Les lois sur la protection des données comme le RGPD européen et le CCPA californien vous donnent des droits légaux sur vos données personnelles : savoir ce qui est collecté, demander leur suppression, et dans certains cas refuser leur vente ou leur usage publicitaire ciblé. Ce qu’elles ne font pas, c’est empêcher la collecte de se produire en temps réel pendant que vous naviguez. Comprendre la différence compte si vous vous demandez si ces lois vous couvrent déjà, ou si un VPN a encore un rôle à jouer.
Ce que le RGPD couvre vraiment
Le Règlement général sur la protection des données de l’UE s’applique à toute entreprise traitant les données personnelles de résidents européens, où qu’elle soit basée. Il exige un consentement clair pour la collecte de données, vous donne le droit d’accéder à vos données et de les supprimer, et impose aux entreprises de signaler les violations de données dans un délai strict. Son application a donné lieu à certaines des plus lourdes amendes en matière de vie privée jamais infligées.
Ce que le RGPD ne fait pas, c’est empêcher un site de tenter de prendre l’empreinte de votre navigateur, d’enregistrer votre adresse IP au moment où vous vous connectez, ou de partager des données avec des partenaires publicitaires avant même que vous n’ayez eu l’occasion de vous y opposer : il encadre ce qui arrive aux données après leur collecte et impose des mécanismes de consentement, mais ne bloque pas techniquement la collecte au niveau réseau. Un VPN agit avant tout ça : il change quelle adresse IP se retrouve enregistrée en premier lieu.
Ce que couvre le CCPA (et son successeur, le CPRA) aux États-Unis
Le California Consumer Privacy Act, étendu ensuite par le CPRA, donne aux résidents californiens des droits proches en esprit du RGPD : savoir quelles données sont collectées, en demander la suppression, et refuser la vente ou le partage de données personnelles. Plusieurs autres États américains ont depuis adopté des lois comparables, même si la couverture et les détails varient beaucoup d’un État à l’autre, et il n’existe toujours pas de loi fédérale unique sur la vie privée pour l’ensemble du pays.
Cette mosaïque état par état explique en partie pourquoi les utilisateurs américains de VPN voient souvent plus de valeur dans un VPN que ceux de juridictions plus strictes et uniformes : le niveau plancher de protection légale varie beaucoup selon l’État, alors que la protection d’un VPN ne change pas selon votre localisation.
Là où ces lois et un VPN font un travail différent
Les lois sur la protection des données encadrent les entreprises : ce qu’elles peuvent collecter, combien de temps elles peuvent le garder, et quels droits vous avez pour le contester. Un VPN agit au niveau réseau : il cache votre adresse IP aux sites que vous visitez et chiffre votre trafic pour que votre fournisseur d’accès ne voie pas quels sites vous visitez en premier lieu. Ni l’un ni l’autre ne remplace le second.
Une façon utile d’y penser : le RGPD et le CCPA portent sur la responsabilité une fois que la donnée existe déjà. Un VPN comme ProtonVPN réduit la quantité de données identifiantes créées et enregistrées en premier lieu, en particulier les données basées sur l’IP dont dépend encore beaucoup de tracking et de profilage.
Pourquoi la juridiction de votre VPN compte toujours
Ironie du sort, la même mosaïque de lois qui rend le RGPD et le CCPA importants pour vous s’applique aussi au fournisseur de VPN que vous choisissez. Un VPN basé dans un pays avec une législation de protection des données solide et sans obligation de conservation des données (la Suisse et le Panama sont des exemples courants parmi les fournisseurs audités) subit moins de pression légale pour enregistrer et transmettre les données utilisateur qu’un fournisseur basé dans un pays qui peut imposer leur divulgation. Voir notre analyse de la juridiction VPN et des alliances Five Eyes, Nine Eyes et Fourteen Eyes pour voir comment ça joue en pratique.
Autres lois régionales à connaître
La LGPD brésilienne (Lei Geral de Proteção de Dados) reprend de près la structure du RGPD et s’applique à toute entreprise traitant les données de résidents brésiliens, où qu’elle soit basée. Le Royaume-Uni maintient sa propre version du RGPD (UK GDPR) depuis le Brexit, fonctionnellement proche de l’original européen mais appliquée séparément par son autorité de contrôle. Aucune de ces lois, pas plus que le RGPD ou le CCPA, ne change quoi que ce soit à l’utilité principale d’un VPN : masquer votre IP et chiffrer votre trafic reste aussi pertinent pour un résident brésilien ou britannique que pour un résident de l’UE ou de Californie, puisque la loi et la protection au niveau réseau règlent des parties différentes du même problème plus large.
