Le RGPD s'applique-t-il aux fournisseurs VPN ?
Oui, sans ambiguïté. Le Règlement Général sur la Protection des Données (RGPD, Règlement UE 2016/679) a une portée extraterritoriale : dès qu'un service — VPN inclus — traite les données de résidents de l'Union européenne, il y est soumis, indépendamment du pays où se trouve son siège social. Un fournisseur basé aux Panama, aux Îles Vierges Britanniques ou ailleurs qui vend un abonnement à un utilisateur français reste tenu de respecter les principes du RGPD pour les données qu'il collecte sur cet utilisateur.
Le double rôle d'un VPN : outil de protection et responsable de traitement
C'est le point le plus souvent mal compris. Un fournisseur VPN a deux casquettes distinctes vis-à-vis de vos données :
- Outil de protection : il chiffre votre trafic et masque votre adresse IP réelle vis-à-vis de votre FAI, des sites que vous visitez et des traqueurs publicitaires. De ce point de vue, il vous aide à limiter la collecte de données par des tiers.
- Responsable de traitement : pour assurer le service (créer votre compte, encaisser le paiement, répondre à vos demandes de support), il traite lui-même des données personnelles vous concernant — et à ce titre, il est directement soumis aux obligations du RGPD comme n'importe quelle entreprise : minimisation des données, sécurité, information claire, respect de vos droits.
Un VPN qui protège bien votre vie privée face à des tiers n'est donc pas automatiquement irréprochable sur le plan RGPD dans sa propre gestion de vos données. Ce sont deux évaluations séparées.
Ce qu'un VPN a le droit de collecter (et ce qui pose problème)
Le RGPD impose un principe de minimisation : un responsable de traitement ne peut collecter que les données strictement nécessaires à la finalité poursuivie.
| Type de donnée | Généralement acceptable | Point de vigilance |
|---|---|---|
| Email de création de compte | ✅ Nécessaire au service | Vérifier qu'aucun email jetable n'est refusé sans raison |
| Moyen de paiement | ✅ Nécessaire à la facturation | Un paiement en crypto-monnaie ou carte cadeau limite la traçabilité si proposé |
| Adresse IP réelle pendant la session | ⚠️ Techniquement nécessaire un court instant | Ne doit pas être conservée après la session si le service revendique le no-logs |
| Historique de navigation, sites visités | ❌ Non nécessaire au fonctionnement du VPN | Signal d'alerte fort si collecté et conservé |
| Données d'usage agrégées et anonymisées (bande passante totale, charge serveur) | ✅ Utile à la maintenance du réseau | Doit être réellement anonymisé, pas simplement pseudonymisé |
Politique no-logs : comment distinguer le marketing de la réalité
"No-logs" est l'argument commercial le plus répété du secteur — et l'un des plus difficiles à vérifier de l'extérieur. Une déclaration de politique no-logs sur un site web n'est pas une preuve : c'est un engagement contractuel qui n'a de valeur que s'il peut être vérifié.
Le seul moyen sérieux de valider cette promesse est l'audit indépendant : un cabinet externe (Deloitte, PwC, Cure53 sont les plus reconnus dans le secteur) examine l'infrastructure du fournisseur et confirme, à un instant T, qu'aucun journal identifiable n'est effectivement conservé. Un audit unique et ancien a moins de valeur qu'un programme d'audits renouvelés régulièrement, car l'infrastructure et les pratiques peuvent évoluer.
⚠️ Signal d'alerte
Un fournisseur qui affiche "no-logs" sans jamais avoir été audité, ou dont le dernier audit remonte à plusieurs années sans mise à jour, ne fournit aucune garantie vérifiable — même si l'intention est peut-être sincère.
Hébergement des serveurs et transferts de données hors UE
Un VPN opère par définition des serveurs dans de nombreux pays, y compris hors de l'Union européenne. Le RGPD encadre spécifiquement les transferts de données personnelles vers des pays tiers : ce transfert n'est licite que si des garanties appropriées existent (décision d'adéquation de la Commission européenne, clauses contractuelles types, ou règles d'entreprise contraignantes).
