VPN uit Zwitserland: wat de Zwitserse wet beschermt en wat in beweging is

Of: waarom de kluis in de berg een slot heeft dat de regering kan bijstellen

Zwitserland verkoopt zich al lang als een land van kluizen, en VPN-diensten spelen daar graag op in. Wie een betrouwbare VPN zoekt, komt snel bij een aanbieder met een Zwitsers adres terecht. Het argument is juridisch: een Zwitserse dienst valt onder Zwitsers recht, en buitenlandse politie moet langs een Zwitserse rechter. Proton VPN, van Proton AG in Genève, toont in zijn transparantierapport hoe dat in de praktijk uitpakt.

Het korte antwoord: een Zwitserse VPN beschermt je vooral tegen verzoeken die niet via de Zwitserse rechter lopen, en tegen een bewaarplicht die er vandaag voor VPN-diensten niet is. Dat tweede punt staat in 2026 ter discussie. Wie een Zwitserse VPN kiest voor zijn zaak, kiest dus ook voor een wet die hij een beetje moet blijven volgen.

VPN in Zwitserland: wat het recht vandaag zegt

Rechtshulp in plaats van een rechtstreeks verzoek

Proton schrijft dat het alleen verzoeken uitvoert die door het Zwitserse gerecht zijn goedgekeurd. Een buitenlandse politiedienst die gegevens wil, moet dus via de internationale rechtshulp naar de Zwitserse autoriteiten, die het verzoek toetsen aan het Zwitserse recht. Rechtstreeks antwoorden aan een buitenlandse overheid mag Proton volgens eigen zeggen niet, en het verwijst daarvoor naar artikel 271 van het Zwitserse Strafwetboek, dat handelingen voor een vreemde staat op Zwitsers grondgebied verbiedt.

Wat komt er dan binnen? Het transparantierapport van Proton VPN, bijgewerkt op 14 juli 2026, telt de bindende bevelen per jaar:

Elke keer wilden de autoriteiten weten wie op een bepaald moment met een bepaalde server verbonden was. Proton VPN schrijft dat het die logs niet bijhoudt, en de vraag dus niet kon beantwoorden.

Wat een Zwitsers bevel wel kan

Zwitsers recht beschermt niet tegen alles. In september 2021 legde Proton uit hoe het in een zaak rond een klimaatactivist, die door de Franse politie was aangehouden, een bindend Zwitsers bevel had gekregen. Voor Proton Mail kan zo’n bevel betekenen dat Proton vanaf dat moment gegevens over één bepaald account moet verzamelen, zoals het IP-adres. Proton schreef toen ook dat Proton VPN onder de toenmalige Zwitserse wet niet verplicht kon worden om gebruikersgegevens te loggen.

Het verschil is belangrijk. De wet kan een dienst verplichten om voor één verdachte te beginnen bewaren, als die dienst onder de plicht valt. Ze verplicht een VPN-dienst vandaag niet om voor iedereen te bewaren.

De herziening van de VÜPF

Die tweede zin staat ter discussie. De VÜPF is de Zwitserse verordening over het toezicht op post- en telecommunicatieverkeer. In 2025 legde de regering een herziening voor die meer diensten zou treffen, waaronder diensten zoals die van Proton en Threema. Volgens de beschrijving van heise online van augustus 2025 zouden diensten vanaf een bepaald aantal gebruikers hun gebruikers moeten identificeren, metagegevens zoals IP-adressen zes maanden bewaren en meewerken aan ontsleuteling.

De reacties waren fors. Proton kondigde in juli 2025 aan dat het het grootste deel van zijn fysieke infrastructuur buiten Zwitserland zou onderbrengen, te beginnen met zijn AI-assistent Lumo in Duitsland, en ook locaties in Noorwegen uitbouwt. Het voegde eraan toe dat investeren in Europa niet betekent dat het Zwitserland verlaat. Het privacybeleid van Proton VPN, in de versie van 30 juli 2025, vermeldt dat accountgegevens op servers in Zwitserland, Duitsland of Noorwegen staan.

Op 11 februari 2026 nam de Bondsraad akte van de resultaten van de consultatie. Hij liet een extern bedrijf de economische gevolgen voor de betrokken ondernemingen onderzoeken, steunde twee moties die een grondige herwerking vragen, en kondigde een tweede consultatie aan zodra de nieuwe versie klaar is. Op 12 november 2026 vonden we geen aangenomen tekst en geen datum voor die tweede consultatie.

Wat dat betekent voor een kmo

Voor een zaak die vandaag een Zwitserse VPN gebruikt, verandert er op dit moment niets. Wel zijn er twee dingen om te onthouden.

• De wet kan verschuiven. Een no-logs-belofte hangt mee af van wat de wet toelaat. Volg de mededelingen van je aanbieder, zeker als de tweede consultatie start.
• Gegevensdoorgifte is geregeld. Zwitserland heeft een adequaatheidsbesluit van de Europese Commissie. Een kmo die gegevens van zijn personeel via een Zwitserse dienst laat lopen, heeft voor die doorgifte geen extra waarborgen nodig. Een verwerkersovereenkomst blijft wel nodig.

Neem een ontwerpbureau in Leuven met acht mensen dat een zakelijke VPN-dienst uit Zwitserland overweegt. Voor dat bureau is de vraag niet of Zwitserland een kluis is, maar of de aanbieder zijn belofte kan houden onder de wet die er over twee jaar geldt. Dat kan niemand vandaag met zekerheid zeggen, en een eerlijke aanbieder zegt dat ook.

Op 12 november 2026 kostte Proton VPN Plus op de prijspagina van Proton, met de euro als munt gekozen, 9,99 euro per maand bij maandelijkse betaling, of 35,88 euro voor het eerste jaar en daarna 83,88 euro per jaar. Of de btw inbegrepen is, vermeldt de pagina niet: kijk het na voor je afrekent.

Een kaart zonder Zwitserland

Zwitserland hoort bij geen enkele kring van de inlichtingenallianties. Waarom dat minder zegt dan het lijkt, lees je bij de Five en Fourteen Eyes.

Wie het nakijkt

Het transparantierapport toont wat Proton antwoordde. Wat een auditor op de servers zelf zag, staat bij de controles door auditbedrijven.

Gegevens van je personeel naar Zwitserland

Een zakelijke VPN verwerkt gegevens van je medewerkers, ook als de dienst in Genève zit. Wat je als werkgever moet regelen, lees je bij de GDPR en zakelijke VPN’s.