Le siège social d’ExpressVPN étant basé aux Îles Vierges britanniques, le service n’est soumis à aucune loi ou alliance mettant à mal la vie privée (Patriot Act, 5/9/14 Eyes, lois gouvernementales restrictives et intrusives). L'entreprise applique une politique zero-log très stricte et n’a jamais été impliqué dans aucun scandale de sécurité ni de confidentialité.
ExpressVPN conserve uniquement les informations du compte utilisateur (adresse email, facturation) et certaines données techniques (applications et versions utilisées pour se connecter, date de connexion, quantité totale de données transférées quotidiennement) pour garantir le bon fonctionnement du service. \rQuand bien même certaines informations sensibles seraient conservées par ExpressVPN, la technologie TrustedServer (stockage RAM) garantit leur suppression définitive à chaque redémarrage des serveurs.