Un indépendant ou une TPE qui traite des données de clients ou de prospects (coordonnées, factures, échanges commerciaux) est responsable de traitement au sens du RGPD - même à une personne. Le choix d'un fournisseur VPN entre dans ce périmètre dès lors que ce fournisseur peut avoir accès, même indirectement, à ces données.
Si un fournisseur VPN traite des données à caractère personnel pour votre compte - ce qui est le cas dès qu'il achemine votre trafic professionnel - il est un sous-traitant au sens de l'article 28 du RGPD. Cette qualification impose un contrat spécifique : un Data Processing Agreement (DPA), distinct des conditions générales d'utilisation standard.
L'article 28 du RGPD liste des clauses obligatoires, pas optionnelles, que le contrat entre vous et votre fournisseur doit couvrir :
Un fournisseur qui ne propose qu'une politique de confidentialité générique, sans document contractuel couvrant ces points, n'est pas en mesure de vous permettre d'être vous-même conforme à cette obligation.
Si le fournisseur opère depuis les États-Unis, le CLOUD Act peut le contraindre à divulguer des données aux autorités américaines, indépendamment de la localisation physique des serveurs. Ni la politique de confidentialité du fournisseur, ni même un audit technique indépendant, ne neutralisent cette obligation légale : c'est une question de droit applicable, pas de configuration technique.
Un audit de non-journalisation vérifie, à un instant donné, que la configuration des serveurs ne produit pas de journaux identifiants. Il ne prouve pas que cette configuration sera maintenue indéfiniment, ni que les autorités ne pourraient pas obtenir des informations par d'autres vecteurs (l'éditeur lui-même, par exemple, plutôt que ses serveurs).
Cette liste rejoint plus largement les critères développés dans notre page sur le choix d'un VPN pour une TPE.
Un VPN protège le transit de vos données entre votre appareil et un point de sortie. Il ne règle ni le traitement de ces données par les outils que vous utilisez ensuite (CRM, messagerie, stockage cloud), ni vos propres obligations d'information envers vos clients, ni la sécurisation de vos postes de travail. La conformité RGPD s'évalue sur l'ensemble de votre chaîne d'outils, pas sur un seul maillon.
La directive européenne NIS2, en vigueur depuis octobre 2024, élargit le périmètre des entités soumises à des obligations renforcées de cybersécurité, avec une application progressive selon la taille et le secteur d'activité. Même une petite structure qui intervient comme sous-traitant d'une entité elle-même soumise à NIS2 peut se voir demander, contractuellement, de justifier certaines pratiques de sécurité sur ses accès distants - dont l'usage d'un VPN documenté fait partie. Ce n'est pas une obligation RGPD à proprement parler, mais un point de vigilance qui recoupe le même sujet : documenter, plutôt que simplement pratiquer, votre usage du VPN.
Si vous constatez qu'un fournisseur VPN ne respecte pas les engagements de son propre DPA - une fuite documentée, une absence de notification en cas d'incident de sécurité affectant potentiellement vos données -, vous avez, en tant que responsable de traitement, une obligation propre de notification à l'autorité de contrôle compétente (la CNIL en France) si cet incident affecte des données à caractère personnel, en principe sous 72 heures à compter de sa connaissance. Le contrat de sous-traitance doit prévoir que le fournisseur vous informe sans délai indu de tout incident de cette nature : c'est l'un des points à vérifier avant signature, pas après un incident.
Accueil Choisir son VPN Protocoles Gratuit ou payant IP dédiée