Five Eyes, Nine Eyes, 14 Eyes : ce que c'est et pourquoi ça compte pour les utilisateurs de VPN

Si vous avez fait des recherches sur les VPN, vous avez forcément croisé ces termes : Five Eyes, Nine Eyes, 14 Eyes. Les sites de comparaison les utilisent constamment, souvent comme raison d’éviter les VPN basés dans certains pays. La plupart des explications s’arrêtent à lister les pays membres. Celle-ci va plus loin.

Voici ce que ces alliances sont vraiment, ce qu’elles peuvent (et ne peuvent pas) contraindre les fournisseurs de VPN à faire, et à quel point elles devraient réellement influencer votre choix de VPN.

Qu’est-ce que l’alliance Five Eyes ?

Les Five Eyes (FVEY) est un accord de partage de renseignements entre cinq pays anglophones : les États-Unis, le Royaume-Uni, le Canada, l’Australie et la Nouvelle-Zélande.

Cet accord découle du Traité UKUSA signé après la Seconde Guerre mondiale, initialement centré sur le renseignement de signaux (SIGINT), c’est-à-dire l’interception des communications entre gouvernements étrangers. Au fil des décennies, il s’est étendu en un cadre complet de partage de renseignements couvrant les signaux, le renseignement humain et la collecte de données en masse.

Ce qui rend les Five Eyes significatifs pour la vie privée, c’est que leurs membres s’engagent à partager leurs données de surveillance entre eux. Concrètement, un pays peut demander à un autre de collecter des données en son nom, puis recevoir ces données, ce qui permet de contourner les restrictions juridiques nationales sur la collecte de renseignements concernant ses propres citoyens.

Le programme PRISM de la NSA (révélé par Edward Snowden en 2013) a montré l’ampleur de ce que représente en pratique la collecte Five Eyes. Cette alliance n’est pas une préoccupation théorique, tout comme l’ancien système ECHELON, un réseau mondial de stations d’interception construit pour aspirer le trafic téléphonique, fax et satellite. Washington n’a jamais officiellement confirmé son existence, mais des documents déclassifiés et plusieurs enquêtes indépendantes en ont décrit le fonctionnement en détail depuis des décennies.

Il existe aussi un organe de contrôle moins connu, le FIORC (Five Eyes Intelligence Oversight and Review Council), qui réunit les inspecteurs généraux et organes de contrôle des cinq pays membres. Son rôle est surtout de comparer les pratiques de supervision entre pays, pas de limiter ce que l’alliance collecte.

Membres Five Eyes : États-Unis, Royaume-Uni, Canada, Australie, Nouvelle-Zélande

Nine Eyes : quatre pays supplémentaires

Les Nine Eyes étendent le cadre Five Eyes au Danemark, à la France, aux Pays-Bas et à la Norvège. Ces quatre pays supplémentaires participent au partage de renseignements, mais avec un accès plus limité que les cinq membres du noyau.

En termes de vie privée, les Nine Eyes comptent parce qu’ils élargissent le pool de pays pouvant demander des données au nom des autres. Une ordonnance judiciaire française exigeant des données auprès d’une entreprise néerlandaise, par exemple, a plus de poids quand les deux pays participent au même cadre de renseignement.

Nine Eyes ajoute : Danemark, France, Pays-Bas, Norvège

14 Eyes : l’extension européenne

Les 14 Eyes ajoutent l’Allemagne, la Belgique, l’Italie, l’Espagne et la Suède au cadre Nine Eyes. Ce groupe est parfois appelé SSEUR (SIGINT Seniors Europe) dans les cercles du renseignement.

À ce stade, l’alliance couvre la majeure partie de l’Europe occidentale ainsi que les États-Unis, le Royaume-Uni, le Canada, l’Australie et la Nouvelle-Zélande. Pour les utilisateurs de VPN, cela signifie qu’un fournisseur constitué en Allemagne est techniquement dans un pays 14 Eyes, même si les lois internes allemandes sur la vie privée sont parmi les plus strictes d’Europe.

14 Eyes ajoute : Allemagne, Belgique, Italie, Espagne, Suède

Au-delà des trois alliances connues

Five, Nine et 14 Eyes captent toute l’attention, mais ce ne sont pas les seuls clubs de partage de renseignements.

SIGINT Seniors Pacific (SSPAC) est l’équivalent Asie-Pacifique du SSEUR, créé en 2005. Il réunit les pays Five Eyes plus la Corée du Sud, Singapour, la Thaïlande, la France et l’Inde.

Club de Berne est un réseau informel plus ancien de services de sécurité et de renseignement européens (pas seulement SIGINT), qui existe sous une forme ou une autre depuis 1971. On en parle rarement dans le marketing VPN, mais il fait partie du même paysage de coopération entre agences européennes.

