Les enregistrements de connexion VPN sont conservés pendant 93 jours : la politique de journalisation de StageVPN est lue en texte intégral

Base juridique : Quelle loi m'oblige à conserver des enregistrements d'accès ?

La loi exigeant le stockage des enregistrements d'accès est l'article 15-2 de la loi sur la protection des secrets de communication et l'article 41 du décret d'application de la même loi. La loi établit l'obligation de coopération de l'opérateur du secteur des télécommunications et délègue la durée de conservation, et le décret d'application fixe la durée minimale de conservation pour chaque type de données. Enbase Korea Co., Ltd., qui exploite StageVPN, est soumise à cette obligation en tant qu'opérateur de télécommunications en Corée.

"① Les opérateurs du secteur des télécommunications doivent coopérer avec les procureurs, les officiers de police judiciaire ou les chefs des services de renseignement et d'enquête visant à fournir des mesures de restriction des communications et des données de confirmation des communications mises en œuvre en vertu de la présente loi. ② Les questions auxquelles les opérateurs du secteur des télécommunications doivent coopérer pour l'exécution des mesures de restriction des communications conformément aux dispositions du paragraphe (1), la période de stockage des données de confirmation des communications et d'autres questions nécessaires concernant la coopération des opérateurs du secteur des télécommunications seront déterminées par décret présidentiel."

Article 15-2 de la loi n° 20735 sur la protection des secrets des communications (obligation de coopération des opérateurs du secteur des télécommunications), entrée en vigueur le 1er août 2025 — Centre national d'information sur le droit

L'article 15-2 établit deux choses. Premièrement, les opérateurs du secteur des télécommunications doivent coopérer avec les demandes de fourniture de données de confirmation de communication conformément à la loi. Deuxièmement, la durée de conservation est déterminée par le décret présidentiel (décret d'exécution). L'ordonnance d'exécution est l'article 41 ci-dessous.

"② La durée de conservation des données de confirmation de communication d'un opérateur de télécommunications en application de l'article 15-2, alinéa 2 de la loi est plus longue que la durée selon les classifications suivantes : 1. Les données de confirmation de communication en application des alinéas a à d et f de l'article 2, alinéa 11 de la loi : 12 mois. Toutefois, dans le cas des données liées à la téléphonie longue distance et locale, elle est de 6 mois. 2. Conformément à l'article 2, Alinéa 11, e et g de la Loi. Données de confirmation de communication : 3 mois.

Article 41 (Obligation de coopération des opérateurs du secteur des télécommunications, etc.) Paragraphe 2 du décret d'application de la loi sur la protection des secrets de communication, décret présidentiel n° 35674, en vigueur le 1er août 2025 — Centre national d'information sur le droit

Ce que sont les « articles e et pastoraux » à l'article 41, paragraphe 2, est prévu à l'article 2, point 11 de la loi. Les données de confirmation de communication font référence aux données sur les faits de la communication, telles que « quand, qui et où la communication a été effectuée », plutôt qu'au contenu de la communication.

« 11. Les « données de confirmation des faits de communication » font référence aux données sur les faits de télécommunication qui relèvent de l'un des éléments suivants : (…) E. Les communications informatiques ou les journaux Internet enregistrent des données concernant le fait qu'une communication informatique ou un utilisateur Internet a utilisé des services de télécommunication (…) F. Données de suivi d'accès qui peuvent confirmer l'emplacement du dispositif d'information et de communication utilisé par un utilisateur de communication informatique ou Internet pour accéder au réseau d'information et de communication.

Loi sur la protection des secrets de communication, article 2 (Définitions) n° 11 E et A — Centre national d'information sur le droit

Les enregistrements laissés sur le serveur VPN indiquant « quel compte s'est connecté, où il a communiqué et quand » correspondent aux enregistrements du journal Internet de Mamok, et les enregistrements laissant « à partir de quelle adresse IP a été accédée » correspondent aux données de suivi des accès de Samok. Par conséquent, la période de conservation minimale légale des enregistrements d’accès de StageVPN est de 3 mois.

