# Où vit votre VPN : Suisse, Panama, Lituanie et ce que ça change

> Suisse, Panama, Lituanie, îles Vierges britanniques, Pays-Bas : quel droit s'applique vraiment à un fournisseur VPN, et pourquoi le siège affiché ne suffit pas à le savoir.


*Ou : pourquoi la question « où est basé ce VPN ? » admet souvent trois réponses exactes à la fois.*

La réponse courte : il n'existe pas de pays idéal, il existe des droits nationaux plus ou moins exigeants envers les fournisseurs de VPN, et une question préalable que les comparatifs sautent : quel droit s'applique à qui. La Suisse n'impose aujourd'hui pas de conservation aux services comme les VPN, mais elle débat depuis 2025 d'une révision qui changerait la donne. Le Panama héberge l'entité qui exploite NordVPN et possède une loi de conservation dont personne n'a démontré qu'elle vise les VPN. La Lituanie accueille les équipes de Nord Security sans que la société y soit de droit lituanien. Chacun de ces cas éclaire un morceau de [la question de la juridiction du fournisseur](/guides/vpn-professionnel/juridiction-logs-vpn/), et aucun ne se résume à un drapeau dans une colonne.

La distinction qui compte est celle entre le siège affiché, l'entité qui facture et signe les conditions d'utilisation, et le lieu où travaillent les équipes. C'est l'entité contractante qui reçoit les réquisitions, et c'est son droit qui détermine ce qu'elle doit conserver et livrer. Les conditions d'utilisation, que personne ne lit, sont le seul document qui répond précisément à cette question.

![Illustration : trois bureaux vides, seul celui du milieu éclairé par un faisceau de lumière](/images/juridiction-vpn-suisse-panama-lituanie-trois-bureaux.original.webp "Le siège affiché, l'entité qui facture, les équipes : trois adresses, et une seule reçoit les réquisitions.")

## Quel pays pour un VPN : ce que prévoit réellement chaque droit

La Suisse est le cas le plus cité et le plus mouvant. Depuis mars 2018, la loi fédérale sur la surveillance des télécommunications impose aux fournisseurs de services de télécommunication de conserver les métadonnées pendant six mois. Les VPN et les messageries relèvent d'une autre catégorie, celle des fournisseurs de services de communication dérivés, aux obligations beaucoup plus légères. Le Tribunal administratif fédéral a confirmé en octobre 2021 que Proton Mail appartenait à cette seconde catégorie, sans trancher le cas de Proton VPN. La révision de l'ordonnance d'application, mise en consultation de janvier à mai 2025, aurait imposé l'identification des utilisateurs au-delà de 5 000 et la conservation des métadonnées pendant six mois pour les plus gros services. Face à une opposition très large, le Conseil fédéral a [annoncé en février 2026](https://www.admin.ch/fr/newnsb/EXv-JkPBAZuL) une analyse d'impact et une seconde consultation ; au moment où j'écris, aucun texte n'est adopté. Proton a entre-temps commencé à déplacer la majeure partie de son infrastructure physique hors de Suisse, vers l'Allemagne notamment, en gardant son siège à Genève, et son dirigeant a déclaré que la société quitterait le pays si le texte passait en l'état.

Le Panama illustre l'inverse : une réputation plus simple que la réalité. L'idée qu'il n'y existe aucune loi de conservation est fausse. La [loi 51 de 2009](https://www.organojudicial.gob.pa/uploads/wp_repo/blogs.dir/cendoj/novedades_normativas/ley51_2009.pdf) (PDF, en espagnol) oblige les opérateurs de téléphonie, les cybercafés et les réseaux de communication qui fournissent un service au Panama ou depuis le Panama à conserver l'identité, l'adresse IP et l'horodatage des connexions pendant six mois. Aucune jurisprudence ni aucune position d'un régulateur n'établit qu'elle s'applique à un fournisseur VPN, mais aucune ne l'exclut non plus. Et la juridiction panaméenne n'est pas théorique : le rapport de transparence de NordVPN mentionne un mandat du parquet panaméen en octobre 2024, auquel la société a répondu en fournissant des données de paiement et la confirmation de l'existence du compte.

| Fournisseur | Entité contractante | Conservation imposée par le droit local | Alliance |
|---|---|---|---|
| Proton VPN | Proton AG, Genève | Aucune pour l'instant, révision en discussion | Hors alliances |
| NordVPN | nordvpn S.A., Panama | Loi de 2009 sur les opérateurs, application aux VPN non établie | Hors alliances |
| ExpressVPN | Express Technologies Ltd., îles Vierges britanniques | Territoire britannique doté de sa propre législature | Rattachement britannique |
| Surfshark | Surfshark B.V., Amsterdam | Aucune obligation générale depuis 2015 | Nine et Fourteen Eyes |
| PrivadoVPN | Privado Networks ehf, Islande, depuis mai 2026 | Droit islandais | Hors alliances |

La Lituanie mérite une ligne à part, parce qu'elle apparaît dans presque toutes les discussions sur NordVPN. Sa loi sur les communications électroniques impose une conservation de six mois aux fournisseurs de services publics de communications électroniques. Mais Nord Security, qui a ses équipes historiques à Vilnius, est une société de droit néerlandais, et NordVPN est exploité par une société anonyme panaméenne. La présence d'ingénieurs dans un pays ne transfère pas l'entité contractante dans son droit, même si elle rend ce pays difficile à ignorer le jour où une enquête s'intéresse à la société.

Le cas néerlandais achève de brouiller les repères. Les Pays-Bas sont membres des Nine et des Fourteen Eyes, et pourtant leur loi de conservation des données de télécommunications a été [écartée par un tribunal de La Haye](https://ecer.minbuza.nl/-/wet-bewaarplicht-telecomgegevens-buiten-werking-gesteld) en mars 2015, sans être remplacée depuis. Un pays membre d'une alliance, sans obligation générale de conservation : exactement le genre de ligne qu'un tableau à cases cochées ne sait pas représenter.

### Ce que change, et ne change pas, une alliance de renseignement

La géographie des Five, Nine et Fourteen Eyes recoupe mal celle du droit de la conservation, comme le montre l'exemple néerlandais. L'origine de ces cercles, leur composition exacte et leur effet réel sur un fournisseur sont expliqués dans [les alliances de renseignement et leur portée](/guides/vpn-professionnel/juridiction-logs-vpn/alliances-5-9-14-eyes-vpn/).

### Le droit qui s'applique à votre propre connexion

Le fournisseur VPN n'est pas le seul intermédiaire. Votre fournisseur d'accès à Internet est soumis, en Belgique comme en France, à des obligations de conservation précises, que le VPN modifie sans les supprimer. Le détail est dans [ce que le FAI conserve, avec ou sans VPN](/guides/vpn-professionnel/juridiction-logs-vpn/conservation-donnees-fai-vs-vpn/).

### Le propriétaire, cet autre pays d'origine

Une entité peut rester dans le même pays et changer d'actionnaire, ce qui modifie ses priorités sans modifier son adresse. Les groupes qui contrôlent les grandes marques, et leurs propres sièges, sont recensés dans [les groupes derrière les marques VPN](/guides/vpn-professionnel/juridiction-logs-vpn/qui-possede-votre-vpn/).


---

Cette page contient des liens d'affiliation. Si tu souscris via ces liens, je peux toucher une commission sans coût supplémentaire pour toi. Mon avis reste indépendant et s'appuie sur les audits publiés, la documentation officielle des fournisseurs et les tarifs vérifiés à la date de rédaction.