La réputation de la Suisse comme havre de confidentialité, la raison pour laquelle ProtonVPN, Threema et d’autres entreprises orientées vie privée ont choisi d’y installer leur siège, est mise à l’épreuve par une révision proposée de la loi de surveillance du pays. Mi-2026, l’issue reste incertaine, mais cette incertitude a déjà poussé Proton à commencer à déplacer une partie de son infrastructure hors du pays.
Pourquoi la Suisse comptait autant pour les entreprises de confidentialité
La Suisse a bâti sa réputation de havre de la protection des données sur des décennies, à travers des protections légales solides, une tradition de confidentialité de type bancaire qui s’est étendue culturellement à la façon dont le pays a abordé les services numériques, et surtout, en restant hors de toute grande alliance de partage du renseignement. C’est cette combinaison qui a poussé ProtonVPN, Threema et un groupe d’autres entreprises orientées confidentialité à s’y installer plutôt qu’aux États-Unis, au Royaume-Uni ou dans l’UE, aucun n’offrant tout à fait la même combinaison de protection légale et d’absence d’alliance. La proposition actuelle compte précisément parce qu’elle menace ce qui a attiré ces entreprises en Suisse au départ.
Ce que la loi proposée exigerait vraiment
Le Conseil fédéral suisse a introduit en janvier 2025 une révision de l’Ordonnance sur la surveillance de la correspondance par poste et télécommunication (OSCPT). Cette révision étendrait les obligations de surveillance, jusque-là limitées aux télécoms et fournisseurs d’accès internet, à une catégorie bien plus large que l’ordonnance appelle les fournisseurs de “services de communication dérivés” : VPN, applis de messagerie chiffrée et réseaux sociaux.
Selon la proposition, tout fournisseur concerné comptant plus de 5 000 utilisateurs devrait identifier ses clients, conserver les métadonnées de communication pendant six mois après la fermeture d’un compte, et, quand le fournisseur détient les clés de chiffrement, déchiffrer le contenu sur demande des autorités. Les plus gros fournisseurs, ceux dépassant un million d’utilisateurs ou 100 millions de francs suisses de chiffre d’affaires annuel, feraient face à des obligations d’interception en temps réel plus strictes.
Pourquoi Proton agit déjà
Proton, qui gère Proton Mail, Proton VPN, Proton Drive et Proton Pass depuis Genève, est l’opposant le plus vocal à la proposition. L’entreprise a indiqué que si l’amendement passe dans une forme proche de l’actuelle, ses options se réduisent à compromettre ses engagements no-logs et de chiffrement de bout en bout, ou à quitter la juridiction. Le fondateur de Proton, Andy Yen, a déclaré que le seul pays européen avec une loi de surveillance à peu près comparable est la Russie.
Plutôt que d’attendre une décision finale, Proton a confirmé déplacer progressivement une partie de son infrastructure physique hors de Suisse, en commençant par son assistant IA Lumo, tout en gardant son siège, sa direction et son lobbying politique à Genève. L’entreprise a évoqué l’Allemagne et la Norvège comme destinations probables pour son infrastructure, citant le cadre du RGPD européen et les standards de protection des données norvégiens comme garanties comparables.
Où en est réellement le processus
Contrairement à une loi votée par le parlement suisse, la révision de l’OSCPT est une ordonnance fédérale, que le Conseil fédéral peut adopter sans vote parlementaire et, surtout, sans déclencher le mécanisme habituel de référendum populaire suisse. Les critiques, entreprises de confidentialité et groupes de la société civile en tête, ont précisément pointé ce chemin procédural comme un moyen de contourner l’examen public qu’un changement de cette ampleur mériterait normalement.
La période de consultation publique sur la proposition s’est close mi-2025 avec une opposition importante des entreprises orientées confidentialité, des groupes de défense des droits numériques et de partis politiques. Mi-2026, le Conseil fédéral n’a publié aucune version finale de l’ordonnance, et aucune date de mise en application n’a été fixée. La proposition reste dans un flou juridique : ni retirée, ni finalisée, ni programmée pour un vote public.
