Five Eyes, Nine Eyes en 14 Eyes: telt het land van je VPN echt?

Of: waarom een kaart vol ogen minder zegt dan het wetboek

Op veel VPN-sites hangt een wereldkaart met gekleurde landen: de Five Eyes in het donkerst, de Nine en Fourteen Eyes in lichtere tinten errond. De boodschap is dat je moet opletten waar je VPN-aanbieder zit. De allianties bestaan echt. Het UKUSA-akkoord werd op 5 maart 1946 getekend door het Verenigd Koninkrijk en de Verenigde Staten; Canada sloot in 1948 aan, Australië en Nieuw-Zeeland in 1956. De volledige tekst werd pas op 25 juni 2010 vrijgegeven.

Het korte antwoord: ja, het land van je VPN telt, maar om een andere reden dan de kaart suggereert. Niet de alliantie bepaalt wat een aanbieder moet afgeven, wel de wet van zijn land en de rechtshulp tussen landen. De kaart toont wie inlichtingen deelt. Het wetboek toont wie je VPN-aanbieder kan dwingen.

14 Eyes en je VPN: wie er bij welke kring hoort

De Fourteen Eyes heten officieel SIGINT Seniors Europe, een overleg tussen die landen over militaire inlichtingen uit signalen, zoals onderschepte communicatie. Het bestaan ervan werd breed bekend door de documenten die Edward Snowden in 2013 lekte. België staat dus op de kaart, in de buitenste kring.

Wat de kaart niet zegt

De allianties gaan over diensten die onderling inlichtingen uitwisselen. Een inlichtingendienst die communicatie onderschept, heeft daarvoor geen formulier nodig dat je VPN-aanbieder invult. En lidmaatschap beschermt niet tegen elkaar: in de Snowden-documenten staat een zin van de NSA dat ze de signalen van de meeste buitenlandse partners „kan en vaak ook doet” viseren.

Wat een VPN-aanbieder wel kan dwingen om iets te bewaren of af te geven, is de wet van het land waar hij gevestigd is. Twee voorbeelden maken dat duidelijk:

• Zwitserland hoort bij geen enkele kring. Toch kreeg Proton in 2021 een bindend Zwitsers bevel om gegevens over één mailaccount te verzamelen, in een zaak waarin de Franse politie een klimaatactivist arresteerde. Dat ging over Proton Mail, niet over de VPN, maar het toont dat buiten de kaart staan geen vrijbrief is.
• Zweden hoort bij de veertien. Mullvad, een Zweedse VPN-dienst, schrijft dat de Zweedse wet VPN-diensten niet verplicht om te loggen, en noemt het lidmaatschap van de 14 Eyes daarom „volledig irrelevant” voor de keuze van een VPN. Mullvad is uiteraard geen neutrale bron in die discussie, maar het argument klopt: het gaat om de wet, niet om de alliantie.

Drie vragen in plaats van een kaart

De meeste kmo’s nemen een VPN niet uit angst voor een inlichtingendienst. Een boekhoudkantoor in Aalst denkt aan de wifi van een hotel, een webbureau in Gent aan de beheerpanelen van zijn klanten. Voor hen zijn deze drie vragen nuttiger dan elke kleurcode:

1. Moet de aanbieder volgens de wet van zijn land verbindingsgegevens van klanten bewaren?
2. Aan wie moet hij gegevens geven, en moet daar een rechter van zijn eigen land tussen zitten?
3. Wat heeft hij, als hij iets moet geven?

Die derde vraag is de belangrijkste. Een aanbieder die niets bewaart, kan in elk land weinig afgeven. Een aanbieder die veel bewaart, blijft een risico in het meest privacyvriendelijke land van de wereld.

Kmo-Kristof: Dus België is een van de veertien ogen. Moet ik dan een VPN uit een ander land nemen?

Security-Sofie: Waarvoor gebruik je hem?

Kmo-Kristof: Om op de beurs in Kortrijk veilig mijn mail te lezen.

Security-Sofie: Dan is de wifi van de beurs je probleem, niet de inlichtingendienst. Die heeft je beursplanning niet nodig.

Het land buiten de kaart

Zwitserland is het bekendste land buiten de kringen, en zijn regels over bewaking zijn in 2026 in beweging. Wat er geldt, lees je bij een VPN onder Zwitsers recht.

Binnen de EU

Zweden, Nederland en Finland liggen elk in een andere kring of erbuiten, en vallen toch allemaal onder de GDPR. Welke aanbieders daar zitten, staat bij aanbieders met een Europese zetel.

Wat België zelf vraagt

Voor een Belgische kmo telt ook wat de eigen provider moet bewaren, VPN of niet. Dat staat bij de Belgische regels voor dataretentie.