VPN européens : lesquels sont vraiment indépendants ?

Réponse immédiate. Un VPN chiffre votre connexion jusqu’à un serveur, mais son fournisseur voit votre adresse et les sites visités. Choisir un VPN, c’est donc choisir à qui se fier. Parmi six VPN européens étudiés sur leurs propres documents, un seul cumule une société de l’Union européenne, un contrat de droit européen et des fondateurs seuls propriétaires : Mullvad. Les autres échouent sur au moins un critère.

Ce qu’un VPN fait, et ce qu’il ne fait pas

Un VPN (réseau privé virtuel) crée un tunnel chiffré entre votre appareil et un serveur de l’éditeur. Les sites voient l’adresse de ce serveur, pas la vôtre. Votre fournisseur d’accès ou le gestionnaire d’un Wi-Fi public voient seulement que vous parlez au VPN.

La limite est posée par la CNIL : « l’entreprise qui fournit le service conserve la connaissance de votre adresse IP et des sites visités, et peut transmettre ces informations à des tiers ». Le Tor Project fait le même constat : avec un intermédiaire unique, le fournisseur sait à la fois qui vous êtes et ce que vous consultez. Tor répartit cette confiance entre plusieurs relais ; nous l’expliquons dans notre guide de Tor Browser.

Un VPN reste utile pour protéger une connexion sur un réseau public, ce que mentionne Cybermalveillance.gouv.fr, ou pour masquer son adresse aux sites. Mais toute la question devient : qui est ce fournisseur, et sous quelle loi ?

Quatre critères pour juger l’indépendance d’un VPN

1. Le pays de la société qui vous fournit le service

C’est le pays dont les autorités peuvent adresser des réquisitions à l’éditeur. On le trouve dans les mentions légales, les conditions d’utilisation ou la politique de confidentialité, avec un numéro d’immatriculation vérifiable dans le registre national.

2. Le droit qui régit votre contrat

Il peut différer du pays de la société. Une entreprise établie dans l’UE peut soumettre ses contrats à un autre droit. Ce point se lit dans la clause « droit applicable » des conditions générales.

3. Le propriétaire réel

Une marque peut appartenir à un groupe, lui-même détenu par des investisseurs. Pour la souveraineté numérique, c’est souvent le critère décisif : qui peut décider demain de la politique de conservation des données ? Un groupe dont la maison mère est soumise au droit américain expose par exemple ses filiales aux questions soulevées par le Cloud Act.

4. Les audits publiés et les protocoles

Un audit « no-logs » vérifie, à une date donnée, que les serveurs ne conservent pas de journaux d’activité. IVPN, qui n’en commande plus, résume sa limite : ces audits sont des instantanés qui peuvent donner une fausse assurance. On regarde donc l’auditeur, la date, la portée et si le rapport est lisible par tous. Côté protocoles, WireGuard et OpenVPN sont libres et documentés publiquement ; un protocole propriétaire ne peut pas être examiné de la même façon.

Six VPN européens passés aux quatre critères

Nous avons retenu des services souvent présentés comme européens ou dont l’éditeur est établi en Europe. Chaque ligne repose sur les pages de l’éditeur consultées le 27/09/2026, et sur un registre public quand il était interrogeable.

Sources : pages légales, blogs et pages d’aide de chaque éditeur ; registre du commerce suisse Zefix pour Proton AG. Détail et liens ci-dessous.

Mullvad : société suédoise, fondateurs seuls propriétaires

Le service est fourni par Mullvad VPN AB, immatriculée sous le numéro 559238-4001 à Göteborg, et ses conditions d’utilisation relèvent du droit suédois. Selon sa page de présentation, Mullvad VPN AB appartient entièrement à Amagicom AB, elle-même détenue à 100 % par ses fondateurs Fredrik Strömberg et Daniel Berntsson ; le service existe depuis mars 2009. Le compte est un simple numéro, sans courriel ni nom, et le paiement en espèces est possible, d’après sa politique de non-journalisation.

Mullvad publie ses rapports d’audit : infrastructure par Cure53 (juin 2024) et Radically Open Security (août 2023), services de compte et de paiement par X41 D-Sec (janvier 2026), application Android par Leviathan Security Group (juin 2026). L’éditeur a retiré OpenVPN le 15 janvier 2026, côté serveurs comme côté applications, pour ne garder que WireGuard. Conséquence pratique : un routeur configuré en OpenVPN ne peut plus s’y connecter.

Proton VPN : fondation suisse, infrastructure en partie déplacée vers l’UE

Le service est fourni par Proton AG, dont le siège est à Plan-les-Ouates, dans le canton de Genève, selon sa politique de confidentialité ; la société figure au registre du commerce suisse sous le numéro CHE-354.686.492. Le droit applicable est suisse. Depuis juin 2024, la Proton Foundation, une fondation à but non lucratif dotée par les fondateurs, est le premier actionnaire votant de Proton AG ; l’entreprise déclare n’avoir aucun investisseur en capital-risque.

