Politie en VPN: wat justitie kan opvragen en wat een VPN niet verbergt
Of de politie kan zien wat je met een VPN doet, hangt af van wie ze iets vraagt. Je internetprovider ziet dat je met een VPN-server verbindt, en moet in België bijhouden wie je bent en welk IP-adres je had, dat laatste tot twaalf maanden na de sessie. De VPN-aanbieder kan alleen afgeven wat hij heeft, en een buitenlandse aanbieder wordt in de regel via de rechter van zijn eigen land gevraagd. Je accounts, je betalingen en je toestellen verbergt een VPN niet. Deze gids legt uit wat een gerechtelijk verzoek kan opleveren, en wat een kmo zelf kan moeten afgeven.
Of: waarom een tunnel de sporen voor en na de ingang laat liggen
Een VPN is gemaakt om meekijkers onderweg buiten te houden: de hotelwifi, de provider, een netwerk dat je niet kent. Hij is niet gemaakt om een gerechtelijk onderzoek tegen te houden, en deze gids is ook geen handleiding om dat te proberen. Wie vertrouwen in zijn VPN-dienst stelt, wil wel weten wat er gebeurt als een rechter een vraag stelt. In april 2023 kreeg Mullvad bijvoorbeeld de Zweedse politie over de vloer, met een huiszoekingsbevel.
Het korte antwoord: de politie ziet niet rechtstreeks wat je via een VPN doet. Ze kan wel bij elke partij in de keten opvragen wat die bewaart: je provider, je VPN-aanbieder, de diensten waarop je inlogt en wie je betaalt. Een VPN haalt één schakel uit het zicht, niet de hele keten.
Kan de politie zien wat je met een VPN doet? De keten, schakel per schakel
| Schakel | Wat die kan weten | Hoe het gevraagd wordt |
|---|---|---|
| Je Belgische internetprovider | wie je bent, welk IP-adres je had, wanneer je met de VPN-server verbond | de procureur des Konings voor de identificatie (artikel 46bis Wetboek van strafvordering), in de regel de onderzoeksrechter voor verkeers- en locatiegegevens (artikel 88bis) |
| De VPN-aanbieder | wat hij bewaart: account, betaling, eventueel verbindingsgegevens | via de rechter van zijn land, of met een Europees bevel als hij diensten in de EU aanbiedt |
| De diensten waarop je inlogt | je account, je bestanden en berichten, en het IP-adres van de VPN-server waarmee je inlogde | via de rechter van hun land, of met een Europees bevel |
| Je bank of kaartuitgever | wie de VPN betaalde, en wanneer | een gerechtelijke vordering |
| Je toestellen | wat erop staat, ook welke VPN-app je gebruikt | een inbeslagname tijdens een onderzoek |
Sinds 18 augustus 2026 geldt de Europese verordening over elektronisch bewijs. Een bevoegde autoriteit in een lidstaat kan daarmee een aanbieder in een andere lidstaat rechtstreeks bevelen om gegevens te bezorgen, binnen tien dagen of in noodgevallen binnen acht uur. Aanbieders van buiten de EU die hier diensten aanbieden, moeten een vertegenwoordiger in de EU aanwijzen. Voor inhoud en verkeersgegevens moet een rechter het bevel uitvaardigen of goedkeuren; voor gegevens die alleen dienen om een gebruiker te identificeren, niet.
Wat VPN-aanbieders konden afgeven
De gedocumenteerde gevallen tonen vooral één ding: een aanbieder kan afgeven wat hij heeft, en niets meer.
- Mullvad, april 2023. Minstens zes agenten van de Zweedse politie kwamen met een huiszoekingsbevel naar het kantoor in Göteborg, in het kader van rechtshulp aan Duitsland. Volgens Mullvad legde het uit dat er geen klantgegevens waren, en vertrok de politie zonder iets mee te nemen.
- Proton VPN, 2017 tot juni 2026. Proton telt in zijn transparantierapport 458 bindende bevelen van Zwitserse autoriteiten, telkens om te achterhalen wie op een bepaald moment met een server verbonden was. Proton VPN schrijft dat het die gegevens niet heeft.
- PureVPN, 2017. In een Amerikaanse strafzaak kon PureVPN wel melden vanaf welke IP-adressen een klant had verbonden: een thuisadres en een werkplek.
Voor een mailaccount kan het anders lopen. Proton legde in september 2021 uit dat het via een Zwitsers bevel verplicht kan worden om vanaf dat moment gegevens over één bepaald account te verzamelen.
Wat een VPN niet verbergt
Een VPN verandert het adres waarmee je op internet verschijnt. Hij verandert niet wie je bent bij de diensten die je gebruikt.
- Je accounts. Wie inlogt bij Microsoft 365, Google of een boekhoudpakket, is daar gekend met naam, e-mailadres en vaak gsm-nummer. De dienst ziet het adres van de VPN-server, maar ook jouw account.
- Je betalingen. Een VPN-abonnement op de bedrijfskaart staat op je rekeningafschrift en bij je kaartuitgever.
- Je toestellen. Wat op een laptop of gsm staat, staat er nog als die in beslag wordt genomen.
Kmo-Kristof: Als de politie bij mijn VPN-aanbieder aanklopt, vinden ze niets. Dus ben ik onzichtbaar.
Security-Sofie: Bij je VPN-aanbieder, misschien. Hoe betaal je hem?
Kmo-Kristof: Met de bedrijfskaart.
Security-Sofie: En je mail?
Kmo-Kristof: Microsoft 365, op mijn naam. Met tweestapsverificatie via mijn gsm.
Security-Sofie: Dan ben je goed beveiligd. Onzichtbaar is iets anders.
Als de vraag bij jouw kmo terechtkomt
Een kmo is niet alleen klant van een provider. Met een eigen VPN op de firewall bewaar je zelf logboeken, en die kunnen ook gevraagd worden: als een account van je zaak misbruikt werd, of als een IP-adres van je kantoor in een onderzoek opduikt. Omgekeerd zijn diezelfde logboeken vaak het eerste bewijs als jij het slachtoffer bent van een inbraak via de VPN.
Krijgt een zaakvoerder zo’n vraag, dan helpen drie reflexen. Vraag een schriftelijke vordering van een bevoegde magistraat. Geef wat gevraagd wordt, niet meer. En leg vast wat je gaf en wanneer. Een advocaat of je IT-partner kijkt best mee, zeker de eerste keer. Een zelfstandige webontwikkelaar in Kortrijk die servers voor klanten beheert, maakt die afspraak beter vooraf met zijn klanten dan op de dag dat de brief komt.
Wat je provider al bewaart
De eerste schakel is je Belgische provider, met een wettelijke bewaarplicht. Wat die inhoudt, staat bij de Belgische bewaarplicht voor operatoren.
Een bevel uit Zwitserland
Voor een Zwitserse aanbieder loopt elk buitenlands verzoek langs de Zwitserse rechter. Hoe dat werkt, lees je bij de Zwitserse regels voor rechtshulp.
Jouw eigen logboeken
Wat je als werkgever over je medewerkers bewaart, valt onder de GDPR, ook als het later gevraagd wordt. Wat dat vraagt, staat bij de logboeken van je medewerkers.