Des élus démocrates de la Chambre et du Sénat ont envoyé en mars 2026 une lettre à la directrice du renseignement national (DNI) Tulsi Gabbard, posant une question que la plupart des utilisateurs de VPN ne se sont jamais posée : le fait de faire transiter son trafic par un VPN commercial change-t-il vos protections légales face à la surveillance du gouvernement américain ? La lettre arrive avant l’échéance du 20 avril 2026, date à laquelle le Congrès doit renouveler la Section 702 de la loi FISA. Elle place, pour la première fois, l’usage même du VPN sous surveillance légale.
Rien n’a changé aujourd’hui pour votre VPN. Aucune loi n’a été votée, aucun VPN n’a été interdit, aucun tribunal n’a statué sur quoi que ce soit. Mais cette lettre montre que des élus américains examinent désormais une question restée sans réponse pendant des années. Voici ce que fait vraiment la Section 702, ce que demande la lettre, et pourquoi ça compte même si vous n’avez jamais entendu parler du droit américain de la surveillance, et même si vous n’êtes pas américain.
Qu’est-ce que la Section 702 de la loi FISA ?
FISA signifie Foreign Intelligence Surveillance Act, la loi américaine sur la surveillance du renseignement étranger. La Section 702, ajoutée en 2008, autorise des agences comme la NSA à collecter les communications de personnes non américaines situées hors des États-Unis, sans mandat individuel pour chaque cible. C’est la base légale de programmes comme PRISM, révélé par Edward Snowden en 2013.
Le problème, celui qui rend le renouvellement de la Section 702 controversé tous les quelques années, c’est qu’elle ne collecte pas seulement les communications d’étrangers. Quand une cible étrangère parle à un Américain, ou que les données d’un Américain se retrouvent happées dans le filet de collecte, elles sont aussi récupérées. C’est ce qu’on appelle la « collecte incidente », au cœur d’un affrontement de quinze ans entre défenseurs des libertés civiles et agences de renseignement. Les Américains pris dans ce filet n’ont pas les mêmes protections de mandat que dans une surveillance domestique classique.
La Section 702 doit être régulièrement réautorisée par le Congrès. C’est ce qui explique l’échéance du 20 avril 2026, et pourquoi des élus posent des questions précises sur le périmètre de la loi en ce moment plutôt qu’à un autre moment de l’année.
Ce que demande vraiment la lettre à Gabbard
La lettre, envoyée par des élus démocrates de la Chambre et du Sénat, demande au bureau de la DNI Tulsi Gabbard de clarifier comment l’usage d’un VPN commercial interagit avec les protections FISA. Vous pouvez la lire directement sur le site du sénateur Wyden : wyden.senate.gov.
Le sujet de fond n’est pas que les VPN seraient dangereux ou illégaux. C’est plus précis et plus technique : quand vous faites transiter votre trafic par un VPN, en particulier un VPN basé hors des États-Unis, ou un VPN qui pourrait lui-même être contraint de coopérer avec des demandes de renseignement, est-ce que ça change la façon dont vos communications sont classées au titre de la Section 702 ? Est-ce que ça complique le fait de savoir si vous comptez comme une « personne américaine » protégée par le quatrième amendement pour telle ou telle donnée, ou est-ce que ça fait basculer votre trafic dans une zone grise où ces protections deviennent floues ?
Personne n’a de réponse nette. Ce n’est pas que le gouvernement a statué contre les utilisateurs de VPN. C’est que la question n’a apparemment jamais été tranchée ni clarifiée publiquement, et les élus à l’origine de la lettre veulent que le bureau de la DNI Gabbard dise, noir sur blanc, comment ses agences traitent le trafic qui passe par un VPN.
Pourquoi la juridiction et le routage du VPN comptent ici
C’est une question différente de celle qu’on pose habituellement sur la juridiction d’un VPN. La plupart des guides de confidentialité (dont notre article sur les alliances de renseignement Five Eyes, Nine Eyes et 14 Eyes) se concentrent sur le pays où une entreprise VPN est légalement basée, et sur la capacité de ce pays à la forcer à livrer des journaux de connexion. Il s’agit là de protéger vos données face à un ordre légal reçu par votre fournisseur.
