Politiques de journalisation des VPN et juridictions de confidentialité : le tableau de référence 2026

Presque toutes les pages confidentialité des VPN disent les trois mêmes choses : l'entreprise ne conserve rien, elle est installée quelque part où les lois sont favorables, et un auditeur l'a un jour confirmé. Ces affirmations ne coûtent rien à formuler et, jusqu'à ce qu'une ordonnance de justice ou une perquisition arrive, elles sont impossibles à vérifier. Cette page est la référence que nous cherchions sans la trouver : ce que dit réellement la loi dans chaque juridiction en septembre 2026, avec le texte ou le jugement en lien, et les dix cas les mieux documentés où la police a testé la politique de journalisation d'un VPN, avec ce qu'elle en a retiré.

La version courte est inconfortable pour toute l'industrie, nous compris. Le pays affiché sur la page "à propos" se révèle un piètre prédicteur de ce qui se passe quand l'ordonnance arrive. C'est la présence ou l'absence de données identifiantes ce jour-là qui tranche.

Que couvre réellement une politique de journalisation VPN ?

Deux choses différentes sont appelées "journaux", et les pages confidentialité entretiennent volontairement le flou. Les données d'activité, c'est ce que vous avez fait à travers le tunnel : les sites, les requêtes DNS, le trafic. Les données de connexion, c'est la comptabilité autour du tunnel : quand un compte s'est connecté, à quel serveur, et combien de données ont transité. Un fournisseur peut conserver les secondes et pas les premières, et la plupart des services commerciaux le font, parce que les abus de bande passante et les limites de connexions simultanées sont autrement difficiles à faire respecter.

La question que pose un tribunal est plus étroite que l'une ou l'autre : cette entreprise peut-elle, aujourd'hui, relier une adresse IP vue à un moment donné à un client payant ? Ce lien peut exister dans un enregistrement de connexion, dans un système de comptes, dans les archives d'un prestataire de paiement ou dans un outil antifraude. Il se trouve rarement à l'endroit dont parle la page confidentialité.

La position de Le VPN tient en une phrase : nous conservons des journaux de connexion, pas des journaux d'activité. Le but de cet article est de vous donner les outils pour tester une phrase de ce genre, la nôtre comprise.

Quels pays obligent les fournisseurs de VPN à conserver des données ?

Le tableau compile la situation en matière de conservation dans les juridictions où la plupart des VPN commerciaux sont immatriculés, plus les quatre qui ont changé le marché en légiférant contre eux. "Atteint les VPN" signifie que l'obligation de conservation s'applique à un service VPN opérant depuis ce pays, et pas seulement aux opérateurs télécoms titulaires d'une licence. Les sources sont la loi, le jugement ou la déclaration du gouvernement lui-même chaque fois qu'il en existe une.

Parcourez la troisième colonne et le schéma saute aux yeux. Sur 16 juridictions, cinq ont une obligation de conservation en vigueur dont un VPN opérant sur place pourrait relever. L'Inde a écrit sa règle en nommant les services VPN. La Russie, la France, le Royaume-Uni et l'Australie ont écrit les leurs pour les opérateurs, les hébergeurs ou les "opérateurs de télécommunications", des définitions assez larges pour atteindre un VPN et, jusqu'ici, rarement éprouvées contre l'un d'eux. Partout ailleurs, il n'y a aucune obligation. Les pays favoris dits "havres de confidentialité" et les Pays-Bas ou la Roumanie, supposés hostiles, se retrouvent sur la même ligne : aucune loi de conservation.

La liste des Cinq Yeux compte-t-elle encore ?

Moins que ne le suggère le marketing. Les Cinq Yeux (États-Unis, Royaume-Uni, Canada, Australie, Nouvelle-Zélande) sont un accord de partage de renseignement d'origine électromagnétique qui remonte à l'accord UKUSA de 1946. Les extensions Neuf et Quatorze Yeux viennent de documents de l'ère Snowden décrivant le groupe "SIGINT Seniors Europe", qui ajoute le Danemark, la France, les Pays-Bas et la Norvège, puis la Belgique, l'Allemagne, l'Italie, l'Espagne et la Suède. L'article Wikipédia sur les Five Eyes recense les documents primaires.

Ce que ces accords régissent, c'est la manière dont les agences de renseignement partagent ce qu'elles ont déjà intercepté. Ce qu'ils ne régissent pas, c'est la capacité d'un magistrat de Panama ou de Road Town à ordonner à une entreprise de produire des documents, ce qui relève de la procédure pénale nationale et des traités d'entraide judiciaire. Le Panama a un traité d'entraide judiciaire avec les États-Unis depuis 1995 ; les Îles Vierges britanniques répondent aux demandes par l'intermédiaire du Royaume-Uni. Le second tableau ci-dessous montre le résultat pratique : les deux cas américains sortis indemnes viennent d'un pays des Cinq Yeux, et les deux fournisseurs qui ont produit des données identifiantes en 2017 et 2021 étaient basés à Hong Kong et en Suisse.