Pourquoi le système référendaire suisse rend ça inhabituel
La Suisse est connue à l’international pour sa démocratie directe : les citoyens peuvent forcer un vote public sur une loi à laquelle ils s’opposent en réunissant assez de signatures, un mécanisme qui a historiquement donné aux électeurs suisses une réelle influence sur les grands changements de politique. Une ordonnance émise directement par le Conseil fédéral, plutôt qu’une loi votée par le parlement, ne déclenche pas le même mécanisme référendaire, exactement la critique soulevée par les défenseurs de la vie privée : une extension de surveillance de cette ampleur, selon eux, est précisément le genre de décision que le système référendaire est censé laisser trancher au public, et la voie de l’ordonnance contourne ça par construction, pas par accident.
Comment réagissent les autres entreprises suisses de confidentialité
Proton n’est pas la seule entreprise suisse de confidentialité à se positionner. Threema, l’appli de messagerie chiffrée, et NymVPN se sont toutes deux publiquement opposées à l’ordonnance pour des raisons similaires, avertissant que les exigences de déchiffrement obligatoire et d’identification des utilisateurs saperaient précisément l’environnement légal qui avait rendu la Suisse attractive pour les entreprises orientées confidentialité en premier lieu. Tous les fournisseurs suisses ne partagent pas cette réponse, cependant : certaines entreprises suisses de cloud et d’hébergement ont adopté une position plus conciliante pendant la consultation, estimant que la conformité reste gérable et que déplacer son infrastructure serait une réaction excessive face à une proposition non encore finalisée. Cette division au sein du secteur suisse de la confidentialité fait elle-même partie de l’histoire : elle montre une vraie incertitude sur la façon dont l’ordonnance atterrira, pas une réponse unifiée du secteur.
Ce qui se passerait si l’ordonnance passait telle quelle
Si le Conseil fédéral adopte la révision de l’OSCPT dans sa forme actuelle, les fournisseurs de VPN basés en Suisse comptant plus de 5 000 utilisateurs devraient bâtir l’infrastructure technique et légale pour identifier leurs clients et conserver des métadonnées, un changement fondamental pour tout fournisseur dont le produit entier repose sur le fait de ne justement pas faire ça. Pour un VPN no-logs, ce n’est pas une question d’ajuster un document de politique, ça exigerait de repenser structurellement la gestion des données utilisateur, précisément pourquoi Proton a présenté son choix comme conformité ou départ plutôt qu’un ajustement intermédiaire plus modeste.
Ce que ça ne change pas pour l’instant
Proton a été explicite sur le fait que ses changements d’infrastructure à ce stade sont préventifs et ciblés, pas une sortie complète de Suisse, et que ses politiques no-logs et son chiffrement de bout en bout restent inchangés quel que soit l’emplacement physique des serveurs. ProtonVPN reste l’un de nos choix les mieux notés pour les utilisateurs orientés confidentialité pendant que ce dossier évolue. L’audit SOC 2 Type II et le quatrième audit no-logs consécutif de ProtonVPN, tous deux réalisés en 2026, ne sont pas affectés par ce processus d’ordonnance et reflètent la réalité opérationnelle actuelle, pas une couverture contre une loi qui n’est pas encore entrée en vigueur.
Ce dossier fait aussi écho à un mouvement réglementaire plus large déjà visible ailleurs en Europe : notre couverture de la conservation des données par l’UE reflète la même tension entre accès des forces de l’ordre et services chiffrés de bout en bout et sans logs. L’ordonnance suisse, notamment, emprunte une voie procédurale encore moins visible que ces processus européens.
Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.
La révision proposée de l'OSCPT suisse reste non résolue mi-2026, coincée dans un flou procédural qui évite à la fois un vote parlementaire et un référendum public. La décision de Proton de commencer à déplacer son infrastructure hors du pays avant même que la loi ne soit finalisée est un signal à surveiller : elle suggère que l'entreprise voit une chance réelle que l'ordonnance passe sous une forme incompatible avec ses engagements de confidentialité. Pour l'instant, la politique no-logs et l'historique d'audit de ProtonVPN restent intacts, mais la juridiction suisse comme argument de vente en matière de confidentialité est moins certaine qu'il y a un an.
Si l’incertitude sur la juridiction suisse vous inquiète, NordVPN et sa juridiction panaméenne restent une alternative bien auditée sans menace législative comparable à l’horizon.
Continuez la lecture : Test ProtonVPN 2026 : le choix axé vie privée et Five Eyes, Nine Eyes, 14 Eyes : ce que c’est et pourquoi ça compte.