- 検索候補に「やばい」や危険性という言葉が出てきて、Proton VPNを使い続けてよいのか判断できない
- 「ノーログ」と書かれていても、何を根拠に信じればよいのかがつかめない
- 無料プランでも有料と同じように守られるのかが分からない
Proton VPNを調べると、「やばい」や危険といった言葉が一緒に出てきて不安になるかもしれません。
先に答えを言うと、公式資料と外部の監査で確かめられる根拠は、かなりそろっています。
ノーログ方針は外部の監査会社が毎年調べており、法的な命令に記録を出せなかった件数も公表されています。
アプリのソースコードも公開されていて、第三者が中身を調べられる状態です。
ただし、監査は調べた時点と範囲についての確認で、VPNが守れるのは通信の通り道までです。
この記事では、安全と言える根拠を資料ごとに見たうえで、VPNでは守れないことも整理します。
Proton VPNは安全か？資料で見る結論
安全かどうかは、運営元の宣伝文句ではなく、外から確かめられる資料で判断できます。
Proton VPNの場合、判断の材料になる資料は大きく3つあります。
1つ目は、外部の監査会社Securitumによるノーログ方針の監査で、2022年から2026年まで毎年行われました。
2つ目は透明性レポートで、2025年に受けた法的命令59件すべてを拒否したと公表しています。
3つ目は、主要なアプリのソースコードの公開と、外部の研究者によるアプリの監査です。
ただし、監査は調べた時点と範囲についての結果で、透明性レポートの件数はProton自身の発表です。
ノーログという言葉そのものの意味は、ノーログVPNとは？意味と確認の視点をわかりやすく解説で整理しています。
これらの根拠に納得して使うなら、アプリは公式のダウンロードページから入手してください。
記録しない情報と、アカウントに残る情報
ノーログといっても、Protonが何ひとつ情報を持たないわけではありません。
通信の記録と、アカウントの登録や支払いの情報は、分けて考える必要があります。
- 記録しないと公式が説明しているもの
- アカウントと支払いで残る情報
- 無料プランも同じノーログ方針
記録しないと公式が説明しているもの
Proton VPNのノーログ方針の説明では、記録しないものとして次が挙がっています。
- 訪問したWebサイト
- 通信の中身
- 利用者のIPアドレス
- 接続していた時間の長さ
- 位置情報
プライバシーを損なうような通信の付帯情報も、記録の対象外です。
サーバーの保守や不具合の調査に使うデータは、サーバー全体の暗号化で守っていると説明しています。
VPNのプライバシーポリシーには、VPNサーバーにはログも利用者のデータも置かないとあります。
アカウントと支払いで残る情報
アカウントを作る以上、通信の記録とは別に、登録と支払いの情報は残ります。
Proton VPNのアカウントは、登録したメールアドレスで識別されます。
Protonのプライバシーポリシーによると、カード払いではカード情報の全体を保存しません。
保存するのは、名義人の氏名とカード番号の下4桁だけです。
IPアドレスは、既定ではアカウントと結びつけて長く保存しないとされています。
ただし、不正や乱用への対策として一時的に残すことがあり、スパムなどの規約違反があれば保存が続く場合もあります。
普段使いのメールアドレスやカードで登録すれば、その情報はProton側に残ると考えてください。
無料プランも同じノーログ方針
無料のVPNと聞くと、記録を売って運営しているのではと心配になるかもしれません。
Proton VPNの無料プラン紹介ページは、無料プランもオンライン上の行動を記録しないと説明しています。
ノーログ方針やキルスイッチなど、中核のプライバシー機能は全利用者が使えるとも書かれています。
キルスイッチは、VPNが切れたときに通信を止めて、VPNを通らない通信が出ないようにする機能です。
有料プランに切り替えなくても、ノーログ方針の扱いは変わりません。
外部監査とソースコードで確かめられること
ノーログは事業者の宣言なので、それだけでは本当かどうか判断できません。
Proton VPNには、宣言の外から確かめるための仕組みがいくつかあります。
- 5年連続のノーログ監査
- アプリのソースコード公開と監査
- 非営利財団が最大の株主になった体制
5年連続のノーログ監査
ノーログ方針の監査は、Securitumという欧州のセキュリティ監査会社が行っています。
