VPN avec des serveurs au Royaume-Uni

Une injonction relative aux capacités techniques oblige un opérateur à mettre en place ou à maintenir la capacité de répondre aux demandes légales de données. L’Investigatory Powers (Amendment) Act 2024 (sanction royale le 25 avril 2024) a inséré l’article 258A, en vertu duquel le ministre de l’Intérieur peut obliger un opérateur concerné à notifier les changements proposés à ses services ; la fiche d’information du gouvernement indique que les modifications font également entrer dans le champ de la loi les entités réparties dans le monde entier.

La loi ne mentionne pas les VPN, et il n’est pas établi qu’un opérateur de VPN détienne une telle injonction ou soit lié par celle-ci.

L’Online Safety Act 2023, article 81 (en vigueur depuis le 17 janvier 2025), oblige les services qui publient de la pornographie à garantir, au moyen d’une vérification ou d’une estimation de l’âge hautement efficace, que les enfants ne puissent normalement pas y être exposés.

La Children’s Wellbeing and Schools Act 2026 a reçu la sanction royale le 29 avril 2026. La Chambre des lords a voté en janvier 2026 en faveur d’un amendement interdisant les services VPN aux enfants (207 voix contre 159, selon Reclaim The Net).

La loi telle qu’elle a été adoptée ne mentionne pas les VPN ; elle insère l’article 214A dans l’Online Safety Act, qui donne au ministre de l’Intérieur le pouvoir d’obliger les fournisseurs, par voie réglementaire, à empêcher ou à restreindre l’accès des enfants à des services déterminés.

Oui. L’article 127(1) du Communications Act 2003, qui crée une infraction jugée selon une procédure sommaire, couvre l’envoi sur un réseau public d’un message grossièrement offensant ou de nature indécente, obscène ou menaçante. L’Online Safety Act 2023 ajoute les communications fausses (article 179, procédure sommaire) et les communications menaçantes (article 181, jusqu’à cinq ans d’emprisonnement), en vigueur depuis le 31 janvier 2024 en Angleterre, au pays de Galles et en Irlande du Nord.

Lorsqu’un fait est signalé, la police devrait demander à la plateforme de conserver les données à titre de preuve ; les directives du Crown Prosecution Service préconisent une prudence particulière avant d’engager des poursuites concernant la manière dont une personne s’est exprimée sur les réseaux sociaux.

L’Investigatory Powers Commissioner’s Office a été créé en septembre 2017 pour remplacer trois organes de contrôle antérieurs. Le commissaire le dirige avec des commissaires judiciaires qui exercent ou ont exercé de hautes fonctions judiciaires ; ils approuvent les mandats les plus intrusifs après le ministre de l’Intérieur, et des inspecteurs vérifient la manière dont les autorités utilisent leurs pouvoirs. Il est financé par le ministre de l’Intérieur, mais agit indépendamment du gouvernement.

Dans l’affaire Big Brother Watch and Others v the United Kingdom (Grande Chambre, 25 mai 2021), la Cour européenne des droits de l’homme a jugé que le régime de l’interception en masse et celui de l’obtention de données auprès des fournisseurs de communications violaient l’article 8, mais que ce n’était pas le cas du régime de réception de données provenant de services de renseignement étrangers. Le Royaume-Uni est partie à l’accord de renseignement électromagnétique UKUSA de 1946, qui constitue la base de Five Eyes.

L’Investigatory Powers Tribunal examine les contestations de ces pouvoirs. Dans l’affaire Apple Inc v Secretary of State for the Home Department (IPT/25/68/CH), concernant des injonctions relatives aux capacités techniques, il a refusé, le 7 avril 2025, de maintenir confidentiels les seuls détails de la demande. L’ordre des lignes correspond au score de sécurité, et l’emplacement d’un serveur ne constitue pas une recommandation.