Proton a publié un rapport de transparence et un warrant canary actualisés le 14 juillet 2026, et le chiffre qui en ressort est exactement celui qu’un VPN axé sur la vie privée aime afficher : 458 demandes légales cherchant à savoir qui était connecté à un serveur Proton VPN précis à un moment donné, toutes passées par le système judiciaire suisse, et aucune n’a été satisfaite. Proton explique n’avoir eu aucun log à remettre, parce que l’entreprise n’en conserve tout simplement pas.
Ce que dit vraiment le rapport
Selon le billet de blog de Proton, le rapport couvre les demandes cherchant à identifier qui était connecté à un serveur VPN précis à un instant donné, exactement le type de demande qui compterait le plus si Proton conservait des logs de connexion. Les 458 demandes sont toutes passées par des canaux légaux suisses, et Proton affirme n’avoir pu en satisfaire aucune, puisque son architecture no-log signifie que les données demandées n’ont jamais été enregistrées en premier lieu.
Proton publie une forme de rapport de transparence depuis 2017, en le mettant à jour ponctuellement plutôt que sur un calendrier fixe, généralement quand une nouvelle demande légale ou un changement de politique méritent d’être communiqués. Cette mise à jour de juillet s’inscrit dans la continuité de cette pratique plutôt qu’en réaction à un incident isolé.
Pourquoi le concept de warrant canary se complique en Suisse
Un warrant canary est normalement une déclaration qu’une entreprise met à jour régulièrement pour signaler qu’elle n’a pas reçu d’ordre gouvernemental secret ; sa disparition est censée être le signal d’alerte, puisque les ordres de bâillon interdisent typiquement de divulguer la demande directement. Notre explication des warrant canaries détaille comment ce mécanisme est censé fonctionner.
Le rapport de Proton note lui-même un élément qui complique cette logique habituelle, spécifiquement pour la Suisse : le droit suisse exige généralement que la personne visée par une demande de surveillance ou de données soit finalement informée, lui donnant la possibilité de la contester. Cette structure légale rend un ordre de bâillon silencieux et définitivement secret moins probable sous juridiction suisse que dans des pays avec des régimes de lettres de sécurité nationale plus étendus, ce qui explique en partie pourquoi Proton et d’autres services basés en Suisse ou sous droit suisse mettent en avant la juridiction comme argument de vente.
Pourquoi ça compte même si vous n’utilisez pas Proton
Un rapport de transparence n’a de sens que dans le contexte d’une architecture no-log vérifiable, pas l’inverse. La promesse de Proton a déjà été testée via sa politique no-log auditée indépendamment, vérifiée par KPMG, et le rapport de transparence constitue la preuve opérationnelle et continue que l’architecture auditée tient vraiment quand de vraies demandes légales arrivent, plutôt qu’une simple certification ponctuelle.
C’est la distinction à garder en tête chaque fois qu’un fournisseur VPN vend une politique “no-log” : un audit vérifie la conception du système à un instant T, alors qu’un rapport de transparence montre ce qui se passe quand cette conception est testée contre de vraies demandes gouvernementales, en continu. Les fournisseurs qui ne publient ni l’un ni l’autre demandent de croire la promesse sur parole. Ceux qui publient les deux, et où les deux restent cohérents sur plusieurs années, ont le dossier le plus solide.
Il faut aussi noter ce que ce rapport ne couvre pas. Il ne dit rien des métadonnées que Proton pourrait collecter pour la gestion de compte, la facturation ou la prévention des abus, une question distincte des logs de connexion liés à l’activité serveur VPN. Bien lire un rapport de transparence implique de vérifier exactement quelle catégorie de données il couvre, pas seulement accepter le chiffre rassurant du titre. C’est une nuance que la plupart des lecteurs pressés zappent, et pourtant c’est souvent là que se cache la vraie portée d’une promesse no-log.
Ce que probablement ces 458 demandes représentaient
Le rapport de Proton ne nomme aucun individu ni enquête précise, mais le type de demande qu’il décrit, identifier qui s’est connecté à un serveur donné à un moment donné, correspond à la forme classique d’une demande d’enquête criminelle : une police ou un parquet quelque part pense qu’un crime a été commis depuis une adresse IP précise à un horodatage précis, et veut savoir quel client Proton se cachait derrière. C’est différent d’une demande de surveillance large réclamant un suivi continu d’un utilisateur.
Cette distinction compte parce qu’elle montre le système fonctionner comme prévu des deux côtés. Des demandes légitimes des forces de l’ordre continuent d’être déposées et passent toujours par les tribunaux suisses, exactement le processus que la juridiction de Proton est censée canaliser, plutôt que quelque chose qui serait étouffé. Ce qui change, c’est le résultat : la demande est valide, mais la donnée réclamée n’a jamais été collectée, donc il n’y a rien à divulguer, peu importe la légitimité de l’enquête sous-jacente.
Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.
Le contexte réglementaire rend ce rapport plus qu’anodin
Ce rapport de transparence arrive à un moment vraiment significatif. L’Union européenne prépare un cadre élargi de conservation des données qui obligerait les fournisseurs VPN, les apps de messagerie et d’autres services en ligne à conserver les métadonnées de connexion des utilisateurs, adresses IP, horodatages et journaux de connexion, pendant au moins un an. Notre couverture de la conservation des données UE détaille la proposition, mais en résumé, ça rendrait un VPN vraiment no-log difficile à faire fonctionner légalement sur le territoire de l’UE si ça devenait loi contraignante.
ProtonVPN opère sous droit suisse, pas sous droit européen, une des raisons pour lesquelles l’entreprise présente systématiquement le cadre suisse de protection des données comme un avantage structurel plutôt qu’un simple argument marketing. Un rapport comme celui-ci, montrant la politique no-log tenir face à de vraies demandes juste au moment où des obligations de conservation à l’échelle de l’UE sont débattues, fonctionne comme un argument pratique en faveur d’une juridiction hors UE (et hors Five Eyes et Nine Eyes) pour les utilisateurs VPN soucieux d’anticiper ce genre de virage législatif.
Le rapport de transparence de Proton du 14 juillet 2026 confirme, sans éclat particulier mais solidement, quelque chose qui compte plus que la plupart des promesses marketing VPN : sur 458 vraies demandes légales passées par des tribunaux suisses, il n'y avait aucun log à remettre. C'est le résultat concret d'une architecture no-log réellement auditée. Ça ne fait pas de Proton le bon VPN pour tout le monde, la juridiction et les audits ne comptent que pour une partie du tableau, mais c'est un élément parlant si la vie privée et un processus vérifiable comptent en haut de votre liste.
Pour approfondir le lien entre juridiction et demandes légales, voir meilleure juridiction VPN en 2026.