監査は2022年から2026年まで毎年行われ、各年の報告書はProton Driveで読めます。
毎年、専門家が数日間かけて、VPNの設定ファイルやサーバーの設定を現地で調べたとのことです。
確認した点には、全サーバー・全地域・全プランで同じ方針が適用されているか、も含まれます。
Securitumの2026年の報告では、調べたサーバー基盤が閲覧履歴やDNSの問い合わせ、通信の中身を記録している形跡はないとされました。
特定の利用者と行動を結びつけられる記録も、調べた範囲では見つからなかったとしています。
監査結果と報告書へのリンクは、Proton VPNのノーログ監査の報告ページにまとまっています。
一方で、監査は調べた期間と範囲についての結果で、その後もずっと同じ状態だと証明するものではありません。
Proton自身も、設定の誤りや設計の欠陥によって、意図せず記録が残る危険はあると説明しています。
毎年の監査が続いているかどうかを、継続的に見ていく材料にするとよいでしょう。
アプリのソースコード公開と監査
Proton VPNは、Android、iPhone・iPad、Mac、Windowsのアプリと、ブラウザ拡張のソースコードをGitHubで公開しています。
ソースコードが公開されているので、暗号化の方法やデータの扱いは、外部の研究者が自分で調べられる状態です。
アプリは外部の研究者によるセキュリティ監査も受けていて、その結果も公開されています。
不具合を見つけた人に報奨金を払う制度もあり、外の目で弱点を見つける仕組みです。
公開状況と監査の報告は、Proton VPNのアプリのオープンソース化と監査の説明で確かめられます。
サーバーで記録を残していないかどうかは、前の項目で見たノーログ監査の結果とあわせて判断します。
非営利財団が最大の株主になった体制
運営会社がどんな相手に買われるかも、長く使うなら気になります。
Protonは2024年6月、スイスの非営利団体Proton Foundationが最大の株主になる体制へ移ると発表しました。
財団は議決権を持つ最大の株主で、会社の支配権が変わるには財団の同意が必要です。
買収などで経営者が入れ替わり、プライバシーの方針が変わることへの歯止めになります。
詳しい経緯は、Protonの非営利体制への移行の発表に書かれています。
スイスの法律と透明性レポート
運営するProton AGはスイスの会社で、Proton VPNにはスイスの法律が適用されます。
どの国の法律で、どんな命令が届き、どう対応したかは、透明性レポートで確かめられます。
- 法的命令への対応と件数
- Proton MailとProton VPNで扱いが違う
- スイスで続いている法改正の議論
法的命令への対応と件数
Protonの透明性レポートによると、法的な拘束力があるのはスイス当局からの要請だけです。
外国の当局からの要請が扱われるのは、スイス当局が国際的な司法共助の手続きで認めた場合です。
レポートでは、スイスの法律はProton VPNに通信の記録を保存する義務を課していないと説明しています。
そのうえで、記録を残さない方針なので、拘束力のある要請でも行動の記録は出せないとしています。
Proton VPNが受けた法的命令の件数は、次のとおりです。
| 年 | 受けた命令 | 拒否した命令 |
|---|---|---|
| 2023年 | 60件 | 60件 |
| 2024年 | 53件 | 53件 |
| 2025年 | 59件 | 59件 |
要請は、特定のサーバーに特定の時刻につないでいた人を知りたいという内容だったと説明されています。
2019年1月には、スイスの裁判所が承認した外国からの要請がありましたが、利用者のIPアドレスを持っていないため提供できなかったと記されています。
件数と対応の内容は、Proton自身が公表している数字です。
Proton MailとProton VPNで扱いが違う
同じProtonのサービスでも、メールとVPNでは法的命令への扱いが違います。
Protonは2021年、気候活動家の逮捕をめぐって、スイス当局の法的な命令に従ったと説明しました。
その中で、スイスの法律に違反した利用者については、Proton MailでIPアドレスの記録を命じられることがあると認めています。
VPNについては、現在のスイスの法律の下での話として、次のように書いています。
Proton VPN cannot be compelled to log user data.
