalan, sur ordre de la haute cour de Catalogne, exécuté par la police | Les domaines .cat ont été saisis au registre lui-même. Les sites miroirs ont été bloqués par altération du DNS chez Orange et Euskaltel et par inspection du trafic chez Telefónica. | En partie. Oui pour les miroirs bloqués dans les réseaux espagnols. Non pour les domaines .cat saisis, qui ont cessé d'exister pour tout le monde. | OONI |
| 12 janvier 2018 | HDFull et Repelis, à la demande de six studios de cinéma. Tribunal de commerce n° 6 de Barcelone | Quatre fournisseurs d'accès bloquent les domaines et tout autre domaine ou adresse IP qui y donne accès | Oui. Regarder leurs flux restait une atteinte au droit d'auteur. | TorrentFreak, Elzaburu |
| Octobre 2019 | Les sites web et l'application de la plateforme de protestation Tsunami Democràtic, sur ordre d'un juge de l'Audience nationale. GitHub a ensuite rendu le dépôt de l'application indisponible en Espagne à la demande de la Garde civile. | Blocage des domaines chez les fournisseurs espagnols, puis blocage géographique par GitHub selon la localisation du visiteur | Oui. Les deux dépendaient d'une connexion espagnole. | Genbeta, Xataka |
| De début 2020 à aujourd'hui | Women on Web, service à but non lucratif d'information sur l'avortement, sur ordre de l'agence du médicament, sans tribunal | Sept fournisseurs, par manipulation du DNS, équipements d'inspection du trafic, certificats falsifiés et réinitialisations de connexion. Le Tribunal suprême a ordonné un déblocage partiel en octobre 2022. OONI mesurait encore le blocage sur plusieurs réseaux en 2026. | Oui. L'interférence se situe dans les réseaux d'accès espagnols. | rapport Magma, OONI, EFE |
| 11 février 2020 | 44 sites pirates, pour la branche audiovisuelle de Telefónica. Un tribunal de commerce de Madrid accorde une injonction dynamique. | Six fournisseurs bloquent des URL, des domaines et des adresses IP. La liste est mise à jour chaque semaine et les nouvelles entrées sont bloquées dans les trois heures. | Oui. L'atteinte au droit d'auteur demeure. | TorrentFreak |
| 8 avril 2021 | Un protocole permanent entre les ayants droit et des opérateurs représentant 98 % du marché, supervisé par le ministère de la Culture. Un comité technique se réunit chaque semaine pour ajouter des domaines miroirs. 1 194 domaines étaient bloqués fin 2024. | Redirection web vers une page d'avis officielle | Oui. L'atteinte au droit d'auteur demeure. | ministère de la Culture, Bandaancha |
| Du 22 au 25 mars 2024 | Telegram, dont un juge de l'Audience nationale a ordonné la suspension dans une affaire de droit d'auteur, avant de retirer sa décision trois jours plus tard comme « excessive et non proportionnée » | Jamais appliqué, pour autant que j'aie pu l'établir | Inutile. Le juge a lui-même relevé que les utilisateurs pouvaient se tourner vers des proxys et des VPN. | Conseil général du pouvoir judiciaire, elDiario.es |
| Depuis février 2025 | Des adresses IP utilisées par des flux pirates de football, en vertu du jugement 310/2024 du tribunal de commerce n° 6 de Barcelone, daté du 18 décembre 2024. Beaucoup de ces adresses sont celles de Cloudflare et sont partagées avec des milliers de sites licites. | Blocage IP pur chez le fournisseur d'accès les jours de match. Telefónica écarte le trafic en silence, DIGI et Vodafone affichent un avis, Orange et MásMóvil bloquent sans en afficher. | Oui. Une personne déjà connectée à un VPN ne l'a jamais vu, et c'est pourquoi des utilisateurs en règle se sont tournés vers les VPN. | TorrentFreak, TorrentFreak, Bandaancha |
| Signalé le 15 avril 2025 | Deux adresses IP de l'hébergeur Vercel, bloquées par Movistar, Vodafone et Orange. Débloquées au 18 avril. | Des adresses IP entières, sans examen du site demandé | Oui. | Vercel |