Une définition à retenir : la juridiction d'un VPN est le pays dont les tribunaux peuvent contraindre l'entreprise qui exploite le service, ce qui n'est pas toujours le pays où se trouvent les serveurs, et rarement celui dont le drapeau figure sur la page tarifs.

Quelles lois de conservation changent en 2026 ?

Trois dossiers sont ouverts en même temps, et tous trois feraient passer les fournisseurs de VPN de la colonne "aucune obligation" à la colonne "obligation" s'ils étaient adoptés tels que rédigés.

L'Union européenne en est à sa cinquième tentative. La directive de 2006 sur la conservation des données a été annulée dans Digital Rights Ireland (8 avril 2014) ; les transpositions nationales sont tombées dans Tele2 Sverige et Watson (21 décembre 2016), La Quadrature du Net (6 octobre 2020) et SpaceNet (20 septembre 2022). La Cour s'est assouplie dans La Quadrature du Net II (30 avril 2024), en acceptant la conservation généralisée des adresses IP rattachées à l'identité civile pour la criminalité ordinaire. La stratégie ProtectEU de la Commission d'avril 2025 promettait une nouvelle initiative, une analyse d'impact a été ouverte en mai 2025, un document de la présidence du Conseil du 27 novembre 2025 a acté que la plupart des États membres souhaitaient un plancher de conservation d'un an que le droit national pourrait dépasser, et lors de leur réunion informelle à Dublin le 17 juillet 2026, les ministres de la Justice ont soutenu le principe. Le texte législatif n'était toujours pas publié à la mise en ligne de cet article. La page de la Commission sur la conservation des données est l'endroit où il apparaîtra en premier.

L'Allemagne essaie de devancer Bruxelles. Le ministère de la Justice a publié un projet le 22 décembre 2025, le conseil des ministres l'a adopté le 22 avril 2026, le Bundesrat a adopté ses amendements le 12 juin, et le Bundestag a tenu la première lecture le 24 juin 2026 avant de le renvoyer en commission. L'obligation est étroite sur le papier (adresse IP plus numéro de port, 3 mois, fournisseurs d'accès à internet) et l'association professionnelle eco a déjà déclaré s'attendre au même sort que pour les deux tentatives précédentes. Un VPN allemand est un fournisseur d'accès au sens ordinaire du terme, donc les définitions du projet de loi auront leur importance.

La Suisse est celle qui aurait frappé directement les entreprises de VPN. Le projet de révision de janvier 2025 de l'ordonnance sur la surveillance (OSCPT) proposait de traiter les "services de communication dérivés" de plus de 5 000 utilisateurs comme des opérateurs télécoms : vérifier l'identité, conserver les métadonnées 6 mois, déchiffrer sur demande lorsque le fournisseur détient les clés. Proton et NymVPN ont annoncé publiquement qu'ils partiraient, Threema a dit qu'elle combattrait l'ordonnance, et Proton a commencé à déplacer son infrastructure hors du pays. Deux motions parlementaires en septembre 2025 ont exigé une réécriture ; le 11 février 2026, le Conseil fédéral a publié les résultats de la consultation et commandé une étude d'impact réglementaire externe avant une seconde consultation, sans calendrier contraignant. La ligne "Suisse accueillante" sur la page d'accueil d'un VPN est, pour l'instant, toujours vraie, et pour la première fois elle est conditionnelle.

Quelles promesses de journalisation de VPN ont été testées par la police ou les tribunaux ?

C'est la partie qu'aucun tableau de juridictions ne peut remplacer. Dix cas entre 2011 et 2023 sont assez bien documentés pour être cités : une pièce de procédure, la déclaration du fournisseur lui-même, ou les deux. Les fournisseurs sont nommés parce que les affaires sont publiques ; ce qui compte, c'est le schéma, pas la marque.

Comptez comme vous voulez, la juridiction perd. Quatre des dix ont produit des données identifiantes : un au Royaume-Uni, un aux États-Unis, un à Hong Kong, un en Suisse. Six n'ont rien produit : deux aux États-Unis, un chacun en Suède, en Suisse, aux Îles Vierges britanniques et au Canada. La Suisse figure des deux côtés du bilan. Ce qui sépare les deux groupes, c'est l'ingénierie et la conception des comptes : le fait qu'une adresse IP soit ou non un jour écrite à côté d'un identifiant de compte, et pour combien de temps.

