Betrouwbare VPN: logs, audits, eigenaars en het land van je aanbieder

13 november 2026 · door Ben · 5 min leestijd

Een betrouwbare VPN begint bij een eenvoudige vaststelling: een VPN neemt het meekijken niet weg, hij verplaatst het. Je internetprovider ziet daarna vooral dat je met een VPN-server verbindt; welke diensten je daarachter gebruikt, kan in principe de VPN-aanbieder zien. Of je die aanbieder kunt vertrouwen, hangt af van wat hij bewaart, wie dat controleert, in welk land hij zit, wie hem bezit en wat de wet hem kan opleggen. Deze gids zet die punten op een rij voor zelfstandigen en kmo’s.

Of: waarom je met een VPN niet minder vertrouwt, maar iemand anders

Wie een VPN voor zijn kmo neemt, koopt in de eerste plaats een omweg. Een virtueel privénetwerk versleutelt het verkeer tussen je toestel en een server van de aanbieder, en pas daar gaat het verder het internet op. Je internetprovider ziet nog dat je verbindt, wanneer en met hoeveel gegevens, maar niet meer met welke diensten. Die kennis verdwijnt niet. Ze verhuist naar de VPN-aanbieder.

Dat is geen reden om geen VPN te nemen. Het is wel de reden waarom de keuze van een aanbieder meer is dan een kwestie van snelheid en prijs. Deze gids draait rond één vraag: hoe weet je of de partij die nu je verkeer doorgeeft, dat vertrouwen waard is?

Een betrouwbare VPN: wie je post doorstuurt

Denk aan de post. Normaal ziet de postbode op elke envelop het adres van de bestemmeling. Met een VPN stop je al je brieven in één grote envelop, geadresseerd aan een doorstuurkantoor. De postbode ziet alleen nog enveloppen naar dat kantoor. Het kantoor opent de grote envelop en post je brieven verder.

Dat kantoor ziet dus wat de postbode vroeger zag: naar wie je schrijft, en wanneer. De inhoud blijft dicht zolang de brieven zelf verzegeld zijn, en dat zijn ze bij de meeste websites en apps, dankzij HTTPS. Maar de adressen liggen nu bij iemand anders.

Duw het beeld één stap verder, en de vragen van deze gids komen vanzelf:

Houdt het kantoor een register bij? Een no-logs-belofte zegt van niet. Wat die belofte precies dekt, verschilt per aanbieder.
Komt er iemand controleren? Een externe audit kijkt of het register echt niet bestaat, op één moment en voor een deel van de servers.
In welk land staat het kantoor? Daarvan hangt af wat de politie mag vragen, en wat de wet het kantoor kan opleggen.
Wie is de eigenaar? Een kantoor kan van eigenaar wisselen, en de huisregels met hem.
En jijzelf? Met een zakelijke VPN naar je eigen netwerk ben jij het kantoor voor je personeel, met de plichten die daarbij horen.

Kmo-Kristof: Ik heb een VPN genomen, want ik vertrouw mijn internetprovider niet.
Security-Sofie: En je VPN-aanbieder vertrouw je wel?
Kmo-Kristof: Die bewaart niets. Dat staat in grote letters op zijn site.
Security-Sofie: In welk land zit hij?
Kmo-Kristof: Geen idee. Maar de site is heel professioneel.
Security-Sofie: Dan heb je je vertrouwen niet ingetrokken. Je hebt het uitgeleend, aan iemand van wie je alleen de website kent.

Vertrouwen controleer je niet met één vinkje. Er zijn drie soorten bewijs, en geen enkele volstaat op zich: wat de aanbieder schrijft (zijn privacybeleid), wat een buitenstaander heeft nagekeken (een audit), en wat er gebeurde toen politie of gerecht echt aanklopten. Er zijn gedocumenteerde gevallen in beide richtingen: aanbieders die niets konden afgeven, en een aanbieder die meer bleek te bewaren dan zijn klanten dachten. Leg daar het land en de eigenaar naast, en je hebt een beeld dat je kunt verdedigen. De pagina’s hieronder werken elk stuk uit.

Wat „geen logs” precies betekent

Elke VPN-dienst verwerkt iets: een account, een betaling, een verbinding die op dat moment openstaat. De vraag is wat er blijft liggen als je de verbinding verbreekt. Het verschil tussen activiteitslogs en verbindingslogs, en wat een aanbieder sowieso van je weet, staat bij wat een no-logs-belofte inhoudt.

Iemand die komt kijken

Steeds meer aanbieders laten hun belofte nakijken door een auditbedrijf, zoals KPMG, Deloitte of Securitum. Zo’n rapport is nuttig, maar het blijft een momentopname met een vooraf afgesproken opdracht. Hoe je er een leest, staat bij externe controles van VPN-diensten.

Vijf, negen of veertien ogen

Op veel VPN-sites hangt een kaart van de Five, Nine en Fourteen Eyes, samenwerkingsverbanden van inlichtingendiensten. België hoort bij de veertien. Wat die allianties wel en niet zeggen over je VPN, lees je bij de inlichtingenallianties en je VPN.

Een adres in de Alpen

Zwitserland heeft de reputatie van een kluis, en meerdere VPN-diensten zitten er, waaronder Proton VPN. De Zwitserse regels over bewaking zijn in 2026 wel in beweging. Wat er vandaag geldt en wat er op tafel ligt, staat bij VPN-diensten met een Zwitsers adres.

Dichter bij huis

Een aanbieder in de EU valt onder de GDPR en onder Europees toezicht, maar ook onder de Europese regels voor politie en gerecht. Welke bekende VPN-diensten in Europa gevestigd zijn, en wat dat oplevert, lees je bij VPN-aanbieders uit Europa.

De rollen omgedraaid

Met een zakelijke VPN naar je kantoor of je firewall houd jij bij wie wanneer verbindt. Dat zijn persoonsgegevens van je medewerkers. Wat de GDPR dan van jou als werkgever vraagt, staat bij de VPN-logboeken van je personeel.

Wat je provider al bewaart

Belgische operatoren moeten sinds de wet van 20 juli 2022 bepaalde gegevens bewaren, zoals het IP-adres dat ze je toekennen. Een VPN verandert daar minder aan dan je zou denken. De details staan bij de Belgische bewaarplicht voor providers.

Wie de winkel bezit

Achter veel bekende VPN-merken zit een handvol groepen. NordVPN en Surfshark vallen sinds 2022 onder dezelfde holding; ExpressVPN, CyberGhost en Private Internet Access horen bij Kape Technologies. Wie wat bezit en waarom dat telt, lees je bij de groepen achter VPN-merken.

Als het gerecht aanklopt

Een VPN is geen schuilplaats tegen een gerechtelijk onderzoek, en dat is ook niet zijn taak. Wat de politie bij je provider, je VPN-aanbieder en je andere diensten kan opvragen, en wat een VPN niet verbergt, staat bij wat justitie kan opvragen.