Un éventuel “Six Eyes” revient périodiquement dans l’actualité depuis 2020, quand le ministre japonais de la Défense de l’époque a évoqué un rapprochement avec les Five Eyes dans une interview au Nikkei. Rien de formel n’en est sorti, et le Japon n’appartient à aucune des trois alliances évoquées ici, mais cela rappelle que la liste des pays membres n’est pas gravée dans le marbre.

Rien de tout cela ne change le conseil de base. Cela signifie simplement qu’être “hors 14 Eyes” n’équivaut pas automatiquement à être hors de tout dispositif de partage de renseignements.

La juridiction compte-t-elle vraiment pour les utilisateurs de VPN ?

Voici la réponse nuancée que la plupart des comparatifs évitent : la juridiction compte, mais ce n’est pas la seule chose qui compte, et elle est souvent surpondérée par ceux qui n’ont pas réfléchi au modèle de menace réel.

Quand la juridiction compte beaucoup : si vous êtes journaliste, militant ou dans une situation où un gouvernement pourrait faire pression sur un fournisseur VPN par des voies légales, la juridiction est importante. Un VPN basé aux États-Unis peut recevoir une National Security Letter, une ordonnance secrète qui interdit au destinataire de la divulguer. Un VPN au Panama ne le peut pas.

Quand la juridiction compte moins qu’on ne le croit : pour la grande majorité des utilisateurs de VPN (ceux qui veulent éviter le pistage par leur FAI, accéder à des contenus géo-restreints ou utiliser un Wi-Fi public en sécurité), ce qui compte davantage est de savoir si le VPN ne conserve vraiment aucun journal. Un VPN sans logs dans un pays Five Eyes, avec cette promesse vérifiée de façon indépendante et testée en justice, offre une meilleure protection pratique qu’un VPN dans une juridiction “sûre” qui conserve des logs sans vérification.

La raison est simple : si un VPN ne conserve aucun log, il n’y a rien à transmettre. La juridiction ne devient pertinente que s’il existe des données.

NordVPN (Panama) et Mullvad (Suède) illustrent bien cela. Le Panama est hors Five Eyes, ce qui est un avantage pour la vie privée. Mais Mullvad, constitué en Suède (un pays 14 Eyes), a eu ses serveurs physiquement saisis par la police sans qu’on y trouve quoi que ce soit, parce qu’il ne conserve vraiment aucun log. Les deux sont des options crédibles pour des raisons différentes.

Des cas réels : ce que la juridiction a déjà forcé des VPN à faire

La théorie, c’est une chose. Voici ce qui s’est réellement passé, dans des pays Five Eyes en particulier :

• IPVanish (États-Unis, 2016) a transmis des logs de connexion au FBI dans le cadre d’une enquête criminelle, alors que le service se présentait à l’époque comme un VPN sans logs. L’entreprise a changé de propriétaire depuis et revu ses pratiques, mais l’affaire reste l’exemple le plus clair d’une promesse “no-logs” qui cède sous la pression légale américaine.
• HideMyAss (Royaume-Uni, 2011) a reçu l’ordre d’un tribunal britannique de fournir des données utilisateur liées à une enquête de piratage informatique. HMA n’en a informé ses utilisateurs qu’après que l’affaire est devenue publique.
• Lavabit (États-Unis, 2013) a reçu une ordonnance secrète exigeant les clés de chiffrement des e-mails de ses utilisateurs, dans le cadre de l’enquête sur Edward Snowden. Plutôt que d’obtempérer, son fondateur Ladar Levison a fermé le service.
• Riseup (États-Unis), un collectif de messagerie et de VPN axé sur la vie privée, a été contraint de journaliser certaines données utilisateur sous une ordonnance de silence qui lui interdisait même de mettre à jour son warrant canary.
• TorGuard (États-Unis) a été forcé de bloquer le trafic BitTorrent sur ses serveurs américains dans le cadre d’un règlement pour violation de droits d’auteur. Preuve que le risque de juridiction Five Eyes ne se limite pas à la surveillance gouvernementale : le contentieux privé compte aussi.

Aucun de ces VPN ne s’est retrouvé par hasard dans une “mauvaise” juridiction. Tous étaient constitués dans des pays Five Eyes où tribunaux et agences disposent d’outils légaux réels pour exiger une coopération, parfois assortis d’une ordonnance de silence qui empêche même l’entreprise de le révéler.

Les pays hors des trois alliances

Si la juridiction est une priorité, ces pays n’ont pas de lois de rétention de données obligatoires et sont en dehors des Five Eyes, Nine Eyes et 14 Eyes :

• Panama (juridiction de NordVPN)
• Suisse (ProtonVPN). La loi suisse exige une enquête pénale avant que des données puissent être exigées
• Islande (lois solides sur la vie privée, hors des directives de rétention obligatoire de l’UE)
• Îles Vierges britanniques (ExpressVPN était incorporé ici, mais appartient maintenant à Kape Technologies, Royaume-Uni)
• Roumanie (société mère de CyberGhost)
• Malaisie (Hide.me)

La Suisse mérite une mention spéciale. La loi suisse ne se contente pas de la placer hors des alliances de renseignement. Elle exige formellement qu’une enquête pénale soit ouverte par les autorités suisses avant que des données puissent être exigées. Et le processus est lent et transparent. C’est pourquoi Proton (ProtonMail, ProtonVPN) a choisi Genève comme base.

