La juridiction d'un fournisseur de VPN est souvent réduite, dans les argumentaires commerciaux, à un simple drapeau national affiché comme gage de confidentialité. La réalité est plus nuancée, et surtout, elle concerne un sujet rarement évoqué : sur PC, l'application VPN elle-même communique avec des serveurs pour ses propres besoins techniques, indépendamment du tunnel chiffré qui protège votre trafic de navigation.
Les alliances de partage de renseignement, en bref
L'alliance dite des "Five Eyes" désigne un partenariat de coopération en matière de renseignement entre les États-Unis, le Royaume-Uni, le Canada, l'Australie et la Nouvelle-Zélande, dont l'origine remonte à l'accord UKUSA conclu au lendemain de la Seconde Guerre mondiale pour coordonner l'interception de communications. Ce partenariat s'est progressivement élargi via des accords complémentaires, formant les ensembles informellement désignés "Nine Eyes" (avec l'ajout du Danemark, de la France, des Pays-Bas et de la Norvège) et "Fourteen Eyes" (avec l'ajout supplémentaire de l'Allemagne, de la Belgique, de l'Italie, de l'Espagne et de la Suède).
Ces accords permettent aux agences de renseignement des pays membres de partager entre elles des informations collectées, ce qui signifie qu'une donnée obtenue légalement dans un pays peut se retrouver accessible aux autorités d'un autre pays membre sans que celui-ci n'ait eu à mener sa propre procédure de collecte depuis le départ.
Ce que le tunnel VPN protège, et ce qu'il ne protège pas
Un VPN chiffre le trafic qui transite par son tunnel : votre navigation, vos téléchargements, vos échanges avec les sites que vous visitez. Mais l'application cliente installée sur votre PC est elle-même un logiciel, qui a ses propres besoins de communication réseau : vérification de licence, téléchargement de mises à jour, et dans de nombreux cas, envoi de données de télémétrie d'usage vers les serveurs de l'éditeur.
Cette télémétrie, quand elle existe, transite généralement en dehors du tunnel chiffré destiné à votre trafic de navigation, ou parfois dans un canal séparé géré directement par l'application. Dans les deux cas, elle échappe à la protection que vous pensiez obtenir en activant simplement le VPN, un point rarement mis en avant dans la documentation grand public de la plupart des fournisseurs.
Que contient généralement cette télémétrie
Selon les éditeurs, la télémétrie collectée peut inclure des informations relativement anodines (version du système d'exploitation, fréquence d'utilisation de l'application, statistiques de performance de connexion) ou des informations plus détaillées (liste des serveurs utilisés, durée des sessions, éventuels rapports de plantage contenant des informations système). La juridiction de l'éditeur détermine quelles lois de protection des données s'appliquent au traitement de ces informations, indépendamment de la juridiction dans laquelle se trouvent les serveurs du tunnel VPN lui-même, qui peuvent être différents.
C'est une distinction importante : un fournisseur peut opérer des serveurs de tunnel dans une juridiction favorable à la vie privée, tout en gérant sa télémétrie applicative depuis une infrastructure cloud hébergée dans un pays membre d'une alliance de renseignement, sans que cela ne soit nécessairement mis en avant dans sa communication commerciale.
Comment vérifier ce que collecte réellement une application
La politique de confidentialité d'un fournisseur, bien que rarement une lecture agréable, est le document qui décrit légalement ce qui est collecté et pourquoi. Rechercher spécifiquement les sections mentionnant "données de diagnostic", "données d'utilisation" ou "télémétrie" permet généralement de localiser ces informations sans devoir lire l'intégralité du document.
Sur un plan plus technique, les paramètres de l'application elle-même proposent parfois une option pour désactiver l'envoi de données de diagnostic ou de statistiques d'usage, une option qui n'est pas toujours activée par défaut et qui mérite d'être recherchée explicitement dans les réglages avancés, souvent sous un intitulé du type "confidentialité" ou "diagnostic".
