# Ce que votre fournisseur d'accès garde de vous, VPN ou pas

> Adresse IP, horodatage, zones géographiques : ce que la loi belge de 2022 et le droit français imposent aux fournisseurs d'accès, ce qu'un VPN leur masque et ce qu'il déplace ailleurs.


*Ou : le VPN ne supprime pas la surveillance de votre connexion, il choisit à qui vous la confiez.*

La réponse courte : avec un VPN actif, votre fournisseur d'accès à Internet voit une connexion chiffrée vers l'adresse IP d'un serveur VPN, avec ses horaires et son volume, mais ni les sites que vous visitez ni le contenu échangé. Ce qu'il conserve au titre de la loi ne change pas pour autant : en Belgique, l'adresse IP qui vous a été attribuée et l'horodatage de vos sessions sont gardés douze mois. Et tout ce que le FAI ne voit plus, le fournisseur VPN le voit à sa place, comme le rappelle l'[EFF dans son guide de sécurité](https://ssd.eff.org/module/choosing-vpn-thats-right-you). C'est pour cette raison que le choix du fournisseur ne se fait pas sur la vitesse, mais sur [ce que son propre droit l'oblige à garder](/guides/vpn-professionnel/juridiction-logs-vpn/).

Une réserve technique s'impose d'emblée : un VPN mal configuré peut laisser passer des requêtes DNS en dehors du tunnel, et donc révéler au fournisseur d'accès les noms des sites consultés. Tout ce qui suit suppose un tunnel qui fonctionne comme prévu.

## Conservation des données par le FAI : ce que la Belgique et la France imposent

Le cadre européen s'est construit à coups d'arrêts de la Cour de justice de l'Union européenne. La directive de 2006 qui imposait une conservation générale a été invalidée en avril 2014. En décembre 2016, la Cour a interdit la conservation générale et indifférenciée des données de trafic et de localisation. En [octobre 2020](https://curia.europa.eu/site/upload/docs/application/pdf/2020-10/cp200123fr.pdf) (PDF), dans une affaire qui comprenait un recours belge, elle a admis la conservation générale des adresses IP attribuées à la source d'une connexion, pour une durée limitée, ainsi que celle des données d'identité. En avril 2024, elle est allée plus loin en autorisant cette conservation des adresses IP pour la lutte contre les infractions pénales en général, et plus seulement contre la criminalité grave.

La Belgique a adopté sa loi actuelle après avoir vu la précédente annulée par la Cour constitutionnelle en avril 2021. La [loi du 20 juillet 2022](https://etaamb.openjustice.be/fr/loi-du-20-juillet-2022_n2022015454) impose aux opérateurs de conserver l'identité de l'abonné jusqu'à douze mois après la fin du service, et les adresses IP de connexion douze mois après la fin de chaque session. Elle ajoute une conservation ciblée par zones géographiques : les arrondissements judiciaires ou zones de police où le taux de certaines infractions dépasse un seuil, les lieux jugés sensibles comme les gares, les ports, les aéroports ou les prisons, et les zones où l'OCAM a relevé le niveau de menace. La Cour constitutionnelle a validé l'essentiel de ce dispositif en septembre 2024, en renvoyant quelques questions à la Cour de justice. L'avocat général de celle-ci a conclu le 3 septembre 2026 que plusieurs règles belges étaient contraires au droit de l'Union ; l'arrêt n'est pas encore rendu.

La France suit une logique voisine. Le code des postes et des communications électroniques impose de conserver l'identité civile de l'abonné cinq ans après la fin du contrat, et les données identifiant la source d'une connexion, dont l'adresse IP, pendant un an. La conservation des données de trafic et de localisation n'est possible que sur injonction du Premier ministre, pour des motifs de sécurité nationale.

| Pays | Identité de l'abonné | Adresse IP de connexion | Autres données |
|---|---|---|---|
| Belgique | Jusqu'à 12 mois après la fin du service | 12 mois après la fin de la session | Conservation ciblée par zones géographiques |
| France | 5 ans après la fin du contrat | 1 an | Trafic et localisation sur injonction, sécurité nationale |
| Suisse | Selon la catégorie du fournisseur | Métadonnées des opérateurs : 6 mois | Révision en discussion pour les services dérivés |

Reste le fournisseur VPN, et c'est la question que personne n'a encore tranchée. En droit européen, les obligations de conservation visent les fournisseurs de services de communications électroniques, une catégorie que le code européen de 2018 a élargie à la transmission de signaux et aux messageries. Un VPN grand public pourrait y entrer par cette voie, mais aucun arrêt de la Cour de justice, aucune position du régulateur belge et aucune ligne de l'arrêt constitutionnel de 2024 ne le dit. Les fournisseurs installés hors de l'Union échappent de toute façon à la question, ce qui n'est sans doute pas étranger à leur géographie.

Le résultat pratique est un déplacement plutôt qu'une disparition. Votre fournisseur d'accès belge sait toujours qui vous êtes, quelle adresse IP vous aviez et à quelle heure vous étiez connecté ; il ne sait plus où vous alliez. Le fournisseur VPN, lui, voit où vous alliez, et la seule question est de savoir ce que son droit et sa politique l'obligent à en garder.

![Illustration : une sphère lumineuse passant d'un bocal de verre à un autre par un tube](/images/conservation-donnees-fai-vs-vpn-bocaux.original.webp "Le VPN ne fait pas disparaître la trace de votre connexion : il la change de bocal.")

### Le pays où ce second droit s'applique

Si la conservation se déplace vers le fournisseur VPN, le droit de son pays devient le vôtre, pour cette partie de votre activité. La Suisse, le Panama et les autres juridictions courantes sont comparés dans [les pays où les VPN sont établis](/guides/vpn-professionnel/juridiction-logs-vpn/juridiction-vpn-suisse-panama-lituanie/).

### Quand l'enquête croise les deux registres

Dans plusieurs affaires, l'identification ne s'est pas faite chez le fournisseur VPN mais en recoupant ses maigres données avec celles d'un fournisseur d'accès ou d'un service en ligne. Ces enquêtes sont racontées dans [les affaires où la justice a cherché des journaux](/guides/vpn-professionnel/juridiction-logs-vpn/requisitions-judiciaires-vpn-cas-reels/).

### La Belgique est membre d'une alliance, et alors ?

Un lecteur belge se demandera ce que change l'appartenance de son pays aux Fourteen Eyes. La réponse est moins spectaculaire qu'on ne le croit, et elle est détaillée dans [la portée des alliances de renseignement](/guides/vpn-professionnel/juridiction-logs-vpn/alliances-5-9-14-eyes-vpn/).


---

Cette page contient des liens d'affiliation. Si tu souscris via ces liens, je peux toucher une commission sans coût supplémentaire pour toi. Mon avis reste indépendant et s'appuie sur les audits publiés, la documentation officielle des fournisseurs et les tarifs vérifiés à la date de rédaction.