Gilles Boyer est un expert reconnu en optimisation IT, en conseil de gestion et en performance opérationnelle.
Pour toute organisation soumise au RGPD, le choix d’un VPN professionnel ne se résume pas à un critère de vitesse ou de nombre de serveurs. Il engage la conformité de l’ensemble de la chaîne de sous-traitance dès lors que le prestataire retenu — ou sa société mère — relève du droit américain. Cet article présente le cadre juridique applicable, les critères de sélection pertinents et un comparatif objectif des principales offres du marché.
Cloud Act et Patriot Act : deux textes à ne pas confondre
Le Cloud Act (Clarifying Lawful Overseas Use of Data Act), promulgué le 23 mars 2018, modifie le Stored Communications Act de 1986 et oblige toute entité relevant de la juridiction américaine à transmettre aux autorités, sur mandat judiciaire, les données qu’elle contrôle, indépendamment du lieu physique de stockage. C’est ce texte — et non le Patriot Act — qui constitue aujourd’hui le principal risque d’extraterritorialité pour un prestataire cloud ou VPN. Son champ d’application dépasse d’ailleurs la seule nationalité du siège social : une société établie hors des États-Unis peut y être soumise dès lors qu’elle y exerce des activités, y dispose de bureaux ou y contracte.
La Section 215 du Patriot Act, disposition la plus souvent invoquée pour justifier la défiance envers les prestataires américains, a en réalité expiré le 15 mars 2020, le Congrès n’étant pas parvenu à s’accorder sur sa reconduction ; elle n’a jamais été rétablie depuis. Le débat de surveillance actif porte désormais sur la Section 702 du Foreign Intelligence Surveillance Act (FISA), distincte du Patriot Act. Un rapport juridique établi par l’université de Cologne pour le ministère fédéral allemand de l’Intérieur, rendu public en décembre 2025, indique que la Section 702 avait alors été prorogée jusqu’en avril 2026 ; son statut au-delà de cette échéance doit être vérifié avant toute analyse de risque opérationnelle.
Le prisme RGPD : ce que l’arrêt Schrems II a changé
Pour une entreprise européenne, la question dépasse le seul choix technique. Par son arrêt du 16 juillet 2020 (affaire C-311/18, dit « Schrems II »), la Cour de justice de l’Union européenne a invalidé la décision d’adéquation « Privacy Shield » encadrant les transferts de données vers les États-Unis, au motif que la législation américaine de surveillance ne garantit pas un niveau de protection équivalent à celui du RGPD. Les clauses contractuelles types demeurent utilisables, mais l’exportateur de données doit désormais évaluer lui-même, au cas par cas, si le droit du pays destinataire permet réellement de les respecter — un principe d’accountability précisé par le Comité européen de la protection des données dans ses recommandations 01/2020, adoptées le 10 novembre 2020 et finalisées en juin 2021.
Le Cloud Act n’était pas directement en cause dans cet arrêt, mais il illustre la même logique : un prestataire relevant du droit américain reste soumis à une obligation de transmission qu’aucune clause contractuelle ne peut neutraliser. La juridiction du prestataire redevient donc un élément d’analyse de risque à part entière, au même titre que sa robustesse technique.
Quatre critères pour évaluer un prestataire
- Juridiction d’immatriculation de l’entité opérante : hors des accords Five/Nine/Fourteen Eyes (alliances internationales de services de renseignement qui partagent des données de surveillance de masse), sans obligation légale de rétention de données. C’est la personne morale figurant au contrat qui compte, non la marque commerciale.
- Audit indépendant récent du no-log, dont le périmètre et la méthodologie sont publiés, et non une simple déclaration commerciale.
- Architecture technique : serveurs RAM-only ou chiffrement intégral des disques, minimisation des données d’inscription et, idéalement, un précédent réel documenté (perquisition, saisie de matériel).
- Structure actionnariale de la maison-mère : une filiale offshore d’un groupe sous contrôle américain ou britannique reste un point de vigilance à part entière.
Comparatif des principales offres du marché
Proton VPN (Suisse). Proton AG, société suisse, opère hors des alliances Five/Nine/Fourteen Eyes et n’est soumise ni au Cloud Act américain ni à une obligation générale de conservation. Applications open source. Sa politique de non-journalisation est auditée chaque année depuis 2022 par le cabinet européen Securitum : la cinquième campagne s’est déroulée sur site à Zurich en mai 2026, une attestation SOC 2 Type II ayant par ailleurs été obtenue en juillet 2025. À noter que Proton n’exploite pas une infrastructure exclusivement RAM-only, mais des serveurs dédiés détenus en propre et protégés par chiffrement intégral de disque.
