Смотря в какой стране. В Украине, например, законно, поскольку требование выглядит примерно так: "запретить провайдерам предоставлять доступ к сервисам/ресурсам <название компании>", а про пользователей там не сказано.
Незаконно, но вся ответственность за предоставление пользователю доступа к запрещенным сайтам лежит на хозяине VPN. Этот закон похож на продажу сигарет несовершеннолетним. Школьники могут купить сигареты, но накажут только продавца.