Pour un responsable de traitement soumis au RGPD, sélectionner un VPN professionnel ne relève pas de la comparaison de débits ni du nombre de points de présence. La question porte sur la chaîne de sous-traitance : si le prestataire retenu — ou l'entité qui le contrôle — relève de la juridiction américaine, une obligation de communication s'impose à lui qu'aucune clause contractuelle ne neutralise. Cet article expose le cadre applicable, propose une grille d'audit fournisseur et examine ce que les dossiers publics des principaux acteurs permettent réellement d'établir.
Ce que le CLOUD Act impose réellement
Le Clarifying Lawful Overseas Use of Data Act, promulgué le 23 mars 2018, modifie le Stored Communications Act de 1986. Son effet principal est simple : une entité soumise à la juridiction américaine et disposant de la capacité technique d'accéder à des données peut être contrainte de les communiquer sur mandat judiciaire, quel que soit le pays où ces données sont physiquement stockées. La domiciliation d'un centre de données à Paris ou à Francfort ne modifie donc pas la juridiction de l'entité qui l'exploite.
Le champ d'application est plus large que la seule nationalité du siège social : une société établie hors des États-Unis peut relever de cette juridiction dès lors qu'elle y exerce des activités, y dispose de bureaux ou y contracte.
Source : BSA | The Software Alliance, Qu'est-ce que le CLOUD Act ?
Le Patriot Act n'est plus le bon référentiel
La Section 215 du Patriot Act reste l'argument le plus fréquemment invoqué pour justifier la défiance envers les prestataires américains. Elle a pourtant expiré le 15 mars 2020, faute d'accord du Congrès sur sa reconduction, et n'a pas été rétablie depuis. Continuer à la citer dans une analyse de risque en 2026 revient à s'appuyer sur un texte inopérant.
Le débat de surveillance actif porte sur deux dispositifs distincts : le CLOUD Act d'une part, la Section 702 du Foreign Intelligence Surveillance Act d'autre part. Un rapport juridique établi par l'université de Cologne pour le ministère fédéral allemand de l'Intérieur, rendu public en décembre 2025 après une période de confidentialité, confirme que la combinaison du Stored Communications Act, du CLOUD Act et de la Section 702 permet aux agences américaines d'accéder à des données hébergées hors des États-Unis dès lors qu'elles sont gérées par une entreprise américaine, filiale locale comprise. Ce rapport indique que la Section 702 avait alors été prolongée jusqu'en avril 2026 : son statut actuel doit être vérifié avant toute analyse de risque opérationnelle.
Schrems II : la charge de l'évaluation pèse sur l'exportateur
Par son arrêt du 16 juillet 2020 (affaire C-311/18), la Cour de justice de l'Union européenne a invalidé la décision d'adéquation « Privacy Shield », au motif que le droit américain de la surveillance n'offre pas un niveau de protection substantiellement équivalent à celui du RGPD. Les clauses contractuelles types restent utilisables, mais l'arrêt en a modifié la portée : leur signature ne suffit plus, l'exportateur devant évaluer lui-même, transfert par transfert, si le droit du pays de destination permet effectivement de les honorer. Le Comité européen de la protection des données a précisé cette obligation d'accountability dans ses recommandations 01/2020, adoptées le 10 novembre 2020 et finalisées en juin 2021.
Deux dispositions européennes constituent le contrepoids formel à une injonction extraterritoriale : l'article 48 du RGPD, qui subordonne l'exécution d'une décision d'autorité d'un pays tiers à l'existence d'un accord international, et, en droit français, la loi n° 68-678 du 26 juillet 1968 dite « loi de blocage ». Ces textes créent un conflit de lois ; ils ne suppriment pas l'obligation qui pèse sur le prestataire.
Quatre critères pour instruire le dossier d'un prestataire
- Juridiction de l'entité contractante. Non pas la marque, ni le pays affiché sur le site commercial, mais la personne morale qui figure sur le contrat. C'est le seul élément opposable.
- Structure de contrôle capitalistique. Une entité offshore détenue par un groupe exposé au droit américain ou britannique reste un point de vigilance à part entière.
- Audit indépendant récent et documenté. Un rapport daté, dont le périmètre et la méthodologie sont publiés, et non une déclaration commerciale ni un label auto-attribué.
- Architecture technique et précédent opérationnel. Serveurs en mémoire vive ou chiffrement intégral des disques, minimisation des données d'inscription, et idéalement un cas documenté de réquisition ayant échoué faute de données à saisir.
Ce que disent les dossiers publics des principaux acteurs
Proton VPN (Suisse). Proton AG opère sous droit suisse, hors des alliances Five, Nine et Fourteen Eyes, et n'est soumis à aucune obligation générale de conservation. Sa politique de non-journalisation a été auditée pour la cinquième année consécutive par le cabinet européen Securitum, lors d'une intervention sur site à Zurich en mai 2026 ; les précédents rapports couvrent 2022 à 2025. Une attestation SOC 2 Type II a été obtenue en juillet 2025. Les applications sont publiées en open source. À noter : Proton n'exploite pas une infrastructure exclusivement en mémoire vive mais des serveurs dédiés détenus en propre, protégés par chiffrement intégral de disque.