Dans la pratique, cela concerne surtout les données administratives (compte, facturation, support) traitées par le siège du fournisseur — pas le simple fait qu'un serveur VPN existe physiquement dans tel ou tel pays pour faire transiter du trafic chiffré. La distinction est importante : le trafic chiffré qui transite par un serveur n'est généralement pas lisible par l'opérateur du serveur, contrairement aux données de compte centralisées.
Vos droits RGPD face à un fournisseur VPN
En tant qu'utilisateur européen, vous disposez des mêmes droits RGPD que face à n'importe quel service en ligne :
- Droit d'accès : demander une copie des données que le fournisseur détient sur vous
- Droit de rectification : corriger des informations inexactes (email, coordonnées de facturation)
- Droit à l'effacement : demander la suppression de votre compte et des données associées
- Droit d'opposition : vous opposer à certains traitements (ex. prospection commerciale)
- Droit à la portabilité : récupérer vos données dans un format exploitable
- Droit de réclamation : saisir la CNIL (ou l'autorité de protection des données compétente) si vous estimez qu'un fournisseur ne respecte pas ces droits
Ces droits s'exercent en principe directement auprès du service client ou du délégué à la protection des données (DPO) du fournisseur, dont les coordonnées doivent figurer dans sa politique de confidentialité.
Le cas particulier des VPN gratuits
Faire tourner une infrastructure VPN mondiale coûte cher : serveurs, bande passante, maintenance. Un service entièrement gratuit doit financer cette infrastructure d'une manière ou d'une autre. Dans plusieurs cas documentés par des chercheurs en sécurité, ce financement passe par la collecte et la revente de données de navigation à des courtiers en données ou des régies publicitaires — une pratique difficilement conciliable avec les principes de minimisation et de limitation des finalités du RGPD, même lorsque le service revendique par ailleurs être "conforme".
Ce n'est pas une règle absolue : certains VPN gratuits sont des offres d'appel limitées de fournisseurs par ailleurs sérieux (bande passante ou temps d'usage restreint). Le signal à surveiller n'est pas la gratuité en elle-même, mais l'absence de modèle économique clair.
✅ Checklist avant de s'abonner à un VPN
- Politique de confidentialité claire, en français, facilement accessible
- Politique no-logs confirmée par au moins un audit indépendant récent
- Coordonnées d'un DPO ou d'un contact protection des données identifiables
- Modèle économique transparent (abonnement payant clair, pas de "gratuit" sans explication)
- Procédure claire pour exercer ses droits RGPD (accès, effacement)
- Chiffrement moderne (AES-256) et kill switch documentés
Questions fréquentes
Un VPN doit-il respecter le RGPD ?
Oui. Dès qu'il propose ses services à des résidents de l'UE, même basé à l'étranger, il est soumis au RGPD pour les données qu'il collecte lui-même.
Qu'est-ce qu'un VPN a le droit de collecter ?
Uniquement ce qui est nécessaire au service : email, moyen de paiement, données de support. Le principe de minimisation exclut la collecte d'historique de navigation.
Comment vérifier qu'une politique no-logs est réelle ?
En cherchant un audit indépendant récent réalisé par un cabinet reconnu (Deloitte, PwC, Cure53), et non une simple déclaration marketing.
Quels sont mes droits face à un fournisseur VPN ?
Accès, rectification, effacement, opposition, portabilité, et réclamation auprès de la CNIL en cas de non-respect.
Un VPN gratuit respecte-t-il le RGPD ?
Pas toujours. C'est le point faible fréquent des VPN gratuits, dont le modèle économique repose parfois sur la revente de données.
Pour aller plus loin sur la légalité des VPN en France, consultez également nos ressources éducatives, ou comparez les politiques de confidentialité de NordVPN et Surfshark, les deux VPN les mieux audités de notre comparatif 2026.