Le pare-feu Windows peut aussi servir d'outil de vérification
Le pare-feu Windows Defender avec fonctions avancées permet, en théorie, de surveiller les connexions sortantes établies par une application donnée, y compris en dehors de la connexion VPN principale. Un utilisateur souhaitant approfondir cette vérification peut consulter les journaux de connexion de l'application VPN elle-même, quand ils sont disponibles, pour identifier vers quels domaines ou adresses elle établit des connexions au démarrage, en dehors du serveur de tunnel principal auquel vous vous êtes connecté volontairement.
Juridiction favorable ne veut pas dire immunité totale
Un point souvent négligé : la juridiction affichée par un fournisseur correspond à son siège social déclaré, pas nécessairement à celle de sa société mère, de ses actionnaires principaux, ou des prestataires cloud qu'il utilise pour héberger son infrastructure de télémétrie et de facturation. Un fournisseur peut être enregistré dans une juridiction favorable à la vie privée tout en appartenant à un groupe basé ailleurs, ou en confiant sa gestion de données techniques à un sous-traitant implanté dans un pays soumis à des obligations plus strictes.
Aucune juridiction, aussi favorable soit-elle, n'accorde une immunité totale face à une enquête criminelle menée localement pour des faits graves : elle réduit l'exposition à une coopération de renseignement de routine entre agences alliées, elle n'annule pas toute possibilité de procédure judiciaire légitime.
Les traités d'entraide judiciaire, au-delà des alliances de renseignement
Un fournisseur établi hors des alliances Five, Nine ou Fourteen Eyes n'est pas pour autant totalement isolé de toute procédure internationale. Des traités d'entraide judiciaire mutuelle (MLAT) permettent, dans de nombreux cas, à une autorité étrangère d'obtenir une coopération d'un pays tiers via une procédure judiciaire formelle, plus longue et plus encadrée qu'un simple partage de renseignement entre agences alliées, mais qui reste un canal légal d'obtention d'informations, y compris pour une entreprise basée hors de ces alliances.
Cette nuance explique pourquoi une juridiction favorable réduit un risque spécifique (la coopération de routine entre agences de renseignement alliées) sans éliminer toute possibilité de procédure judiciaire légitime pour des faits graves faisant l'objet d'une enquête criminelle internationale.
Le warrant canary, un signal indirect à surveiller
Certains fournisseurs publient ce qu'on appelle un warrant canary : une déclaration régulièrement republiée affirmant n'avoir reçu, à ce jour, aucune demande judiciaire secrète l'obligeant à coopérer sous le sceau du secret. Le principe repose sur une logique implicite : si cette déclaration cesse d'être republiée à la date attendue, cela peut signaler qu'une telle demande a été reçue, sans que le fournisseur n'ait le droit de le dire explicitement en raison d'une obligation de confidentialité imposée par la procédure elle-même.
Ce mécanisme reste juridiquement non testé dans de nombreuses juridictions, et son efficacité dépend entièrement de la vigilance des utilisateurs qui doivent surveiller activement sa mise à jour. C'est un signal complémentaire utile, pas une garantie contractuelle opposable, mais sa présence témoigne au moins d'une volonté de transparence de la part du fournisseur concerné.
Une information à combiner, pas à isoler
La juridiction et la politique de télémétrie d'un fournisseur prennent tout leur sens lorsqu'elles sont croisées avec les autres critères pratiques abordés dans ce guide : la propreté de l'installateur, la stabilité de la connexion sur votre pare-feu Windows, et le modèle économique qui finance réellement l'offre gratuite. Un fournisseur irréprochable sur la juridiction mais dont l'installateur embarque un logiciel indésirable, ou inversement, ne présente pas une garantie de confiance globale simplement parce qu'un critère isolé est satisfaisant.
Retour à la page d'accueil pour une vue d'ensemble des cinq situations à considérer avant de choisir un VPN gratuit sur PC, plutôt qu'un critère unique pris isolément, aussi rassurant soit-il en apparence.