Le guide principal retient la juridiction comme critère d'évaluation, parce qu'aucune promesse commerciale ne prévaut sur le droit applicable à l'entité qui opère le service. Un VPN peut vouloir sincèrement ne rien conserver ; si la loi de son pays l'oblige à journaliser ou à coopérer, cette volonté ne pèse rien. Cette page explique ce que le pays d'enregistrement change concrètement, et pourquoi l'audit indépendant est le contrepoids le plus solide.
Le pays de l'entité opératrice détermine les obligations
Ce qui compte n'est pas le pays où sont physiquement les serveurs, mais celui où est enregistrée la société qui les exploite, car c'est là que s'exercent la contrainte judiciaire et le pouvoir réglementaire. Selon la juridiction, cette société peut être soumise à une obligation de conservation des données de connexion, à des réquisitions judiciaires classiques, à des injonctions d'interception en temps réel, et parfois à une interdiction légale de révéler qu'elle a reçu une telle injonction. Deux services aux politiques de confidentialité identiques n'offrent pas la même protection s'ils sont enregistrés dans deux pays aux régimes différents.
Les alliances de partage de renseignement
Les regroupements souvent désignés par « 5 yeux », « 9 yeux » et « 14 yeux » sont des accords de coopération entre services de renseignement pour l'échange d'informations. Être établi dans l'un de ces pays signifie qu'une donnée obtenue localement peut être partagée avec les autres membres. Cet élément mérite d'être connu, mais il ne fonctionne pas comme une liste noire absolue : un service établi hors de ces alliances mais dans un pays à faible État de droit, ou dont l'infrastructure dépend de sous-traitants situés ailleurs, n'est pas nécessairement mieux placé. C'est un facteur parmi d'autres, pas un verdict.
La rétention légale, un paysage hétérogène
En Europe, la directive qui imposait une conservation généralisée des données de connexion a été invalidée par la Cour de justice de l'Union européenne en 2014 ; depuis, les régimes nationaux divergent, et plusieurs dispositifs nationaux de conservation ont été à leur tour partiellement censurés par la même Cour. Aux États-Unis, il n'existe pas d'obligation générale de rétention pesant sur les fournisseurs de VPN, mais des mécanismes de demande contraignante assortis d'interdiction de divulgation existent. D'autres juridictions imposent des obligations lourdes, ou au contraire n'en imposent aucune. L'état exact du droit dans un pays donné évolue : il se vérifie au moment du choix, pas d'après un article ancien.
Identifier le véritable opérateur
Beaucoup de services sont édités par des sociétés regroupées sous une holding, elle-même parfois établie dans une autre juridiction que la marque affichée. Un VPN gratuit peut ainsi se présenter comme relevant d'un pays réputé protecteur tout en étant contrôlé par une société mère soumise à un autre droit. La vérification passe par les mentions légales, les registres du commerce, et la structure de propriété déclarée. Une chaîne de holdings opaque, sans propriétaire identifiable, est en soi un motif de prudence pour un outil censé protéger votre trafic.
L'audit indépendant
C'est le principal moyen de sortir du régime de la parole donnée. Plusieurs types d'audits coexistent : audit de non-journalisation (vérification que l'infrastructure ne conserve pas ce que la politique dit ne pas conserver), audit de sécurité des applications, audit d'infrastructure. Ce qui fait la valeur d'un audit : un cabinet reconnu et nommé, un périmètre décrit, une méthode explicite, une date, et surtout la publication du rapport complet plutôt que d'un résumé promotionnel. Un audit renouvelé périodiquement vaut mieux qu'un audit unique et ancien.
Pourquoi les offres gratuites en financent rarement
Un audit indépendant représente un coût significatif, récurrent s'il est sérieux. Pour un éditeur dont l'offre gratuite est un produit d'appel vers un abonnement payant, cette dépense se justifie parce qu'elle sert l'argumentaire commercial de toute la gamme. Pour un service uniquement gratuit, financé par la publicité ou l'exploitation des données, il n'existe aucune incitation économique à payer un tiers pour inspecter des pratiques que le modèle même rend discutables. L'absence d'audit n'est pas une preuve de malveillance, mais c'est l'absence de la seule vérification qui compte.
Le lieu des serveurs compte aussi
Si le pays de la société fixe le cadre principal, l'emplacement physique des serveurs n'est pas neutre. Un serveur est hébergé chez un prestataire, soumis au droit local, qui peut être contraint de coopérer, de rediriger du trafic ou de remettre du matériel indépendamment de la société VPN. Certains fournisseurs réduisent ce risque avec des « serveurs virtuels » : l'adresse IP est annoncée dans un pays, mais la machine est physiquement située ailleurs, dans une juridiction jugée plus sûre. C'est un choix défendable s'il est documenté ; il devient trompeur s'il est masqué, car l'utilisateur croit alors se connecter depuis un pays où il n'est en réalité pas.
Les instruments de contrainte et leurs formes
Selon les pays, un fournisseur peut faire face à une réquisition de données déjà détenues, à une demande de conservation ciblée pour l'avenir concernant un abonné précis, à une obligation d'interception en temps réel, ou à une demande administrative assortie d'une interdiction de divulgation. Ces instruments n'ont pas la même portée : le premier ne donne que ce qui existe, le troisième transforme le fournisseur en point d'écoute. Un service qui ne conserve rien d'individuel réduit fortement l'effet des deux premiers, mais pas nécessairement du troisième s'il est techniquement contraint de coopérer. C'est pourquoi juridiction et journalisation se lisent ensemble, jamais séparément.
Les VPN offerts avec un antivirus, un navigateur ou un forfait mobile
Une part croissante des VPN « gratuits » utilisés le sont sans choix délibéré : inclus dans une suite de sécurité, intégrés à un navigateur, fournis par un opérateur mobile. Ces offres héritent de la juridiction et des pratiques de données de l'entreprise mère, dont l'activité principale n'est pas le VPN. Un éditeur d'antivirus a déjà été mis en cause pour la revente, via une filiale, des données de navigation collectées par son extension. Un VPN intégré à un produit tiers doit être évalué selon la politique de confidentialité de ce produit, pas selon l'idée générale qu'on se fait de la marque.
Que faire de l'information juridictionnelle
Concrètement : identifier le pays d'enregistrement dans les mentions légales ou les conditions d'utilisation ; vérifier s'il impose une conservation des données de connexion au moment du choix, en s'appuyant sur une source à jour ; regarder si le fournisseur publie un rapport de transparence et un audit ; et, en cas de structure de holding complexe, remonter jusqu'au propriétaire réel. Si l'une de ces informations est introuvable pour un service gratuit, c'est en soi une réponse : l'opacité juridictionnelle se traite comme un risque, pas comme une donnée manquante neutre.
Les autres signaux de transparence
Un rapport de transparence périodique, un programme de récompense des vulnérabilités, le code source ouvert des applications clientes et, idéalement, des serveurs, une documentation technique détaillée : chacun de ces éléments réduit la part de confiance aveugle exigée de l'utilisateur. Aucun n'est indispensable seul, mais leur accumulation dessine le sérieux d'un fournisseur bien mieux qu'un slogan.
Ce qu'il faut retenir
La juridiction fixe le plafond de ce qu'un VPN peut promettre : au-delà, c'est la loi qui décide. L'audit indépendant est ce qui rend la promesse vérifiable, et il manque presque toujours aux offres purement gratuites. Une fois ces éléments établis, la dernière question est celle de l'adéquation : quel modèle de menace votre usage relève-t-il, et ce VPN gratuit y répond-il ?