Politique de confidentialité des VPN : comprendre, analyser, vérifier
Comprendre ce qu’un VPN collecte réellement nécessite de savoir lire sa politique de confidentialité, pas son marketing.
Les politiques de confidentialité sont les documents les plus sous-estimés de l’écosystème VPN. Alors que le marketing affiche généralement « no-log », seules ces politiques engagent juridiquement un fournisseur sur ce qu’il collecte, conserve et partage.
Cette page propose une méthode d’analyse à appliquer : les sections critiques à vérifier, les limites structurelles à connaître, et les critères qui distinguent une politique transparente d’un texte volontairement flou. L’objectif est d’évaluer la crédibilité d’un service no-log avant de payer un abonnement.
Cette page fait suite à l’analyse des VPN sans log, où sont comparés différents fournisseurs.
**Avertissement** : Cette page fournit une méthode d’analyse des politiques de confidentialité VPN à titre informatif. Elle ne constitue ni un conseil juridique, ni une garantie sur les pratiques réelles d’un fournisseur. L’utilisateur reste responsable de ses décisions et de la vérification des informations.
Les limites structurelles d’une politique de confidentialité (et pourquoi elle reste indispensable)
Une politique de confidentialité est le seul document public qui engage un VPN d’un point de vue légal. Elle ne prouve rien techniquement. Elle permet d’identifier les intentions, pas la réalité opérationnelle.
Ce qu’une politique de confidentialité d’un VPN permet d’évaluer
Un engagement légal formel
Le RGPD, le CCPA/CPRA et d’autres cadres imposent des obligations strictes : description des données collectées, finalités, durées de conservation, tiers impliqués.
Une politique mensongère expose un fournisseur à des sanctions.
La cohérence interne du fournisseur
Un VPN affirmant “no-log” tout en mentionnant la collecte d’IP ou de métadonnées techniques pour améliorer l’expérience expose immédiatement une incohérence.
L’écosystème des tiers
Les politiques doivent identifier les intervenants externes, tels que :
– processeurs de paiement,
– hébergeurs,
– outils analytics,
– plateformes de support.
Ces tiers peuvent être soumis à des lois extraterritoriales (Cloud Act, FISA), avec un impact potentiel sur la confidentialité réelle.
La juridiction applicable
Le pays d’enregistrement détermine le cadre légal : rétention de données, degré de surveillance, obligations de divulgation, alliances de renseignement (5/9/14 eyes), transferts internationaux.
Ce qu’une politique de confidentialité ne peut jamais prouver
L’absence effective de logs
Une politique peut déclarer “aucun log”, sans démontrer :
- absence de journaux temporaires,
- absence d’écriture involontaire sur disque,
- discipline interne,
- stabilité de la configuration réseau,
- absence de logs produits par des composants tiers.
Sans audit indépendant, incident documenté ou architecture inspectable, la non-collecte reste déclarative.
Collecte ≠ traitement ≠ stockage : la distinction critique
Un VPN doit recevoir l’adresse IP de l’utilisateur au moment de l’établissement de la connexion (handshake). Cette donnée est nécessaire pour acheminer le trafic et disparaît immédiatement si elle n’est pas écrite sur disque.
Ce qui caractérise réellement un VPN no-log n’est donc pas l’absence de réception d’une IP, impossible techniquement, mais l’absence de stockage ou de journalisation persistante.
Les journaux externes invisibles
Certaines données ne figurent jamais dans les politiques, car elles n’appartiennent pas au VPN :
- journaux anti-DDoS de l’hébergeur,
- logs firewall automatiques,
- systèmes IDS/IPS,
- monitoring réseau bas niveau.
Ces journaux sont temporaires mais totalement opaques.
La pérennité des pratiques
La plupart des politiques incluent une clause de modification unilatérale :
« Cette politique peut être modifiée à tout moment. »
Cette clause permet au fournisseur d’adapter le texte aux évolutions légales ou techniques, sans notification systématique.
Les VPN les plus transparents signalent néanmoins les changements importants via leur blog ou par email. Une politique est une photographie à l’instant T, pas un engagement immuable.
Synthèse : un signal, jamais une garantie
Une politique de confidentialité informe, engage légalement, expose les contradictions et révèle le niveau de transparence, mais elle ne prouve ni la discipline interne, ni la réalité de l’infrastructure. C’est un point de départ incontournable, pas une conclusion.