La Suisse n’est pas membre de l’UE. Proton a d’ailleurs annoncé en juillet 2025 déplacer la majorité de son infrastructure physique vers l’Union européenne, en raison de projets suisses de surveillance. Côté audits, Proton VPN fait vérifier chaque année sa politique sans journaux par Securitum, de 2022 à 2026, et publie les rapports sans restriction d’accès. Les protocoles disponibles varient selon la plateforme : WireGuard partout, Stealth (maison, pour contourner les blocages), OpenVPN sur Linux seulement, IKEv2 sur macOS seulement.

IVPN : indépendant, mais à Gibraltar

IVPN est exploité par IVPN Limited, immatriculée à Gibraltar. L’éditeur écrit fonctionner « sous le même propriétaire depuis 2009 » et n’avoir ni maison mère ni holding, sans nommer ce propriétaire sur les pages consultées. Gibraltar est un territoire britannique d’outre-mer ; le gouvernement de Gibraltar rappelle que l’accord de 2025 avec l’UE ne touche ni à la souveraineté britannique ni à ce statut.

IVPN a fait vérifier sa politique sans journaux par Cure53 en mars 2019, puis a choisi des audits de sécurité annuels, le huitième étant prévu en juillet 2026. Ses applications sont libres, et il propose WireGuard, OpenVPN et IPSec.

Surfshark : société néerlandaise, contrat hors UE, groupe Nord Security

Les conditions d’utilisation désignent Surfshark B.V., établie à Amsterdam (KvK 81967985). Elles soumettent pourtant le contrat au droit des Îles Vierges britanniques, sous réserve des protections impératives de votre pays de résidence. Surfshark a fusionné avec Nord Security sous une holding commune, les deux marques restant autonomes selon l’annonce. Le groupe a levé des fonds auprès de Novator Ventures, Burda Principal Investments et, en 2023, Warburg Pincus, pour une valorisation annoncée de 3 milliards de dollars.

Deloitte a vérifié la configuration de ses systèmes au regard de sa politique sans journaux, mais le rapport n’est accessible qu’aux abonnés, depuis leur compte. Surfshark propose WireGuard, OpenVPN, IKEv2 (plus dans l’application Windows) et Dausos, un protocole maison disponible sur macOS.

CyberGhost : société roumaine, holding Kape, droit anglais

L’imprint désigne CyberGhost S.R.L., à Bucarest, inscrite au registre du commerce roumain sous le numéro J40/1278/2011. Les conditions relèvent du droit anglais, avec compétence des tribunaux de Londres pour les clients hors des États-Unis. La politique de confidentialité nomme sa « holding ultime » : Kape Technologies PLC.

CyberGhost a publié en février 2026 son troisième audit par Deloitte Audit Romania, conduit selon la norme ISAE 3000 après ceux de 2022 et 2024, avec un rapport téléchargeable. Il annonce OpenVPN, IKEv2 et WireGuard.

NordVPN : un cas limite

NordVPN n’est pas une société européenne : son aide en ligne indique qu’il opère sous la juridiction du Panama, sa maison mère Nord Security étant « basée aux Pays-Bas ». Une annonce de Nord Security de 2023 situait pourtant son siège en Lituanie. Cette incohérence entre les pages d’un même éditeur est précisément ce qu’il faut repérer.

Lecture des résultats selon votre priorité

Nous ne classons pas ces services : le bon choix dépend du critère qui compte pour vous.

• Si vous voulez une société de l’UE et un contrat de droit européen : parmi les six, seul Mullvad remplit les deux conditions. Surfshark et CyberGhost sont établis dans l’UE, mais leurs contrats relèvent respectivement du droit des Îles Vierges britanniques et du droit anglais.
• Si vous voulez un éditeur sans investisseur extérieur : Mullvad (fondateurs), IVPN (pas de maison mère déclarée) et Proton (fondation majoritaire en droits de vote, sans capital-risque déclaré). Surfshark et CyberGhost appartiennent à des groupes.
• Si vous voulez des rapports d’audit lisibles par tous : Proton, Mullvad et CyberGhost publient les leurs ; le rapport de Surfshark est réservé aux abonnés.
• Si vous voulez n’utiliser que des protocoles ouverts : tous proposent WireGuard. Stealth (Proton) et Dausos (Surfshark) sont des protocoles maison.

Pour ne dépendre d’aucun fournisseur, reste l’option d’héberger son propre VPN chez soi, par exemple sur un Raspberry Pi : c’est l’objet de notre rubrique auto-hébergement. Il protège vos connexions quand vous êtes en déplacement, mais les sites verront l’adresse de votre box.

Comment vérifier un VPN par vous-même

1. Ouvrez les conditions d’utilisation et cherchez la société contractante et la clause de droit applicable.
2. Cherchez son numéro d’immatriculation, puis consultez le registre national (Zefix en Suisse, KvK aux Pays-Bas, Bolagsverket en Suède, ONRC en Roumanie).
3. Lisez la politique de confidentialité à la recherche d’une « société mère », d’une « holding » ou d’un « groupe ».
4. Pour chaque audit : notez l’auditeur, la date, la portée (serveurs, applications, politique sans journaux) et vérifiez si le rapport complet est téléchargeable.
5. Vérifiez les protocoles proposés sur votre plateforme, pas seulement sur la page d’accueil.

Questions fréquentes

Dernière vérification : 27/09/2026