Protonが情報を提供したという話を見かけたら、Proton MailとProton VPNのどちらの話かを分けて読んでください。
メールの暗号化の範囲は、Proton Mail（プロトンメール）とは？暗号化の範囲と無料版の制限で整理しています。
スイスで続いている法改正の議論
スイスでは、通信の監視に関する政令の一部を改める案が議論されています。
連邦参事会（スイスの政府）は2025年1月、この改正案について意見の募集を始めました。
2026年2月の発表では、集まった意見を受けて外部の会社が影響を評価しており、最終案ができたら2回目の意見募集を行うとしています。
経緯の原文は、スイス連邦政府の2026年2月の発表（ドイツ語）です。
ここまで見た「スイスの法律は記録を義務づけていない」という前提は、法律が変われば変わりえます。
長く使うなら、ノーログ監査の結果とあわせて、この議論の行方も見ておくと安心です。
VPNで守れないこと
Proton VPNの記録の扱いがどれだけ確かでも、VPNだけで守れる範囲には限りがあります。
VPNが隠すのは、通信の通り道と、接続先から見える利用者のIPアドレスです。
VPNを使っていても追跡されうる場面を挙げたProton VPNのブログでは、次のような例が出てきます。
- ログインしたアカウントでの行動
- クッキーとブラウザの指紋による追跡
- 乗っ取られた端末
- 支払い情報
ログインしたアカウントでの行動
GoogleなどのアカウントにログインしたままWebを使うと、その会社には自分の行動が結びつきます。
同じブログでは、Googleにログインしていれば、閲覧のあらゆる面をGoogleが見られうると書かれています。
VPNで隠れるのはIPアドレスで、ログインしたアカウントの名前までは隠れません。
SNSや掲示板への投稿も、投稿先が持つ登録情報から本人にたどり着く場合があります。
投稿から本人が特定される流れは、ノーログVPNでも開示請求で特定される？Mullvadなど実際の事例と仕組みで整理しています。
クッキーとブラウザの指紋による追跡
広告や分析の会社が使うサードパーティクッキーは、VPNを使っていても止まりません。
ブラウザや端末の細かな違いから利用者を見分ける方法もあり、これはブラウザの指紋と呼ばれます。
どちらもIPアドレスに頼らない追跡なので、VPNで接続元を変えても同じ利用者として見分けられる場合があります。
ブラウザのクッキーの設定や、追跡を防ぐ機能のあるブラウザとあわせて使ってください。
乗っ取られた端末
端末そのものがウイルスなどに乗っ取られていると、VPNではその状態を覆せません。
VPNは端末から出ていく通信を守る道具で、端末の中で起きていることは見ていないからです。
OSとアプリを最新にしておくこと、入手元の分からないアプリを入れないことが、VPNとは別に必要です。
支払い情報
VPN事業者は、契約に使った支払いの情報を持っています。
Proton VPNの場合、カード払いなら保存されるのは名義人の氏名とカード番号の下4桁です。
通信の記録がなくても、アカウントと支払いの情報として、契約者に結びつく情報は残ります。
どこまで匿名にしたいかによって、登録に使うメールアドレスや支払い方法を考える必要があります。
まとめ：根拠はそろっているが、VPNで守れる範囲は通り道まで
この記事では、Proton VPNの安全性を、公式資料と外部監査、スイスの法律、VPNで守れないことから整理しました。
判断に迷ったら、次の5点を振り返ってください。
- 訪問したサイト、通信の中身、IPアドレスなどは記録しないと公式が説明し、無料プランも同じ方針の対象
- ノーログ方針はSecuritumが2022年から2026年まで毎年監査し、報告書が公開されている
- アプリのソースコードはGitHubで公開され、外部の研究者による監査も受けている
- 透明性レポートでは、2025年のVPNへの法的命令59件をすべて拒否したと公表している
- ログインしたアカウント、クッキー、乗っ取られた端末、支払い情報は、VPNでは守れない
VPNは通信を見られにくくする道具で、フィッシングやアカウントの乗っ取りまでは防げません。
Proton VPNの機能や料金、ほかのProtonサービスとの関係を知りたいときは、次の記事が役立ちます。
