Belgische dataretentie: wat je provider bewaart, en wat een VPN verandert
Dataretentie in België is geregeld door de wet van 20 juli 2022, die volgde op de vernietiging van de vorige wet door het Grondwettelijk Hof in april 2021. Operatoren moeten de identificatiegegevens van hun klanten bewaren zolang de dienst loopt en tot twaalf maanden daarna, en het IP-adres dat ze aan het begin van een verbinding toekennen tot twaalf maanden na het einde van de sessie. In bepaalde geografische zones bewaren ze ook verkeers- en locatiegegevens. Een VPN verandert wat je provider over je bestemmingen ziet, niet wat hij over jou bewaart.
Of: waarom een VPN de enveloppen verandert, maar niet het register van de postbode
Een VPN schermt af wat je doet voor je internetprovider. Wat je provider over jou bewaart, verandert hij niet. Dat bewaren is in België een wettelijke plicht, die het BIPT voor de operatoren toelicht. Wie de privacybelofte van een VPN wil begrijpen, moet dus ook weten wat er aan de andere kant van de lijn al ligt.
Het korte antwoord: je provider bewaart wie je bent, welk IP-adres hij je gaf en wanneer, en in een groot deel van het land ook verkeers- en locatiegegevens. Met een VPN ziet hij niet meer welke diensten je gebruikt, alleen dat je met een VPN-server verbindt. Dat laatste bewaart hij gewoon mee.
Dataretentie in België: wat operatoren bewaren
Van vernietiging naar een nieuwe wet
Het Hof van Justitie van de EU oordeelde op 6 oktober 2020 dat het Europese recht zich in principe verzet tegen een algemene en ongedifferentieerde bewaring van verkeers- en locatiegegevens. Op basis daarvan vernietigde het Grondwettelijk Hof op 22 april 2021 de Belgische wet van 29 mei 2016 (arrest nr. 57/2021). De wetgever schreef een nieuwe regeling: de wet van 20 juli 2022 betreffende het verzamelen en het bewaren van identificatiegegevens en metagegevens in de sector van de elektronische communicatie, bekendgemaakt in het Belgisch Staatsblad van 8 augustus 2022.
Ook die wet werd aangevochten, onder meer door de Ordre des barreaux francophones et germanophone, de Liga voor Mensenrechten en de Ligue des droits humains. In arrest nr. 97/2024 van 26 september 2024 verwierp het Grondwettelijk Hof een groot deel van de kritiek, onder meer op de bewaring van identificatiegegevens en IP-adressen en op de geografische zones. Over de bewaring van verkeersgegevens tegen fraude en over locatiegegevens stelde het vragen aan het Hof van Justitie.
Die zaak loopt als C-661/24. Op 3 september 2026 stelde advocaat-generaal Szpunar in zijn conclusie voor dat het Europese recht zich verzet tegen meerdere Belgische regels: de wet laat een zeer brede set verkeers- en locatiegegevens bewaren zonder echte technische scheiding, en laat te veel over aan de operatoren. Een conclusie bindt het Hof niet. Op 12 november 2026 was er nog geen arrest.
Wat er bewaard wordt
| Gegevens | Bewaartermijn |
|---|---|
| Identificatiegegevens van de abonnee | zolang de dienst gebruikt wordt, en tot twaalf maanden daarna |
| IP-adres aan de bron van een verbinding | twaalf maanden na het einde van de sessie |
| Verkeersgegevens tegen fraude en kwaadwillig gebruik van het netwerk | vier maanden |
| Verkeers- en locatiegegevens in zones met veel ernstige misdrijven | zes, negen of twaalf maanden, naargelang het aantal misdrijven per 1.000 inwoners |
De zones met veel misdrijven zijn gerechtelijke arrondissementen en politiezones waar het gemiddelde over drie jaar minstens drie ernstige misdrijven per 1.000 inwoners per jaar bedraagt. Daarnaast gelden zones met een hoog dreigingsniveau, plaatsen zoals havens, stations, luchthavens en gevangenissen, en zones rond onder meer ambassades en gebouwen van de EU, de NAVO en de VN. Ministeriële besluiten van 30 maart 2023 en 28 maart 2024 bepalen welke arrondissementen en zones meetellen. Het Grondwettelijk Hof merkte zelf op dat het niet uitgesloten is dat zo het volledige grondgebied of een groot deel ervan gedekt is.
Wat een VPN daaraan verandert
Leg de lijst naast een gewone werkdag van een zelfstandige vertaler in Antwerpen die via een VPN werkt.
- Blijft hetzelfde: zijn provider weet wie hij is, welk IP-adres hij kreeg, wanneer hij online was, en dat hij verbinding maakte met het IP-adres van een VPN-server. Op zijn gsm kent de mobiele operator ook de antennes waarlangs hij verbond.
- Verandert: welke sites en diensten hij daarachter gebruikt, ziet zijn provider niet meer. Die kennis ligt bij de VPN-aanbieder, onder het recht van diens land.
Voor een website of een online dienst komt de vertaler binnen met het adres van de VPN-server. Wie hem wil identificeren, heeft dus twee stappen nodig: eerst de VPN-aanbieder, dan de Belgische provider. De eerste stap lukt alleen als de aanbieder iets bewaart, en loopt via de rechter van zijn land.
De wet van 2022 regelt ook versleuteling: een operator mag die gebruiken, maar ze mag een gericht verzoek van een bevoegde autoriteit niet blokkeren. Of en hoe die Belgische regels ook gelden voor een buitenlandse VPN-dienst, behandelt de uitleg van het BIPT niet.
Kmo-Kristof: Met mijn VPN weet mijn provider niets meer van mij.
Security-Sofie: Je provider weet nog altijd wie je bent, welk adres je had en wanneer je online was.
Kmo-Kristof: Maar niet wat ik deed.
Security-Sofie: Nee. Dat weet nu je VPN-aanbieder. Je provider weet alleen dat je hem elke ochtend om acht uur belt.
Wat de VPN-aanbieder zelf bewaart
De tweede stap van de keten hangt af van het beleid van de aanbieder. Wat een no-logs-belofte wel en niet dekt, staat bij de no-logs-belofte van aanbieders.
Wie de gegevens kan opvragen
Bewaren is één ding, opvragen een ander. Welke magistraat wat mag vragen, en bij wie, lees je bij wat politie en gerecht opvragen.
Een bewaarplicht buiten de EU
Ook Zwitserland denkt in 2026 na over een ruimere bewaarplicht, nu ook voor diensten zonder eigen netwerk. Wat er voorligt, staat bij de Zwitserse bewakingsregels voor VPN’s.