Une politique de confidentialité de VPN se lit rarement en entier, et c'est précisément ce qui pose problème. La plupart des utilisateurs se contentent du résumé affiché en page d'accueil — « zéro log », « confidentialité garantie » — sans consulter le document contractuel complet qui définit ce qu'un fournisseur peut ou non conserver. C'est pourtant dans ce document précis, et non dans le slogan qui le précède sur la page d'accueil, que se trouve l'information qui compte vraiment.
L'expression « zéro log » (no-log policy) désigne l'engagement d'un fournisseur à ne pas conserver l'historique de connexion de ses utilisateurs. Le problème vient de l'ambiguïté du terme « log » lui-même : un fournisseur peut légitimement affirmer ne conserver aucun journal d'activité (les sites visités, les fichiers téléchargés) tout en conservant, sans que cela contredise techniquement sa promesse, des données de connexion — horodatage de connexion et déconnexion, volume de données transférées, adresse IP d'origine au moment de la connexion.
Cette distinction entre logs d'activité et logs de connexion n'est presque jamais explicitée dans le résumé marketing, alors qu'elle change fondamentalement la portée réelle de l'engagement pris. Un fournisseur rigoureux détaille explicitement les deux catégories dans sa politique complète ; un fournisseur qui reste vague sur cette distinction laisse une marge d'interprétation qui joue rarement en faveur de l'utilisateur.
Plutôt que de lire l'intégralité d'un document souvent long et rédigé en langage juridique, une recherche ciblée sur quelques termes précis permet d'identifier rapidement les clauses déterminantes. Chercher « third party » ou « tiers » révèle les conditions de partage de données avec des partenaires commerciaux. Chercher « retention » ou « conservation » indique la durée pendant laquelle une donnée collectée reste stockée avant suppression. Chercher « advertising » ou « publicité » signale si le modèle économique du service repose, au moins partiellement, sur la monétisation publicitaire des données de navigation.
De nombreuses politiques de confidentialité incluent une clause autorisant la collecte de données jugées « nécessaires au fonctionnement du service », une formulation volontairement large qui peut couvrir des usages très différents selon l'interprétation retenue par le fournisseur. Cette clause n'est pas problématique en soi — un service a effectivement besoin d'un minimum de données techniques pour fonctionner — mais son imprécision mérite d'être mise en balance avec le reste du document : un fournisseur qui détaille précisément la nature de ces données techniques inspire davantage confiance qu'un fournisseur qui se contente de cette formule passe-partout.
Une politique de confidentialité reste une déclaration d'intention du fournisseur, pas une preuve vérifiée par un tiers. Seul un audit indépendant, réalisé par un cabinet spécialisé et portant explicitement sur l'infrastructure réelle du service, confirme ou infirme les engagements pris dans le document contractuel.
Un audit sérieux examine les serveurs effectivement déployés, la configuration des systèmes de journalisation, et la cohérence entre la politique publiée et l'infrastructure technique réelle. Ce type de rapport, lorsqu'il existe, est généralement publié sur le site du fournisseur ou sur celui du cabinet d'audit, daté et signé, contrairement à une simple mention « audité » sans référence vérifiable qui accompagne parfois une page de vente.
Certains éléments, présents ou absents d'une politique de confidentialité, constituent des signaux fiables indépendamment du reste du document. L'absence totale d'adresse postale ou de nom d'entreprise identifiable dans les mentions légales, alors que la politique évoque longuement la protection des données, constitue une incohérence qui mérite d'être prise au sérieux. De même, une politique modifiée fréquemment sans historique des changements consultable prive l'utilisateur de la possibilité de vérifier si les engagements pris à la souscription sont toujours ceux en vigueur.
À l'inverse, une politique qui distingue clairement les catégories de données collectées, précise leur durée de conservation, nomme explicitement les éventuels partenaires tiers avec lesquels des données peuvent être partagées, et propose un contact identifiable pour toute question relative à la confidentialité, témoigne d'une rigueur qui va au-delà de l'obligation légale minimale.
Un signal moins connu, mais révélateur, consiste à comparer la politique de confidentialité au service effectivement proposé. Certains fournisseurs, en particulier parmi les applications VPN gratuites récentes disponibles sur les magasins d'applications mobiles, publient une politique de confidentialité générique, visiblement adaptée d'un modèle standard, qui mentionne des fonctionnalités absentes de l'application ou omet des fonctionnalités pourtant présentes. Cette incohérence trahit une politique rédigée rapidement pour satisfaire une obligation légale, plutôt que pour informer réellement l'utilisateur du traitement effectif de ses données.
Un autre indice dans le même registre : une politique de confidentialité identique, au mot près, à celle d'une application VPN concurrente sans lien commercial apparent. Ce type de duplication, détectable par une recherche rapide d'une phrase caractéristique du document, suggère que les deux applications proviennent du même développeur ou de la même infrastructure technique, une information rarement communiquée mais utile pour évaluer la diversité réelle de l'offre disponible derrière des noms d'applications qui, en apparence, semblent proposées par des entreprises totalement distinctes et indépendantes les unes des autres.
Une politique de confidentialité rédigée uniquement en anglais, pour un service par ailleurs commercialisé en français, ne constitue pas en soi un problème de conformité dans la majorité des juridictions, mais elle a une conséquence pratique directe : elle réduit la probabilité que l'utilisateur francophone la lise réellement jusqu'au bout, plutôt que de se fier à un résumé traduit et simplifié affiché ailleurs sur le site. Utiliser un outil de traduction fiable pour parcourir intégralement le document original, plutôt que de se contenter d'un résumé déjà simplifié, permet de retrouver les nuances qui disparaissent presque systématiquement dans une synthèse marketing rédigée pour rassurer plutôt que pour informer précisément.
Une réponse positive aux cinq points ne garantit pas une protection parfaite, mais son absence sur plusieurs points simultanément constitue un motif suffisant pour envisager une alternative, quelle que soit par ailleurs la réputation générale du service auprès du grand public ou son classement dans les magasins d'applications.
Comparer la politique de confidentialité de plusieurs fournisseurs avant de choisir permet de calibrer ses attentes : un document particulièrement flou ou évasif apparaît immédiatement plus problématique une fois mis en regard d'un document détaillé et précis sur les mêmes points. Cette comparaison prend du temps, mais nettement moins que celui nécessaire pour réparer les conséquences d'un choix fondé sur la seule confiance accordée à un slogan. C'est un investissement ponctuel, à effectuer une fois avant l'installation, qui conditionne ensuite des mois voire des années d'usage sans avoir à y revenir sauf changement notable de la politique du fournisseur.