La Suisse s'est bati une reputation de havre de la vie privee - un pays que les fournisseurs de messagerie chiffree et de VPN ont choisi precisement parce que sa loi ne les obligeait pas a journaliser ni a identifier leurs utilisateurs. Un projet de reforme sur la surveillance menace aujourd'hui exactement cela, et il a deja pousse le plus grand nom de la confidentialite suisse, Proton, a commencer a deplacer son infrastructure a l'etranger. Le fondateur de l'entreprise est alle jusqu'a affirmer que la seule loi comparable en Europe est celle de la Russie.
Ce qu'exigerait le projet de reforme
Le coeur du sujet est une revision de la VÜPF, l'ordonnance suisse sur la surveillance de la correspondance par poste et telecommunication. Point crucial, le gouvernement la fait avancer sous la forme d'une modification d'une ordonnance - un changement que le Conseil federal et le departement de la justice peuvent operer sans passer par une loi votee au parlement. Selon le projet, tout service de messagerie, de courriel ou de VPN comptant ne serait-ce que 5 000 utilisateurs devrait :
- Verifier l'identite : collecter une piece d'identite officielle a l'inscription, rendant de fait impossibles les comptes anonymes.
- Conserver les metadonnees : garder les adresses IP, les noms, les numeros de telephone et les donnees de connexion associees pendant six mois.
- Remettre des donnees lisibles : etre techniquement en mesure de livrer aux autorites, sur demande, les donnees d'un utilisateur en clair - en pratique, en retirant le chiffrement au niveau du transport - meme si les messages veritablement chiffres de bout en bout echanges entre utilisateurs restent exemptes.
Les critiques soulignent que les autorites pourraient acceder a une grande partie de ces donnees conservees par une simple demande plutot que par une decision de justice. La consultation publique s'est deja close sur une forte opposition de la part des entreprises de confidentialite, des groupes de la societe civile et des partis politiques, et a ce jour le Conseil federal n'a pas finalise le texte - il s'agit donc d'un projet en cours, pas encore d'une loi.
Pourquoi Proton se retire des maintenant
Proton, qui exploite Proton Mail et Proton VPN, n'attend pas de savoir. L'entreprise a commence a delocaliser son infrastructure informatique hors de Suisse, en installant les serveurs de ses produits plus recents en Allemagne et en developpant une presence en Norvege, le tout appuye par un investissement prevu de plus de 100 millions d'euros dans l'UE. Le fondateur Andy Yen a resume l'enjeu sans detour : "Le seul pays d'Europe dote d'une loi a peu pres equivalente est la Russie", ajoutant que l'entreprise n'aurait "pas d'autre choix que de partir" si la modification etait adoptee. D'autres acteurs suisses de la confidentialite, dont le projet de confidentialite reseau Nym, ont rejoint l'opposition.
Pourquoi cela compte pour les utilisateurs de VPN
Tout l'interet d'un VPN base en Suisse tenait au terrain juridique qui le portait : une juridiction qui n'imposait pas la journalisation donnait une force reelle a une promesse de non-conservation des journaux. Une regle qui exige des controles d'identite et six mois de metadonnees conservees renverse cet equilibre - elle transforme un fournisseur de confidentialite en point de retention de donnees. C'est la verite inconfortable derriere chaque engagement de non-journalisation : il ne vaut jamais que ce que vaut la loi du pays auquel le fournisseur repond.
Ce n'est pas non plus un cas isole, mais bien un schema qui se repete. Nous avons vu la premiere etape de cette histoire lorsque Proton a annonce pour la premiere fois qu'il deplacait ses serveurs hors de Suisse, et un affrontement similaire a emerge autour du projet de loi canadien C-26 et des services chiffres qui envisagent de partir a cause de lui. La comparaison de Yen avec la Russie est pointue precisement parce que le dechiffrement force et les controles d'identite obligatoires sont la marque des lois sur les portes derobees que nous avons suivies en Russie, au Royaume-Uni, au Canada et en Australie - et la Suisse etait censee etre le contre-exemple.
Pour quiconque choisit un VPN, la lecon n'est pas "eviter la Suisse" - c'est de regarder au-dela du marketing pour se pencher sur la loi. Le lieu ou un fournisseur est juridiquement joignable determine ce qu'on peut le contraindre a collecter et a reveler sur vous, aussi solide que soit son image de marque axee sur la confidentialite. Cette question de la juridiction est devenue, discretement, l'une des choses les plus importantes a verifier avant de confier votre trafic a un fournisseur.