| Du 18 au 20 octobre 2025 | De larges plages d'adresses Cloudflare chez Movistar, Orange et Vodafone. Des serveurs de jeu et des services de streaming sont touchés. Proton fait état d'un pic de 200 % des inscriptions gratuites depuis l'Espagne le 19 octobre. | Blocage IP | Oui. | Proton |
| 17 février 2026 | LaLiga annonce des mesures provisoires du tribunal de commerce n° 1 de Cordoue contre NordVPN et Proton VPN, accordées sans les entendre et sans recours possible | Les deux fournisseurs doivent rendre inaccessible depuis l'Espagne une liste changeante d'adresses IP. Il n'est pas demandé aux fournisseurs d'accès de bloquer les VPN. | En partie. Sur le papier non, pour les clients des deux fournisseurs nommés. LaLiga a soutenu que NordVPN n'avait pas pleinement exécuté l'ordonnance. Le 19 mai 2026, selon NordVPN, le tribunal a rejeté la demande d'amendes de LaLiga, faute de pouvoir conclure à un manquement délibéré. Les experts de NordVPN ont fait valoir que les adresses listées sont périmées en quelques heures. Aucune des deux parties n'a publié la décision. | TorrentFreak, TorrentFreak, Xataka |
| 23 mars 2026 | Un deuxième jugement de Barcelone étend le blocage dynamique à tous les événements sportifs en direct détenus par la branche audiovisuelle de Telefónica, dont la Ligue des champions, le tennis et le golf | Adresses IP, URL et domaines, chez quatre opérateurs | Oui. Aucun fournisseur de VPN ou de DNS n'est nommé. | Xataka |
| 15 août 2026 | La saison 2026-2027 s'ouvre de nouveau avec des blocages, avec un pic d'environ 550 adresses IP vers minuit. C'est la dernière saison couverte par le jugement de décembre 2024. | Blocage IP | Oui. | Xataka |
Les verdicts donnent dix oui, deux en partie et un inutile. La raison est structurelle. Dix des treize blocages ont été construits dans le réseau du fournisseur d'accès, et un tunnel VPN traverse ce réseau sans être ouvert. Le blocage géographique de GitHub en 2019 reposait sur une adresse IP espagnole, qu'un VPN change aussi. Deux épisodes sont différents. En 2017, l'État s'est adressé au registre des domaines, et un domaine saisi disparaît pour le monde entier. En 2026, les ayants droit se sont adressés aux fournisseurs de VPN eux-mêmes. Ce sont les deux directions que peut prendre le blocage quand le réseau d'accès ne suffit plus.
L'ampleur des blocages liés au football est la partie qui repose sur de vraies mesures. OONI a identifié 7 441 adresses IP bloquées sur les réseaux espagnols entre le 1er janvier et le 1er juin 2026, puis a confronté 9,2 millions de domaines populaires à cette liste : 554 507 d'entre eux, soit 5,8 %, se sont trouvés sur une adresse bloquée à un moment donné. Plus de 501 000 de ces domaines se trouvaient derrière 2 218 adresses Cloudflare, et bloquer entre 4 et 20 adresses en une seule heure suffisait à perturber plus de 400 000 domaines. Parmi les sites touchés figuraient des pages nationales de l'UNICEF et de l'agence des Nations unies pour les réfugiés, des sections d'Amnesty et un registre de logiciels. La position de LaLiga est que les blocages ont réduit le piratage de 40 à 60 % le week-end « sans impact collatéral ». Le tribunal de Barcelone a rejeté en mars 2025 les demandes d'annulation de Cloudflare et de la conférence de sécurité RootedCON, jugeant que le préjudice pour les tiers n'était pas prouvé. Les plaintes pour atteinte à la neutralité du net adressées au ministère sont passées d'une dizaine à environ 265 en 2025.
Voilà pourquoi « les VPN sont-ils légaux en Espagne » est devenue une recherche courante. La plupart de ceux qui la posaient ne cherchaient pas du football. C'étaient des développeurs dont les déploiements échouaient un samedi soir, et des acheteurs dont la page de paiement refusait de se charger.
Un VPN est-il légal en Italie ou en Espagne, et comment les deux pays se comparent-ils ?
Utiliser un VPN est légal dans les deux pays. Ils diffèrent par le degré auquel les obligations de blocage ont été reportées sur les sociétés de VPN et de DNS, et l'Italie est allée plus loin.