Mullvad (Suède). Membre des 14 Eyes sur le plan formel, mais l’architecture zéro-journalisation a été mise à l’épreuve le 18 avril 2023, lorsque six agents de l’unité NOA de la police suédoise ont perquisitionné le siège de Göteborg dans l’intention de saisir des ordinateurs contenant des données clients : ils sont repartis sans rien, faute de données existantes. Comptes numérotés anonymes, sans adresse e-mail, avec paiement possible en espèces. Le cabinet suédois Assured a mené en août 2025 un test d’intrusion de l’application web — aucune faille critique, haute ou moyenne, une faiblesse de faible gravité corrigée et revérifiée en septembre — puis une revue du code de l’implémentation maison en janvier-février 2026, assortie de deux points mineurs corrigés avant publication du rapport.
NordVPN (Panama, groupe Nord Security). Le Panama n’impose aucune obligation de rétention de données et ne participe à aucune alliance de partage de renseignement. C’est le prestataire le plus audité du marché : six engagements d’assurance depuis 2018, confiés à PwC en 2018 et 2020, puis à Deloitte en 2022, 2023, 2024 et 2025. Le dernier a été conduit par Deloitte Lithuania selon la norme ISAE 3000 (révisée), avec des travaux menés du 10 novembre au 12 décembre 2025 et une publication en février 2026. Une nuance de juridiction mérite toutefois d’être relevée : le service est présenté comme opérant sous droit panaméen, tandis que la société mère Nord Security est immatriculée à Amsterdam.
Surfshark (Pays-Bas, même groupe que NordVPN). Juridiction moins favorable : les Pays-Bas appartiennent à l’alliance Nine Eyes, même si le droit néerlandais n’impose pas d’obligation de rétention aux prestataires VPN. La politique de non-journalisation a fait l’objet d’un second rapport d’assurance Deloitte publié le 16 juin 2025, après un premier exercice en 2023.
ExpressVPN (Îles Vierges britanniques) et CyberGhost (Roumanie).
Les entités opérationnelles se situent hors de la juridiction américaine, mais les deux marques appartiennent à Kape Technologies, groupe britannico-israélien dont le siège est à Londres et dont le contrôle capitalistique est détenu par l’entrepreneur Teddy Sagi. La structure actionnariale mérite une vigilance particulière, sans invalider pour autant la juridiction opérationnelle des deux marques.
L’option souveraine : auto-hébergement et solutions qualifiées SecNumCloud
Pour une maîtrise complète de la juridiction, la solution la plus robuste consiste à supprimer l’intermédiaire commercial : un VPN auto-hébergé, via le protocole WireGuard, déployé sur un serveur (VPS) dont l’entreprise choisit elle-même la localisation et l’hébergeur. Un hébergeur établi en France ou dans l’Union européenne (par exemple OVHcloud, Scaleway ou Ionos) n’étant pas une entité américaine, il échappe structurellement au champ du Cloud Act. Le compromis est double : la charge d’exploitation et de maintien en condition de sécurité revient à l’entreprise, et l’adresse IP de sortie, unique et rattachée à l’organisation, offre une protection de juridiction mais aucun anonymat.
Pour les organisations soumises à des exigences de sécurité renforcées — administrations, OIV/OSE, ou prestataires travaillant pour ce type de clients —, la qualification SecNumCloud délivrée par l’ANSSI (référentiel 3.2, publié en mars 2022) vise explicitement l’immunité aux lois extraterritoriales, Cloud Act compris : établissement du prestataire et de ses sociétés mères dans un État membre, hébergement des données, métadonnées, journaux et clés sur le territoire de l’Union, administration opérée depuis l’Union. La qualification est délivrée après audit par un prestataire PASSI, pour trois ans, avec contrôle de surveillance intermédiaire. OVHcloud, Outscale et S3NS — coentreprise de Thales et Google Cloud, qualifiée en décembre 2025 pour son offre PREMI3NS — figurent parmi les prestataires qualifiés.
Un développement à suivre sur le segment de l’accès distant : Stormshield, filiale d’Airbus CyberSecurity, et Ercom, filiale de Thales, ont annoncé le 1er avril 2026 un client VPN IPsec souverain développé en France, compatible avec les passerelles Stormshield Network Security et positionné sur les exigences LPM et II 901. Le développement est assuré par Ercom, la commercialisation par Stormshield à partir du deuxième trimestre 2026, une procédure de visa de sécurité auprès de l’ANSSI devant être engagée ultérieurement.
Ce qu’il faut retenir
Aucun prestataire, aussi bien positionné soit-il, n’offre d’immunité juridique absolue : une réquisition ne peut extraire que ce qui existe réellement, ce qui place l’audit indépendant du no-log au même niveau d’importance que la juridiction elle-même. Encore faut-il en mesurer la portée : un rapport d’assurance atteste d’un état constaté, sur un périmètre défini, à un instant donné — il n’équivaut ni à un contrôle continu, ni à une évaluation exhaustive de la sécurité du prestataire.
Pour un usage courant, Proton VPN et Mullvad présentent le dossier juridique et technique le plus solide. Pour une maîtrise totale de la chaîne, l’auto-hébergement sur une infrastructure européenne demeure la seule option qui élimine structurellement la dépendance à un tiers.