Au-delà des alliances elles-mêmes, le cadre réglementaire bouge en 2026. Les propositions “going dark” de l’UE et le débat sur le chat control posent régulièrement la question de ce que les gouvernements peuvent forcer les fournisseurs, VPN compris, à journaliser ou à scanner. La juridiction sur le papier n’est pas figée, elle évolue avec la loi. À lire pour suivre l’actualité : ce que le vote sur le chat control européen change pour les VPN et la proposition “Going Dark” de l’UE expliquée.

Comment on note la juridiction chez VPN Picker

Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.

Notre page Comparer inclut la juridiction parmi les 18 critères notés. Les VPN au Panama, en Suisse, en Islande et dans des juridictions similaires obtiennent les meilleures notes. Les VPN aux États-Unis, au Royaume-Uni et en Australie obtiennent des notes plus basses en raison des outils juridiques disponibles pour ces gouvernements (NSL, RIPA, etc.). Les VPN dans des pays 9 ou 14 Eyes obtiennent des notes intermédiaires.

La note de juridiction est un élément parmi d’autres. Un VPN avec une bonne note de juridiction mais sans audit indépendant no-logs obtient quand même une mauvaise note globale. Vous pouvez voir le détail complet pour chaque VPN sur la page Comparer.

Ce qu’il faut retenir

Les alliances Five Eyes, Nine Eyes et 14 Eyes sont réelles et pertinentes. Elles représentent un risque juridique concret pour les VPN qui collectent des données, et les cas IPVanish et HideMyAss ci-dessus montrent à quoi ce risque ressemble quand il se concrétise. Mais ce n’est pas une liste de contrôle simple où “hors alliance = sûr.”

Le bon cadre d’analyse : commencer par la juridiction, c’est un filtre pertinent, puis vérifier la politique no-logs avec des audits indépendants ou un bilan éprouvé en justice, puis examiner la propriété. Un “VPN Panama” détenu par une holding britannique est moins protégé que le titre ne le suggère. Les trois ensemble donnent une image bien plus claire qu’un seul facteur isolé.

Pour une comparaison complète des scores de 48 VPN sur la juridiction, les audits no-logs et 17 autres critères, consultez la page Comparer.

FAQ

Un VPN dans un pays Five Eyes est-il automatiquement non sûr ?

Non. Un VPN no-logs vérifié dans un pays Five Eyes offre une protection pratique solide, car il n’y a pas de données à transmettre. La juridiction devient le facteur décisif uniquement si des données existent et qu’un gouvernement les veut.

Les gouvernements Five Eyes peuvent-ils contraindre un VPN à installer un logiciel de surveillance ?

En théorie, oui. Les États-Unis et le Royaume-Uni disposent de mécanismes légaux pour exiger une coopération et imposer des ordonnances de silence. En pratique, c’est un risque pour les cibles de haute valeur, pas pour l’utilisateur lambda. Les VPN avec des clients open source et des audits réguliers sont plus difficiles à compromettre sans être détectés.

Les 14 Eyes s’appliquent-ils à tous les pays de l’UE ?

Non. Seuls la Belgique, la France, l’Allemagne, l’Italie, les Pays-Bas, l’Espagne et la Suède sont membres des 14 Eyes. D’autres pays de l’UE (comme la Roumanie) ou hors UE (comme la Suisse) ne font partie d’aucune des trois alliances.

Existe-t-il d’autres alliances de renseignement au-delà des Five, Nine et 14 Eyes ?

Oui. Le SIGINT Seniors Pacific (SSPAC) relie les Five Eyes à la Corée du Sud, Singapour, la Thaïlande, la France et l’Inde. Le Club de Berne est un réseau européen informel plus ancien. Le Japon a évoqué un rapprochement avec les Five Eyes depuis 2020 sans jamais rien officialiser. Ces alliances sont moins médiatisées que les 14 Eyes dans le marketing VPN, mais elles font partie du même paysage.

Qu’en est-il de la Chine, de la Russie et d’autres pays autoritaires ?

Les alliances Five/Nine/14 Eyes sont distinctes des États de surveillance autoritaires. Un VPN constitué en Chine opère sous un contrôle gouvernemental entièrement différent, et bien plus direct. La plupart des VPN sérieux axés sur la vie privée sont délibérément constitués en dehors des alliances de renseignement occidentales et des juridictions autoritaires.

À lire aussi : Meilleure juridiction VPN en 2026 : Panama vs Suisse vs Islande et À qui appartient vraiment votre VPN ? La carte de la consolidation en 2026.