Les VPN et les lois de conservation des données

Une connexion VPN vous offre un accès sécurisé à Internet et vous rend “anonyme” sur Internet grâce à l’utilisation d’une IP qui n’est pas celle de votre domicile, mais celle du fournisseur VNP.

Mais il faut rappeler que les fournisseurs de VPN sont d’abord des sociétés avec des obligations légales, et qui facturent leurs services en ligne. Cela suppose donc pour un fournisseur de VPN que :

1. Si il conserve des logs permettant d’établir les IP du VPN et votre IP personnelle, ces informations doivent être stockées pendant les délais fixés par la loi
2. Si il est présent en France ou en Europe, il pourra transmettre ces informations sur simple demande aux administrations
3. Si il encaisse au moyen de carte bancaire ou de Paypal, il conserve également les données de paiement et pourra également les transmettre sur demande

En Europe, c’est la Directive 2006/24/CE sur la conservation des données qui a été mise en place dans la plupart des pays membre de l’Union Européenne.  Si les services de VPN ne sont pas mentionnés de façon explicite, l’interprétation de la loi laisse penser qu’ils sont entièrement concernés par le sujet. La Directive exige la conservation des données pendant une période allant de six mois à deux ans, en particulier en vue de :

• pouvoir tracer et identifier la source d’une communication;
• pouvoir tracer et identifier la destination d’une communication;
• pouvoir identifier la date, l’heure et la durée d’une communication;
• pouvoir identifier le type de communication;
• pouvoir identifier la machine utilisée pour communiquer;
• pouvoir identifier la localisation des équipements de communication mobile.

Mais il existe des exceptions !

Certains pays n’ont pas encore mise en place cette directive, d’autres l’ont déclaré anticonstitutionnelle.

Sur Wikipedia et sur le site de l’EFF on peut lire que plusieurs pays ont transposé la Directive dans leur législation nationale incluant les suivants : Autriche, Bulgarie, Danemark, Estonie, France, Italie, Lituanie, Liechtenstein, Malte, Pays-Bas, Pologne, Portugal, Slovaquie, Espagne, Norvège et le Royaume-Uni. Les pays en dehors de l’Union Européenne comme la Serbie et l’Islande ont aussi adopté des lois de conservation des données. Les cours constitutionnelles de certains pays ont publié des décisions rejetant cette Directive jugeant qu’elle violait les libertés individuelles. Les pays luttant actuellement contre cette Directive incluent : Allemagne, Chypre, Grèce, République Tchèque et Roumanie. La Directive a été adoptée en Roumanie, puis déclarée anticonstitutionnelle en 2009. En Février 2011, Chypre déclarait cette Directive anticonstitutionnelle. L’Allemagne a déclaré cette Directive anticonstitutionnelle en Mars 2010. En Mars 2011, la loi transposant la Directive en République Tchèque a été annulée par la cour constitutionnelle. La loi Lituanienne qui transposait la Directive a été annulée avant son effet. En Hongrie, la transposition de la loi est toujours en à l’étude par la cour constitutionnelle. Certains pays de l’Union Européenne refusent de transposer cette Directive dans leurs lois nationales. La Commission Européenne a renvoyé la Suède devant la Cour Européenne pour ne pas avoir transposé cette Directive en loi nationale.

Mais en consultant le site de Privacy International et les rapports SECILE et SURVEILLE on apprend que seuls 2 pays Européens n’ont pas encore transposé la Directive : l’Allemagne et la Belgique. Sachant que la Belgique possède des lois très strictes concernant la violation des copyright et la censure de l’Internet.

• Chypre a mis en place la Directive en Février 2011, avec 6 mois de conservation des données
• la Grèce a adopté cette loi en 2011
• la République Tchèque a publié une loi de conservation des données en Juillet 2012
• la Roumanie a adopté une loi de conservation des données le 18 June 2012
• la Suède a mise en place la Directive en Mai 2012, avec 6 mois de conservation des données

Il ne reste donc plus que l’Allemagne qui n’a pas mise en place cette Directive.

A noter aussi que la loi n’est pour l’instant pas applicable aux services de VPN dans les pays suivants :

• Bulgarie
• Luxembourg
• Pays-Bas
• Roumanie
• Serbie
• Suède

En France et en Italie, les VPN ne sont pas non-plus concernés par la Directive, mais les services de ces états savent très bien faire pression sur les entreprises pour arriver à leur fins.

Dans le monde, d’autres pays n’ont pas de loi de conservation des données :

• Argentine
• Brésil
• Hong Kong
• Islande (loi pas applicable aux VPN)
• Japon
• Panama
• Taiwan
• Ukraine

Donc choisir des prestataires implantés dans ces pays, et utilisant des serveurs localisés également dans ces pays, permet de vous garantir un plus haut niveau de confidentialité.

Enfin, il faut savoir qu’il n’existe pas non plus de loi de conservation des données aux Etats-Unis, mais les administration locales (FBI ou NSA par exemple) n’hésitent pas saisir les serveurs ou les données quand ils le souhaitent, donc à éviter si possible.