Comment analyser une politique de confidentialité VPN : méthode complète
Cinq sections concentrent l’essentiel des informations utiles. L’analyse doit être précise et méthodique. L’objectif est de détecter zones grises, formulations ambiguës, omissions, incohérences.
Section “Data we collect” : la pierre angulaire
Cette section définit les limites techniques du VPN. Trois catégories doivent être distinguées sans ambiguïté.
A. Données d’application (légitimes et non sensibles)
- version de l’application,
- système d’exploitation,
- langue,
- rapports de crash (opt-in),
- données techniques nécessaires au support.
Un VPN dépourvu de ces données ne peut assurer un support fiable.
C. Logs d’utilisation (données critiques)
Les plus sensibles :
- historique de navigation,
- requêtes DNS,
- ports, protocoles,
- destinations du trafic,
- tout identifiant persistant.
Une politique transparente affirme clairement l’absence totale de collecte.
B. Logs de connexion (données sensibles)
- adresse IP d’origine,
- timestamps (début/fin),
- durée de session,
- serveur utilisé,
- volume de données transféré.
Les politiques transparentes déclarent explicitement le non-stockage de ces données.
Les politiques opaques utilisent des formules génériques :
“informations techniques”, “métadonnées anonymisées”, “nécessaires au fonctionnement”.
D. Section “Ce que nous ne collectons pas”
Les fournisseurs sérieux ajoutent une section dédiée listant l’absence de :
- IP d’origine,
- timestamps,
- DNS,
- données d’activité,
- corrélation session-utilisateur.
Son absence est un signal clair d’opacité.
E. Termes à surveiller : formulations à risque
Les termes suivants couvrent souvent un périmètre trop large : “diagnostics anonymisés”, “métadonnées techniques”, “amélioration des performances”, “prévention des abus”, “analyse réseau”.
Sans précisions, ils pourraient potentiellement englober des logs sensibles.
Section “Third-party sharing” : identifier les points faibles invisibles
Les tiers constituent une part critique de la chaîne de traitement. Trois catégories doivent être analysées.
- Stripe,
- PayPal,
- Adyen,
- BTCPay.
- adresse e-mail du compte (le cas échéant),
- informations de transaction,
- identifiant du compte VPN.
B. Hébergeurs de serveurs
La politique doit préciser :
- serveurs loués ou possédés,
- contrôle physique,
- serveurs RAM-only ou non,
- chiffrement de l’infrastructure,
- localisation réelle des nœuds.
L’absence de précisions sur l’hébergement est un signal d’opacité.
C. Outils de support et d’analyse
- Support (Zendesk, Intercom, Crisp) :
- tickets,
- e-mail,
- identifiant de compte.
Analytics (site web) :
- IP du site,
- cookies,
- logs HTTP.
Une politique sérieuse décrit ces données et leur finalité.
Section “Data retention” : ce que durent réellement les données
Une politique fiable donne des durées chiffrées par catégorie :
- données de facturation : 7 ans,
- crash reports : 30 jours,
- logs VPN : 0 jour.
Les formulations à éviter :
- “aussi longtemps que nécessaire”,
- “pour assurer le fonctionnement”,
- “conformément aux obligations légales” (sans durée).
Sans chiffres, aucune vérification n’est possible.
Section “Legal requests” : la transparence réelle
A. Rapport de transparence
Nombre de demandes, nature, réponses.
B. Procédure de contestation
Indication explicite que les demandes abusives sont contestées.
C. Notification à l’utilisateur
Uniquement si aucune ordonnance de non-divulgation n’est active.
D. Formulations à risque
- “coopère pleinement”,
- “respecte toute demande légale”,
- “conformément aux lois applicables”.
Ces termes impliquent potentiellement une transmission large.
Section “Governing law” : le poids de la juridiction
Le pays d’enregistrement détermine :
possibilité de rétention obligatoire,
Une juridiction “idéale” n’existe pas ; seule compte la cohérence entre :
Que penser des VPN qui sont dans les "5 yeux" ?
Les 5 eyes sont une alliance de renseignement qui comprend le Canada, le Royaume-Uni, l’Australie, la Nouvelle-Zélande et les États-Unis. Il s’agit d’un traité de coopération en matière de partage de renseignements entre services de renseignement. Cet accord ne cible pas spécifiquement les VPN, mais concerne l’ensemble des opérateurs télécoms et fournisseurs d’accès. Un VPN basé dans un pays 5 eyes peut appliquer une politique de confidentialité stricte, à condition que son infrastructure et ses audits confirment l’absence de logs.