La question soulevée par la lettre FISA est différente. Elle porte sur la manière dont l’usage d’un VPN, n’importe lequel, peut affecter la façon dont le gouvernement classe lui-même vos communications quand il collecte des données en masse au titre de la Section 702, indépendamment du fait que votre fournisseur VPN reçoive ou non une demande légale. Chiffrer son trafic et le faire transiter par des serveurs dans un autre pays pourrait, en théorie, changer la façon dont une communication est signalée, si elle paraît « étrangère » ou « domestique » aux yeux d’un système de collecte, et quelle norme légale s’applique. Des juristes pointent cette ambiguïté depuis des années sans réponse tranchée, et la lettre à Gabbard demande en substance à la communauté du renseignement de clarifier sa position.
Un fournisseur VPN basé aux États-Unis reste aussi plus directement atteignable par une National Security Letter ou un ordre FISA qu’un fournisseur basé en Suisse ou au Panama, ce qui explique pourquoi la juridiction garde son importance en tant que facteur distinct. La base suisse de ProtonVPN, avec l’obligation d’une enquête pénale suisse avant toute réquisition de données, ou le modèle de compte anonyme suédois de Mullvad sur mullvad.net, restent pertinents précisément parce qu’ils échappent à la portée directe du droit américain. Mais la question soulevée par la lettre existe quel que soit le VPN utilisé ou son lieu d’incorporation : que fait la Section 702 d’un trafic chiffré par VPN, tout simplement.
Ce que ça change concrètement, aujourd’hui
Rien ne change pour vous en ce moment. Aucun VPN n’a été restreint, aucune nouvelle règle n’oblige les fournisseurs à agir différemment, et utiliser un VPN reste parfaitement légal aux États-Unis comme ailleurs. La lettre est une demande de clarification envoyée à une responsable, avant une échéance législative. C’est un signal qu’une question est posée officiellement, pas un résultat de politique publique.
Ce que ça vous apprend, c’est que l’usage du VPN fait désormais explicitement partie du débat autour de la Section 702 au Congrès, ce qui n’était pas vraiment le cas lors des précédents cycles de renouvellement. Si le bureau de la DNI Gabbard répond, ou si un langage lié aux VPN se retrouve dans le texte de renouvellement ou de réforme qui passera au Congrès avant le 20 avril, ça vaudra la peine d’être suivi. Les défenseurs de la vie privée ont poussé pour des réformes plus strictes de la FISA lors des cycles précédents et ont majoritairement perdu ces batailles, donc rien ne garantit que cette lettre change quoi que ce soit de concret. Mais c’est la première fois que l’usage du VPN en tant que tel, et pas seulement la juridiction du fournisseur, apparaît aussi directement dans le débat sur la surveillance.
Si vous vous demandez quel VPN choisir en attendant, la juridiction, les politiques no-logs auditées et la transparence restent les leviers concrets sur lesquels vous avez la main. Notre article sur les warrant canaries VPN explique comment les fournisseurs signalent des demandes gouvernementales secrètes, l’outil le plus proche pour suivre ce type de pression sur un fournisseur donné.
Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.
Ce qu’il faut surveiller avant le 20 avril
Quelques points à suivre à mesure que l’échéance de renouvellement approche.
Est-ce que le bureau de la DNI Gabbard répond réellement à la lettre, et que dit-il sur la classification du trafic VPN au titre de la Section 702.
Est-ce que le texte de renouvellement, à la Chambre ou au Sénat, contient un langage spécifique sur l’usage des VPN ou le routage de trafic chiffré. Ce n’est le cas d’aucun texte à ce jour.
Est-ce que des organisations comme l’EFF ou l’ACLU reprennent cet angle VPN précis dans leurs propres campagnes de réforme de la Section 702, elles qui se sont historiquement concentrées sur l’exigence de mandat pour la collecte incidente en général.
Rien de tout cela ne signifie qu’il faut arrêter d’utiliser un VPN, et rien n’indique que l’usage d’un VPN crée en soi un risque légal pour un utilisateur ordinaire. La question posée porte sur la façon dont la loi traite vos données, pas sur le droit d’utiliser l’outil.
C'est une lettre qui pose une question, pas une décision de justice ni une nouvelle loi. Rien n'a changé aujourd'hui dans l'usage d'un VPN, et aucun fournisseur n'est mis en cause. Ce qui compte, c'est que des élus américains examinent désormais comment la Section 702 traite le trafic chiffré par VPN avant l'échéance de renouvellement du 20 avril 2026, un angle qui n'avait pas reçu autant d'attention lors des précédents cycles. Continuez à utiliser un VPN sérieux, audité, no-logs, basé dans une juridiction favorable. C'est ce qui vous protège face à un fournisseur contraint de livrer des données, le risque le plus concret et le plus immédiat. La question de classification FISA est à surveiller, pas à paniquer.