La raison pour laquelle StageVPN a choisi 93 jours est que le texte statutaire est « pas moins de trois mois ». Les trois mois civils varient de 89 à 92 jours selon la combinaison de trois mois consécutifs, avec un maximum de 92 jours, comme du 1er juillet au 30 septembre. Les enregistrements créés au cours d'un mois sont fixés à 93 jours pour remplir la période légale et ne sont pas arbitrairement conservés plus longtemps que cela. Le contenu juridique de cet article est basé sur l'ordonnance d'application de la loi sur la protection des secrets de communication (en vigueur le 1er août 2025) publiée sur le Centre d'information sur la législation nationale en septembre 2026.

Que conserver : Qu'est-ce qui reste et qu'est-ce qui ne reste pas ?

Ce qui reste, c'est l'heure de connexion et les informations d'adresse, et ce qui ne reste pas, c'est le contenu de la communication. L'application StageVPN et StageVPN pour Chrome fonctionnent différemment et comportent des éléments légèrement différents. Dans les deux méthodes, le serveur collecte des enregistrements toutes les minutes et les envoie à la base de données StageVPN via une communication cryptée (HTTPS). Les deux tableaux ci-dessous sont Accéder à l’avis de stockage des dossiers Les articles 2 et 3 sont traduits textuellement.

Le domaine de destination (nom d'hôte) n'est pas inclus dans l'historique de l'application. Les recherches DNS sont également traitées dans le tunnel VPN, mais il n'existe aucune trace des domaines recherchés. Le problème avec la fuite DNS hors du tunnel est Fuite DNS et fuite WebRTCCela a été expliqué séparément.

StageVPN pour Chrome envoie la communication du navigateur à un proxy HTTPS, de sorte qu'il enregistre le nom d'hôte de destination requis pour la connexion (par exemple www.example.com), mais n'enregistre pas les chemins de page, les termes de recherche, les chaînes de requête ou le contenu de la page. Il ne décrypte pas non plus le contenu crypté sur les sites HTTPS. La différence de portée de protection entre les deux méthodes est VPN de navigateur vs VPN d'applicationVeuillez vous référer à .

Nous ne stockons en aucun cas les informations suivantes (article 4 de l’avis de conservation des enregistrements d’accès) :

• Contenu des communications échangées : contenu de pages Web, texte d'e-mail/message, audio/vidéo, fichiers
• Chemin d'URL, terme de recherche, chaîne de requête, valeur de formulaire saisie et valeur de cookie
• Liste des noms de domaine (recherches DNS) et des domaines visités recherchés dans l'application StageVPN
• Contenu déchiffré des communications HTTPS (n'intercepte ni ne déchiffre les communications cryptées)
• Informations de localisation précises, telles que le GPS de votre appareil

Outre les enregistrements d'accès, il existe plusieurs autres enregistrements destinés à empêcher toute utilisation frauduleuse et à garantir la sécurité. Les enregistrements d'émission et de publication de clés VPN sont automatiquement supprimés après 90 jours, les enregistrements d'audit de modification des paramètres de service sont automatiquement supprimés après 180 jours et les enregistrements de demandes d'API (journaux du serveur) sont automatiquement supprimés après 30 jours. La période pour chaque article est politique de confidentialité Tout est écrit à l'article 3.

Durée de vie des données : comment les enregistrements sont-ils créés et quand sont-ils supprimés ?

Les enregistrements d'accès sont créés sur le serveur au moment de la connexion et transférés à la base de données toutes les minutes, et sont supprimés par la fonction d'expiration automatique de la base de données 93 jours à compter de la date de création. Plutôt que de laisser un humain déterminer le calendrier de suppression, chaque enregistrement est automatiquement effacé à une heure d'expiration définie, de sorte que StageVPN ne peut pas le conserver arbitrairement plus longtemps.