→ Pour en savoir plus : VPN et alliances 5 eyes
Quels VPN sont hors des 5/9/14 yeux
Bien que les alliances de renseignement ne ciblent pas directement les VPN, de nombreux utilisateurs préfèrent choisir un fournisseur basé hors de ces juridictions pour minimiser tout risque légal futur. Les VPN situés en Suisse, à Panama, aux Îles Vierges Britanniques ou en Roumanie offrent un large choix de possibilités techniques et garanties de confidentialité.
→ Liste des VPN hors alliances : VPN hors alliances 5/9/14 eyes
Existe-t'il des VPN en Europe mais hors des 14 yeux ?
Oui, plusieurs pays européens ne font pas partie des alliances 14 eyes. La Suisse et la Roumanie ont notamment des lois strictes sur la protection de la vie privée, qui limitent la surveillance de masse et la rétention obligatoire de données. Ces juridictions hébergent plusieurs VPN réputés pour leur transparence et leurs audits indépendants.
→ Liste complète : VPN européens hors 14 eyes
Et pour ceux qui sont dans les 14 yeux ?
Les 14 eyes regroupent les 9 eyes (5 eyes + Danemark, France, Norvège, Pays-Bas) ainsi que l’Allemagne, la Belgique, l’Italie, l’Espagne et la Suède. Ces pays partagent des renseignements de sécurité nationale en cas de menace sécuritaire grave, mais ne sont pas tous soumis aux mêmes obligations de surveillance. Un VPN basé dans un pays 14 eyes peut appliquer une politique no-log, à condition que sa juridiction n’impose pas de rétention obligatoire et que son infrastructure soit vérifiable (audits, serveurs RAM-only, rapports de transparence).
→ Pour en savoir plus : VPN et alliances 14 eyes
Ce qu’une politique de confidentialité révèle réellement
Une politique transparente expose :
1. Indices positifs de transparence
- vocabulaire précis, non marketing,
- distinction claire application/connexion/utilisation,
- section “ce que nous ne collectons pas”,
- tiers listés nominalement,
- durées de conservation chiffrées,
- rapport de transparence,
- contestation des demandes abusives,
- mise à jour récente.
2. Ce qu’aucune politique ne peut couvrir
- composants réseau hors périmètre (hébergeur, IDS/IPS, anti-DDoS),
- comportement réel du réseau sous charge,
- anti-abus internes,
- discipline opérationnelle,
- configuration serveur réelle.
Ces éléments ne sont accessibles que par audit externe, incidents documentés ou infrastructure réellement vérifiable (open-source, RAM-only, audits continus).
Checklist : éléments à vérifier dans une politique de confidentialité
| Élément à vérifier | Ce qu'il faut chercher | Ce qui rend la vérification difficile |
|---|---|---|
| Types de données | Distinction claire entre données d'application et logs VPN | Absence de section décrivant ce qui n'est pas collecté |
| Section « Ce que nous ne collectons pas » | Présente et détaillée | Absente |
| Durées de conservation | Durées chiffrées par catégorie de données | Formulations génériques (« aussi longtemps que nécessaire ») |
| Tiers impliqués | Noms, rôles et localisation des partenaires | Formulations vagues (« partenaires de confiance ») |
| Demandes légales | Rapport de transparence et procédure de contestation documentés | Absence de détails sur le traitement des demandes |
| Date de mise à jour | Politique mise à jour régulièrement (suivi réglementaire) | Politique non mise à jour depuis plusieurs années sans explication |
| Claims d'anonymisation | Mécanisme technique décrit | Terme utilisé sans précision technique |
Conclusion : un outil partiel, mais incontournable
Une politique de confidentialité ne prouve jamais l’absence de logs. Elle ne couvre pas toute la chaîne technique, ne garantit pas la discipline interne, ni la constance des pratiques dans le temps.
Mais elle révèle :
- le niveau de rigueur du fournisseur,
- son rapport à la transparence,
- sa structure juridique,
- son honnêteté,
- la cohérence entre marketing et réalité,
- l’importance accordée à la confidentialité.
Une politique précise n’est pas une preuve. Une politique vague n’est pas une accusation.
Mais une politique précise + audits + infrastructure maîtrisée + rapport de transparence + juridiction cohérente = plausibilité maximale du no-log.
C’est cette convergence qui distingue réellement les VPN crédibles des autres.
Pour aller plus loin
Ces pages complémentaires abordent des aspects techniques et juridiques liés à l’usage des VPN :