Le cas Proton mérite un second regard, parce qu'il a la forme de l'avenir. Proton n'avait rien de stocké, et cela n'a pas compté. Les autorités suisses ont ordonné à l'entreprise de commencer à collecter l'adresse IP d'un utilisateur pour l'avenir, et le droit suisse l'obligeait à s'y conformer. Les lois de conservation portent sur le passé ; les ordonnances de journalisation ciblée portent sur l'avenir, et aucune juridiction du premier tableau ne les interdit.

Que prouvent les audits et les serveurs en RAM, et que ne prouvent-ils pas ?

Depuis 2018, les plus grands fournisseurs paient Deloitte, PwC, KPMG ou Cure53 pour des rapports d'assurance périodiques, et depuis 2019 environ, beaucoup sont passés à des serveurs sans disque qui démarrent depuis une image signée et ne conservent leur état qu'en mémoire. Les deux sont de vraies améliorations. Les deux sont aussi plus étroites que les communiqués de presse.

Un audit est une opinion sur la configuration pendant les jours où l'auditeur a regardé, dont le périmètre est fixé par le fournisseur qui l'a payé. Lisez la section sur le périmètre : la plupart couvrent les serveurs VPN et excluent les systèmes de comptes, de facturation et antifraude, là où le lien entre IP et client a tendance à vivre. Les serveurs en RAM répondent à une menace précise, la machine saisie, et y répondent bien : les issues favorables de Mullvad et d'ExpressVPN doivent davantage à cette conception qu'au droit suédois ou caribéen. Ils ne disent rien d'une ordonnance ciblée de journaliser un compte à partir de demain.

Les trois questions qui survivent à tout cela sont simples. Une adresse IP se trouve-t-elle un jour à côté d'un identifiant de compte quelque part dans les systèmes de l'entreprise ? Si oui, pour combien de temps ? Et l'entreprise peut-elle recevoir l'ordre de créer ce lien pour un utilisateur sur demande ? Un fournisseur dont la page confidentialité répond clairement à ces trois questions vous en a dit plus que n'importe quel badge de juridiction.

Comment lire une politique de confidentialité VPN en dix minutes

Trouvez l'entité juridique. La politique de confidentialité ou les conditions d'utilisation nommeront une société et un droit applicable ; si les deux diffèrent du drapeau de la page d'accueil, c'est la clause de droit applicable qui l'emporte. Cherchez ce pays dans le premier tableau.

Cherchez "IP" dans la politique. Toute politique qui mentionne les adresses IP dit soit qu'elles sont stockées (combien de temps ?), tronquées, ou jamais écrites. Le silence sur ce point est aussi une réponse.

Vérifiez la piste de paiement. Les paiements par carte et PayPal vous identifient auprès du prestataire de paiement quelle que soit la pratique du VPN ; les espèces et les cryptomonnaies, non. C'est pourquoi le mandat de perquisition chez Mullvad était voué à l'échec.

Cherchez un rapport de transparence ou un warrant canary et vérifiez ses dates. Un rapport qui a cessé d'être mis à jour il y a deux ans est un rapport qui s'est arrêté.

Demandez ce qui se passe en cas d'ordonnance ciblée. La réponse honnête, dans toutes les juridictions du premier tableau, est "nous devrions nous conformer à une ordonnance valide de commencer à journaliser un compte". Une politique qui dit autre chose décrit un pays qui n'existe pas.

Appliquez ensuite ces cinq mêmes vérifications aux pages de ce site. L'entreprise Le VPN a été fondée à Paris, en France, en novembre 2010 et conserve des journaux de connexion, pas des journaux d'activité. Les pages vie privée en ligne et chiffrement sont le point de départ. Pour le côté technique du maintien de l'anonymat quand une connexion tombe, voyez l'explication du kill switch ; pour la couche identité au-delà du tunnel, le guide de l'anonymat en ligne.

À quoi ressemblera ce tableau l'an prochain

Trois des lignes ci-dessus portent une date en 2026 et devront être réécrites d'ici 2027. Si le Bundestag adopte le projet de loi sur la conservation des IP, l'Allemagne passe à "oui" et tout fournisseur d'accès sur place, VPN compris, commence à conserver 3 mois d'attributions d'adresses. Si la Commission publie sa proposition avec un plancher d'un an, les lignes Pays-Bas et Roumanie, vierges depuis 2015 et 2014, reviennent en jeu dans toute l'UE, France comprise. Et si la seconde consultation suisse maintient le seuil de 5 000 utilisateurs, le pays qui héberge les entreprises de confidentialité les plus citées d'Europe devient le premier à écrire une obligation de conservation spécialement pour elles.

Rien de tout cela ne change la leçon du second tableau. Les lois décident de ce qu'une entreprise doit conserver. L'ingénierie décide de ce qu'elle possède quand l'ordonnance arrive. Jugez la seconde avant de faire confiance à la première.