Source : Securitum, rapport public d'audit no-logs Proton VPN
Mullvad (Suède). La Suède appartient formellement à l'alliance des Fourteen Eyes. L'architecture a cependant été éprouvée en conditions réelles : le 18 avril 2023, six agents de l'unité NOA de la police suédoise se sont présentés au siège de Göteborg avec un mandat de perquisition visant à saisir des ordinateurs contenant des données clients. Ils sont repartis sans rien, l'exploitant ayant démontré qu'aucune donnée de ce type n'existait. Le service repose sur des comptes numérotés anonymes, sans adresse e-mail, avec possibilité de paiement en espèces. Le cabinet suédois Assured a mené un test d'intrusion de l'application web en août 2025 : aucune vulnérabilité critique, haute ou moyenne, une faiblesse de faible gravité corrigée et revérifiée en septembre. Une revue du code de l'implémentation maison a suivi en janvier-février 2026, avec deux points mineurs corrigés avant publication.
Source : Mullvad VPN, audit indépendant conduit par Assured ; TechRadar, Mullvad's no-log policy proven after police raid, avril 2023
NordVPN (Panama / Nord Security). C'est le prestataire le plus régulièrement audité du marché : six engagements d'assurance depuis 2018, confiés à PwC en 2018 et 2020, puis à Deloitte en 2022, 2023, 2024 et 2025. Le dernier a été conduit par Deloitte Lithuania selon la norme ISAE 3000 (révisée), avec des travaux menés du 10 novembre au 12 décembre 2025 et une publication en février 2026. Une nuance de juridiction mérite d'être relevée : le service est présenté comme opérant sous droit panaméen, tandis que la société mère Nord Security est immatriculée à Amsterdam.
Source : NordVPN, sixième engagement d'assurance no-logs, février 2026
Surfshark (Pays-Bas, groupe Nord Security). Juridiction moins favorable : les Pays-Bas relèvent de l'alliance Nine Eyes, même si le droit néerlandais n'impose pas d'obligation de rétention aux fournisseurs de VPN. La politique de non-journalisation a fait l'objet d'un second rapport d'assurance Deloitte publié le 16 juin 2025, après un premier exercice en 2023.
ExpressVPN et CyberGhost. Les entités opérationnelles se situent respectivement aux Îles Vierges britanniques et en Roumanie, hors juridiction américaine. Les deux marques appartiennent toutefois à Kape Technologies, groupe britannico-israélien dont le siège est à Londres et le contrôle capitalistique détenu par l'entrepreneur Teddy Sagi. Cette structure ne disqualifie pas les entités opérantes, mais relève du critère n° 2 de la grille ci-dessus.
Private Internet Access : à écarter pour cet objectif. Également détenue par Kape, l'entité PIA demeure immatriculée aux États-Unis. Elle relève donc pleinement du CLOUD Act, indépendamment de la qualité technique du produit, de la transparence de son code ou de son historique judiciaire favorable. Le cas illustre précisément la règle : c'est la juridiction de l'entité contractante qui détermine l'exposition, pas la réputation de la marque.
Les limites d'un audit no-log : ce qu'un rapport ne dit pas
Un rapport d'assurance atteste d'un état constaté, sur un périmètre défini, à un instant donné. Les engagements ISAE 3000 conduits dans ce secteur portent sur la configuration observée de certaines catégories de serveurs et sur les procédures d'exploitation. Ils ne constituent ni une évaluation exhaustive de la sécurité du prestataire, ni un contrôle continu, et excluent généralement la revue du code source applicatif et des chaînes d'intégration.
Cette limite n'invalide pas l'exercice — la répétition annuelle et la publication intégrale des rapports restent les meilleurs indicateurs disponibles — mais elle interdit d'en tirer une garantie absolue. Un audit vérifie ce qui a été testé, pas ce qui peut évoluer entre deux campagnes.
Source : Clubic, analyse du périmètre du sixième audit NordVPN, février 2026
L'option souveraine : auto-hébergement et qualification SecNumCloud
Supprimer l'intermédiaire commercial reste la voie la plus directe pour maîtriser la juridiction. Un serveur WireGuard déployé sur un VPS dont l'entreprise choisit l'hébergeur et la localisation, chez un opérateur européen tel qu'OVHcloud, Scaleway ou Ionos, échappe structurellement au champ du CLOUD Act. Le compromis est double : la charge d'exploitation et de maintien en condition de sécurité revient à l'entreprise, et l'adresse IP de sortie, unique et rattachée à l'organisation, offre une protection de juridiction mais aucun anonymat.
Pour les organisations soumises à des exigences renforcées — administrations, opérateurs d'importance vitale, entités essentielles au sens de NIS2, ou prestataires travaillant pour ces publics —, la qualification SecNumCloud de l'ANSSI constitue le référentiel de référence. Sa version 3.2, publiée en mars 2022, explicite des critères d'immunité aux lois extracommunautaires : établissement du prestataire et de ses sociétés mères dans un État membre, hébergement des données, métadonnées, journaux et clés sur le territoire de l'Union, administration opérée depuis l'Union, immunité documentée et contractualisée. La qualification est délivrée après audit par un prestataire PASSI, pour trois ans, avec contrôle de surveillance intermédiaire.
Source : ANSSI, FAQ qualification SecNumCloud