Ce qui se passe quand ces lois croisent les demandes de surveillance gouvernementale
Il faut être lucide sur une limite que ces lois partagent : aucune ne prime sur le pouvoir légal distinct d’un gouvernement d’exiger la divulgation de données à des fins d’application de la loi ou de sécurité nationale, via mandats, assignations, ou, dans certaines juridictions, des procédures légales plus opaques. Le RGPD et le CCPA encadrent des pratiques commerciales ; ce ne sont pas des boucliers contre des demandes d’accès gouvernementales légales, qui relèvent de cadres juridiques entièrement différents selon les pays. C’est précisément pour ça que la juridiction d’un fournisseur de VPN et l’existence réelle (ou non) de logs à transmettre comptent indépendamment de la loi de confidentialité qui s’applique par ailleurs à ce fournisseur.
Ce qui a vraiment changé pour les utilisateurs de VPN à cause de ces lois
Les fournisseurs de VPN opérant dans l’UE ou servant des clients européens sont eux-mêmes soumis au RGPD pour les données qu’ils collectent réellement, comme les informations de facturation ou les tickets de support. C’est une des raisons pour lesquelles les promesses de no-logs auditées comptent : un fournisseur peut être totalement conforme au RGPD sur les données qu’il détient tout en enregistrant plus de données de connexion que son marketing ne le suggère, sauf si cette promesse a été vérifiée indépendamment. Cherchez des VPN no-logs audités plutôt que de compter uniquement sur la conformité légale comme preuve d’une posture de confidentialité solide.
Comment exercer concrètement vos droits sous ces lois
Si vous voulez voir ce qu’une entreprise a collecté sur vous, la plupart des entreprises couvertes par le RGPD ou le CCPA sont légalement tenues de proposer un moyen de soumettre une demande d’accès ou de suppression de données, généralement via une page de réglages de confidentialité ou une adresse email dédiée listée dans leur politique de confidentialité. Les délais de réponse sont fixés par la loi (30 jours est courant sous le RGPD, avec des prolongations possibles pour les demandes complexes), donc une entreprise qui ignore une demande correctement soumise constitue elle-même une violation que vous pouvez signaler au régulateur compétent, la CNIL en France ou l’autorité de protection des données concernée ailleurs dans l’UE.
Faire ça périodiquement pour les services que vous utilisez le plus, plateformes de streaming, réseaux sociaux et sites de courtage de données en particulier, réduit plus directement votre empreinte de données réelle que la plupart des mesures techniques, puisque ça retire des données qui existent déjà plutôt que d’empêcher seulement une future collecte.
Ce qu’il faut retenir concrètement
Si vous vivez quelque part couvert par le RGPD, le CCPA, ou une loi similaire, vous avez de vrais outils légaux : demander ce qu’une entreprise détient sur vous, exiger la suppression, refuser la vente de données là où c’est possible. Utilisez-les. Mais ne confondez pas avoir ces droits avec ne plus avoir besoin d’un VPN. Ces lois encadrent ce qui arrive à des données qui existent déjà ; un VPN réduit la quantité de données identifiantes générées par votre connexion en premier lieu. Ce sont des outils complémentaires, pas des substituts l’un à l’autre.
Pour la combinaison la plus solide de garanties no-logs auditées et de juridiction favorable à la vie privée, NordVPN et ProtonVPN restent nos choix les mieux notés dans cette catégorie.
Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.
Le RGPD, le CCPA et les lois similaires sont de vraies protections légales utiles, mais elles encadrent ce que les entreprises font de vos données après leur collecte, pas si le tracking se produit au niveau réseau en premier lieu. Un VPN avec une politique no-logs vérifiée et une juridiction favorable à la vie privée comble le vide que ces lois laissent ouvert.
Continuez la lecture : Five Eyes, Nine Eyes, 14 Eyes : ce que c’est et pourquoi ça compte et À qui appartient vraiment votre VPN ?.