Le guide principal mentionne brièvement l'alliance des "14 eyes" à propos de la juridiction d'un VPN. Cette page reprend le sujet en détail : ce que ces alliances de surveillance sont concrètement, quels pays en font partie, et surtout ce que cela change réellement pour un utilisateur de VPN, au-delà de l'effet d'annonce que ces sigles produisent souvent dans les comparatifs.
Pourquoi ce sujet mérite plus qu'une phrase de glossaire
Le terme "14 eyes" est devenu, dans une grande partie des comparatifs de VPN, un simple argument commercial : "hors des 14 eyes" en gras, sans autre explication. Cette présentation laisse croire qu'il s'agit d'un critère binaire, alors qu'il recouvre en réalité une mécanique de coopération internationale progressive, avec des degrés de partage d'information très différents selon le cercle concerné.
D'où viennent ces alliances
L'alliance dite des "Five Eyes" trouve son origine dans des accords de coopération en matière de renseignement signaux, noués progressivement après la Seconde Guerre mondiale entre les États-Unis, le Royaume-Uni, le Canada, l'Australie et la Nouvelle-Zélande. Son existence et une partie de son fonctionnement ont été rendus publics à grande échelle par les révélations d'Edward Snowden en 2013, qui ont mis en lumière l'ampleur du partage de renseignement entre ces pays, y compris sur les communications de leurs propres citoyens respectifs par le biais d'un partenaire étranger, une pratique qui contourne certaines protections légales nationales.
Les "Nine Eyes" désignent une extension de cette coopération à quatre pays supplémentaires : le Danemark, la France, les Pays-Bas et la Norvège. Les "Fourteen Eyes" (formellement le groupe SIGINT Seniors Europe) y ajoutent l'Allemagne, la Belgique, l'Italie, l'Espagne et la Suède. Plus le cercle s'élargit, plus le niveau de partage d'informations est généralement considéré comme moins profond que celui du noyau initial des Five Eyes, mais la coopération en matière de surveillance entre ces pays reste documentée.
Ce que cela signifie concrètement pour un fournisseur de VPN
Un fournisseur de VPN immatriculé dans l'un de ces pays est soumis aux lois nationales de ce pays en matière de conservation de données et de coopération avec les autorités de renseignement. Cela ne signifie pas automatiquement que ce fournisseur transmet des données sur ses utilisateurs : cela signifie qu'il peut légalement y être contraint, par une procédure judiciaire ou administrative, éventuellement assortie d'une obligation de confidentialité sur la demande elle-même, ce qui empêcherait le fournisseur d'en informer ses utilisateurs même s'il le souhaitait.
À l'inverse, un fournisseur immatriculé hors de ces alliances, dans un pays sans obligation légale de conservation des données et sans accord de partage de renseignement avec ces coalitions, réduit ce risque particulier. Cela ne l'élimine pas complètement : la politique interne de l'entreprise, son historique face aux demandes légales, et la localisation réelle de ses serveurs comptent tout autant que son adresse de siège social.
La juridiction du siège social n'est pas la seule qui compte
Un point souvent négligé dans les comparatifs : la juridiction pertinente n'est pas uniquement celle du siège social de l'entreprise qui édite le VPN, mais aussi celle du pays où sont physiquement situés les serveurs par lesquels transite le trafic. Un serveur hébergé dans un pays membre d'une de ces alliances peut être soumis à des obligations locales de conservation de données, indépendamment de la politique affichée par l'entreprise elle-même, dont le siège peut se trouver ailleurs. Un fournisseur transparent documente la localisation réelle de son infrastructure serveur ; l'absence de cette information devrait inciter à la prudence plutôt qu'à une confiance par défaut.
Pourquoi ce critère ne suffit jamais à lui seul
Réduire le choix d'un VPN à la seule question de la juridiction serait une erreur symétrique à celle qui consiste à l'ignorer complètement. Un fournisseur situé hors de toute alliance de surveillance mais qui ne dispose d'aucune politique de confidentialité vérifiable, aucun audit indépendant, et une infrastructure opaque, n'offre pas de garantie supérieure à un fournisseur bien documenté situé dans un pays membre d'une de ces alliances mais qui applique une politique de non-conservation des journaux prouvée par un audit externe récent. La juridiction est un facteur de risque parmi d'autres, pas une garantie à elle seule.