| Espagne | Italie | |
|---|---|---|
| Utiliser un VPN est-il légal ? | Oui | Oui |
| Qui ordonne les blocages du sport en direct ? | Les tribunaux de commerce, les ayants droit fournissant les listes d'adresses | Le régulateur AGCOM, via la plateforme Piracy Shield créée par la loi n° 93 du 14 juillet 2023, avec des blocages exigés dans les 30 minutes |
| Les fournisseurs de VPN sont-ils concernés ? | Deux fournisseurs nommés, par une ordonnance provisoire de février 2026 | Tous en principe. AGCOM désigne les fournisseurs de VPN, les fournisseurs de DNS public et les moteurs de recherche comme destinataires de ses ordres, et sa dernière modification, du 30 juillet 2025, a étendu le système du sport à tous les contenus audiovisuels en direct. |
| Résolveurs DNS publics | Aucun ordre trouvé contre un résolveur | Le Tribunal de Milan a ordonné à Google le 11 mars 2025 de bloquer des domaines listés dans son DNS public. AGCOM a infligé à Cloudflare une amende de 14 247 698 €, annoncée le 8 janvier 2026, pour ne pas avoir filtré sur son résolveur 1.1.1.1. Cloudflare a fait appel le 8 mars 2026, et le tribunal administratif du Latium a rejeté le recours le 17 juillet 2026. |
| Fournisseurs partis | Aucun trouvé | Le fournisseur italien AirVPN a cessé d'accepter des clients en Italie à partir du 19 février 2024, jugeant les exigences trop lourdes. |
Le contraste oppose un régulateur à une salle d'audience. L'Italie a inscrit les fournisseurs de VPN dans un système administratif permanent. L'Espagne a une seule ordonnance provisoire, que son propre tribunal a ensuite refusé de faire respecter par des amendes. Aucun des deux pays n'a touché à l'utilisateur. Nos pages sur l'usage d'un VPN en Espagne et en Italie couvrent le quotidien, et le registre des blocages de sites web en France montre le troisième modèle, celui où les tribunaux parisiens ordonnent depuis mai 2025 à cinq fournisseurs de VPN de bloquer des domaines de piratage sportif.
Qu'en est-il de la vie privée, de la conservation des données et de la cybercriminalité en Espagne ?
L'ancienne page s'appuyait sur des chiffres alarmants. Voici les chiffres officiels. L'équipe de réponse d'INCIBE a traité 122 223 incidents de cybersécurité en 2025, soit 26 % de plus en un an, dont 45 445 fraudes en ligne, hameçonnage compris. L'agence de protection des données a reçu 30 931 réclamations en 2025, soit 64 % de plus et un record dans son histoire, et a infligé 48,1 millions d'euros d'amendes.
Sur la conservation, l'Espagne garde la règle des 12 mois adoptée en 2007 pour transposer une directive européenne que la Cour de justice de l'UE a invalidée en 2014, le premier d'une série d'arrêts contre la conservation généralisée. La loi s'impose aux opérateurs de télécommunications, elle exige l'autorisation d'un juge pour l'accès, et elle n'a pas été réécrite. Votre fournisseur d'accès conserve donc un an de relevés sur le moment et le lieu de vos connexions, mais pas sur ce que vous avez lu. Un VPN remplace ce que ce fournisseur peut relever sur vos destinations par une seule entrée, le serveur VPN. Notre tableau des lois de conservation dans 16 juridictions montre comment d'autres pays traitent la même question. Le VPN dispose d'un emplacement de serveur en Espagne parmi plus de 100, autorise 10 connexions simultanées et s'accompagne d'une garantie de remboursement de 30 jours.
Qu'est-ce qui change ensuite ?
- Tribunal constitutionnel. RootedCON a annoncé son recours contre les blocages liés au football le 16 mai 2025 et Cloudflare avait déposé le sien en juin 2025. Au 18 septembre 2026, le tribunal n'avait toujours pas décidé s'il admettait celui de RootedCON.
- Cordoue. L'ordonnance provisoire contre les deux fournisseurs de VPN reste en vigueur et l'affaire au fond est en cours. Je n'ai trouvé aucune information indiquant si Proton a appliqué l'ordonnance.
- Le jugement de Barcelone expire avec la saison 2026-2027, vers le 20 juin 2027. L'appel d'offres de LaLiga pour les droits de diffusion 2027-2032 fait de la coopération aux blocages, et du soutien aux actions en justice contre les VPN et les services DNS, une condition pour les candidats. Une nouvelle demande en 2027 est probable.
- Congrès. Une commission a approuvé le 29 avril 2026 une motion non contraignante demandant au gouvernement d'inscrire la « proportionnalité technologique » dans la loi. Elle ne change rien par elle-même, et aucun projet de loi n'a suivi.
- La loi sur les mineurs. Le gouvernement veut que la loi organique soit adoptée avant la fin de 2026. La disposition à surveiller est l'amendement 89, qui inscrirait les fournisseurs de VPN et de DNS dans la loi sur la société de l'information comme intermédiaires soumis à une obligation de blocage en 30 minutes. Je n'ai pas pu établir si la commission l'a accepté.
- Women on Web c. Espagne a été déposée devant la Cour européenne des droits de l'homme le 12 juin 2026.
- Italie. Le tribunal administratif du Latium a confirmé l'amende de Cloudflare le 17 juillet 2026, dans le jugement 13201/2026. Cloudflare a dit qu'il ferait de nouveau appel.
À propos de l'auteur
Rédacteur du blog Le VPN
Alan Summers écrit et édite le blog Le VPN depuis plusieurs années, en couvrant la vie privée en ligne, la cybersécurité et les meilleures façons de profiter pleinement d'un VPN. Il suit de près l'actualité qui touche à la liberté sur Internet et la transforme en conseils pratiques pour les lecteurs de Le VPN.
Articles par Alan Summers →