L'exception est l'historique des sessions de l'application. Les enregistrements de session sont conservés jusqu'au retrait de l'adhésion, car ils constituent l'historique d'utilisation nécessaire à la fourniture du service. Cependant, les parties nécessaires à la comparaison avec les enregistrements d'accès restent même après le retrait jusqu'à ce que 93 jours se soient écoulés à compter de la date de création. Même si un membre se retire, les enregistrements d'accès déjà créés seront supprimés après 93 jours en raison des obligations légales de conservation, et seront séparés des autres informations et stockés uniquement aux fins stipulées par la loi.

Droits d'utilisateur : puis-je consulter ou supprimer mes enregistrements ?

Vous pouvez demander la consultation, mais la suppression pendant la période de stockage ne sera pas demandée. Après avoir vérifié leur identité, les membres peuvent demander à voir si leurs enregistrements d'accès sont conservés et à consulter leur contenu. Toutefois, la visualisation peut être restreinte conformément à l'article 35, paragraphe 4 de la loi sur la protection des données personnelles, et dans ce cas, StageVPN vous en informera.

Les enregistrements d'accès pendant la période de conservation ne peuvent pas être supprimés avant la fin de la période, même si la suppression est demandée en raison d'obligations légales de conservation, et sont automatiquement supprimés après 93 jours. Les demandes de renseignements et les demandes peuvent être envoyées au responsable de la protection des informations personnelles (privacy@stagevpn.com) ou au centre client (support@stagevpn.com). Si vous n'êtes pas satisfait du traitement effectué par StageVPN, vous pouvez demander une consultation ou une médiation en cas de litige auprès du Comité de médiation des litiges relatifs aux informations personnelles (1833-6972, sans indicatif régional) ou au Centre de signalement des violations d'informations personnelles de l'Agence coréenne de sécurité Internet et de sécurité (118, sans indicatif régional). La différence entre le retrait d’une adhésion et l’annulation d’un abonnement Informations sur le forfait StageVPNCeci est expliqué dans .

Procédure de mise à disposition : Qui peut recevoir les enregistrements d'accès et par quelles procédures ?

Les dossiers d'accès seront fournis uniquement sur demande écrite répondant aux exigences et procédures établies par la loi, y compris l'autorisation du tribunal, et dans la mesure minimale nécessaire dans le cadre de la demande. Il n'est pas automatiquement fourni sur demande, et StageVPN demandera un complément ou refusera de répondre à toute demande insuffisante ou trop large. La procédure de demande d'enquête pénale est déterminée par l'article 13 de la loi sur la protection des secrets de communication.

"③ Lors de la demande de fourniture de données de confirmation de communication conformément aux paragraphes 1 et 2, il faut obtenir l'autorisation du tribunal de district compétent (y compris les tribunaux militaires; ci-après, cela s'applique également) ou un support écrit indiquant le motif de la demande, la relation avec l'abonné concerné et l'étendue des données nécessaires. Toutefois, s'il existe des raisons urgentes pour lesquelles l'autorisation du tribunal de district compétent ou l'assistance ne peut être obtenue, la demande de fourniture de données de confirmation de communication doit être reçue sans délai et envoyée à l'opérateur du secteur des télécommunications. ④ Paragraphe 3 Si les données de confirmation de communication ont été fournies pour des raisons urgentes conformément à la disposition, mais que l'autorisation n'a pas été obtenue du tribunal local ou de l'assistance, les données de confirmation de communication fournies doivent être détruites sans délai.

Loi sur la protection des secrets de communication, article 13 (Procédures de fourniture de données de confirmation de communication pour les enquêtes criminelles), paragraphes 3 et 4 — Centre national d'information sur le droit

L'article 13, paragraphe 1 précise que la personne qui peut formuler la demande est un procureur ou un officier de police judiciaire, et le paragraphe 3 précise que l'autorisation du tribunal doit être obtenue par écrit en indiquant le motif de la demande, sa pertinence pour l'abonné et l'étendue des données. En cas d'urgence, vous devez d'abord demander et obtenir l'autorisation sans délai. Si l'autorisation n'est pas obtenue, les documents reçus doivent être détruits. L'obligation d'enregistrement après mise à disposition est prévue au paragraphe 7 du même article.