La politique de non-conservation des logs, un complément indispensable
C'est précisément parce que la juridiction ne suffit pas qu'une politique de non-conservation des journaux (no-log), idéalement vérifiée par un audit indépendant, prend toute son importance : même si un fournisseur reçoit une demande légale valide dans sa juridiction, s'il ne conserve techniquement aucune donnée permettant d'identifier l'activité d'un utilisateur, il n'a rien à transmettre. Cette question est développée en détail sur notre page consacrée à la vérification d'une politique no-log.
Des pays hors de ces alliances, mais pas hors de tout cadre légal
Il faut se méfier d'un raccourci fréquent qui consisterait à assimiler "hors des Fourteen Eyes" à "sans aucune loi de surveillance". De nombreux pays non membres de ces alliances disposent de leurs propres lois de surveillance nationale, parfois plus strictes vis-à-vis de leurs propres citoyens que celles des pays membres des Eyes, simplement sans les mêmes mécanismes de partage international documenté. L'absence d'appartenance à une alliance de renseignement occidentale ne dit rien, en soi, du cadre légal interne du pays choisi, qu'il reste nécessaire d'examiner séparément.
Le cas des demandes légales rendues publiques
Certains fournisseurs publient un rapport de transparence recensant le nombre de demandes légales reçues par juridiction, et la façon dont ils y ont répondu. Ce type de document, quand il existe et qu'il est mis à jour régulièrement, constitue un signal bien plus solide qu'une simple déclaration d'intention sur la protection de la vie privée. Il permet de vérifier concrètement si un fournisseur a, par le passé, transmis des données identifiables à une autorité, ou s'il a pu démontrer, faute de journaux exploitables, qu'il n'avait rien à fournir. L'absence totale de ce type de rapport ne prouve rien en soi, mais elle prive l'utilisateur d'un élément de vérification qui existe chez les fournisseurs les plus transparents sur ce sujet.
Un exemple historique qui illustre la limite de la seule juridiction
Un cas régulièrement cité dans la littérature sur la confidentialité numérique concerne un fournisseur de VPN qui, bien qu'immatriculé hors d'une alliance de surveillance occidentale, a néanmoins coopéré avec les autorités d'un pays tiers dans le cadre d'une enquête criminelle, en fournissant des journaux de connexion que sa politique affichait pourtant comme inexistants. Cet épisode illustre une leçon simple : la juridiction affichée sur une page marketing ne garantit rien tant que la politique de non-conservation des journaux n'a pas été vérifiée indépendamment, et tant que le comportement réel du fournisseur face à une demande légale n'a pas été documenté publiquement.
Ce que cela change dans la pratique du choix d'un VPN
Concrètement, évaluer la juridiction d'un VPN demande de répondre à plusieurs questions successives : dans quel pays le siège social est-il enregistré, ce pays fait-il partie d'une alliance de partage de renseignement documentée, où sont physiquement situés les serveurs utilisés, et quelle est la politique de conservation de données appliquée, avec ou sans audit indépendant à l'appui. Aucune de ces questions prise isolément ne donne une réponse complète ; c'est leur combinaison qui permet une évaluation réaliste du risque, bien plus utile qu'un simple drapeau national affiché sur une page de vente.
Ce qu'il faut retenir
Les sigles Five Eyes, Nine Eyes et Fourteen Eyes désignent des accords de coopération en matière de renseignement, documentés depuis les révélations de 2013, qui déterminent la probabilité qu'un fournisseur de VPN soit légalement sollicité pour coopérer avec des autorités. Ce facteur mérite d'être pris en compte, mais il ne remplace jamais une vérification concrète de la politique de confidentialité, de la localisation réelle des serveurs, et de l'existence d'un audit indépendant portant sur les pratiques effectives du fournisseur, pas seulement sur son adresse de siège social. Traiter la juridiction comme un critère parmi d'autres, plutôt que comme une réponse définitive à elle seule, reste la seule approche cohérente avec l'ensemble des éléments présentés ci-dessus.