« ⑦ Lorsqu'un opérateur d'entreprise de télécommunications fournit des données de vérification des communications à un procureur, un officier de police judiciaire ou un chef d'un organisme de renseignement et d'enquête, il doit rendre compte de l'état de la fourniture des données au ministre des Sciences, des TIC et de la Planification future deux fois par an et tenir un registre contenant les éléments nécessaires, tels que la fourniture des données de vérification des communications, et les données connexes, telles qu'une demande de fourniture de données de vérification des communications, pendant 7 ans à compter de la date de fourniture des données de vérification des communications.

Article 13, paragraphe 7 de la loi sur la protection des secrets de communication – Centre national d'information sur le droit

L'agence d'enquête qui a reçu les données doit en informer la personne concernée. Le délai de notification est déterminé par l'article 13-3 pour chaque résultat de traitement d'un dossier.

« ① Un procureur ou un officier de police judiciaire doit, dans le cadre d'une affaire pour laquelle des données de vérification de communication ont été fournies conformément à l'article 13, informer par écrit la partie soumise à la fourniture de données de vérification de communication du fait que des données de vérification de communication ont été fournies, l'organisme qui a demandé la fourniture, le délai, etc. enquête) (à l'exclusion des décisions) ou en cas de décision de ne pas classer l'affaire : Dans les 30 jours à compter de la date de cette décision (…) 3. Si une enquête est en cours : Dans les 30 jours à compter de la date de réception des données de confirmation de la communication (3 ans dans le cas d'un délit tombant sous l'un des alinéas de l'article 6, paragraphe 8).

Loi sur la protection des secrets de communication, article 13-3 (Avis de fourniture de données de confirmation de communication à des fins d'enquête criminelle), paragraphe 1 – Centre national d'information sur le droit

Le paragraphe 2 du même article stipule que la notification peut être reportée s'il existe un risque pour la sécurité nationale, des menaces pour la vie ou l'intégrité physique des personnes impliquées dans l'affaire, un risque de destruction de preuves ou d'évasion, ou une atteinte à l'honneur ou à la vie privée, et le paragraphe 4 stipule que la notification doit être faite dans un délai de 30 jours à compter de la date à laquelle la cause est résolue. Les demandes relatives à la sécurité nationale suivent des procédures distinctes énoncées à l'article 13-4 de la même loi. En traduisant ces dispositions dans l'ordre de traitement réel de StageVPN, cela se présente comme suit :

Il existe également des journaux d'accès et d'autres types de demandes. L'article 83 de la loi sur le secteur des télécommunications stipule les demandes de fourniture d'informations sur l'abonné telles que le nom de l'utilisateur, son identifiant et la date d'abonnement, et avec la révision de décembre 2023, le nom est passé de « données de communication » à « informations sur l'utilisateur de communication ».

« ③ Un opérateur d'entreprise de télécommunications peut se conformer à une demande d'un tribunal, d'un procureur ou d'un chef d'un bureau d'enquête (…), ou du chef d'un organisme de renseignement et d'enquête, de consulter ou de soumettre (ci-après dénommées « fourniture d'informations sur les utilisateurs de communication ») les données suivantes (ci-après dénommées « informations sur les utilisateurs de communication ») à des fins de procès, d'enquête (…), d'exécution d'une peine ou de collecte d'informations pour éviter de porter atteinte à la sécurité nationale : 1. Nom de l'utilisateur 2. Enregistrement de résident de l'utilisateur. 3. Adresse de l'utilisateur 4. Numéro de téléphone de l'utilisateur 5. Identifiant de l'utilisateur (…) 6. Date d'abonnement ou date de résiliation de l'utilisateur ④ Les demandes de fourniture d'informations sur l'utilisateur de communication conformément au paragraphe 3 doivent être faites par écrit (ci-après dénommées « demande de fourniture d'informations ») en indiquant le motif de la demande, la relation avec l'utilisateur concerné et l'étendue des informations utilisateur de communication requises.

Article 83 (Protection des secrets de communication), paragraphes 3 et 4 de la loi sur le secteur des télécommunications, texte révisé le 29 décembre 2023 — Centre national d'information sur le droit

Le libellé de l’article 83, paragraphe 3 est « peut suivre ». En d'autres termes, la fourniture d'informations sur les utilisateurs de la communication est un domaine dans lequel intervient le jugement de l'opérateur commercial, contrairement aux données de confirmation de communication qui nécessitent l'autorisation du tribunal, et StageVPN examine la légalité et la nécessité de la demande et ne répond que dans la mesure minimale nécessaire. L'organisme qui a reçu les données doit en informer la partie dans un délai de 30 jours conformément à l'article 83-2 de la même loi, et StageVPN ne collecte pas de numéro d'enregistrement de résident, la donnée n°2 n'existe donc pas dès l'origine.

Même les administrateurs de VPN d'entreprise ne peuvent pas voir ces enregistrements d'accès statutaires. Ce qui est fourni à l'administrateur est la durée de la session de qualification de l'entreprise, la durée d'utilisation, la quantité de données, le nom/pays du serveur et même l'adresse IP dédiée utilisée. Guide d'introduction au VPN IP fixe d'entrepriseIl était recouvert de .

Comment lire les publicités sans journal

Vous devez d’abord vérifier ce que l’expression « ne pas laisser de documents » signifie ne pas laisser derrière vous. En effet, la signification varie considérablement selon qu'il s'agit de ne laisser aucun contenu de communication ou de ne laisser aucune métadonnée telle que l'heure et l'adresse de connexion. Les opérateurs VPN sont techniquement en mesure de voir plusieurs couches d'informations, et les couches qu'ils doivent laisser derrière eux dépendent des lois du pays qu'ils suivent.

Lorsque vous comparez les politiques de journalisation des services VPN, vérifiez si les éléments ci-dessous sont répertoriés dans leur documentation : Aucune des deux questions ne peut recevoir de réponse par un seul mot : « pas de journaux ».

• Existe-t-il une liste des éléments à conserver et à ne pas conserver ? Est-ce qu'il indique l'heure, l'adresse IP, la destination, le DNS et le contenu séparément, plutôt qu'une seule ligne indiquant « pas de journaux » ?
• La durée de conservation et la méthode de suppression sont-elles écrites en chiffres ? S'il n'existe qu'une expression ouverte telle que « aussi longtemps que nécessaire », le délai n'est pas fixé.
• Indique-t-il dans quel pays l'opérateur est situé et à quelles lois il s'applique ? Étant donné que les opérateurs de télécommunications coréens sont obligés de conserver des enregistrements de connexion, vous devez vous méfier des publicités « no log » des opérateurs coréens.
• Divulguez-vous quelles procédures sont utilisées pour répondre aux demandes des agences d’enquête ? Les critères pour demander l’autorisation du tribunal, l’examen de la portée et le refus sont-ils énoncés ?
• Précise-t-il que les enregistrements ne seront pas utilisés à des fins publicitaires, d’analyse comportementale ou de vente ?
• Existe-t-il une fenêtre permettant aux utilisateurs de consulter ou de se renseigner sur leurs enregistrements ?

À l’inverse, dire que des enregistrements d’accès sont conservés ne signifie pas que le contenu des communications est également examiné. La raison pour laquelle StageVPN divulgue tous les articles, périodes et procédures de livraison est que nous pensons que le point de départ de la confiance est que les utilisateurs sachent exactement ce à quoi ils peuvent et ne peuvent pas s'attendre. La politique publiée devient la norme à laquelle l'opérateur doit adhérer, et les utilisateurs peuvent poser des questions basées sur cette norme. La portée et les limites d'un VPN sont Ce que les VPN empêchent et ne peuvent pas empêcher, la structure globale de la sécurité des services est Informations de sécuritéJe l'ai organisé en .