Chiffrement : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
Le chiffrement est une technique qui rend des données illisibles pour toute personne ne disposant pas de la clé de déchiffrement. Le RGPD le cite expressément parmi les mesures de sécurité appropriées pour protéger les données personnelles.
Ce qu'il faut comprendre
On distingue le chiffrement des données au repos, stockées sur un disque, un serveur ou une sauvegarde, et le chiffrement des données en transit, lors de leur envoi sur un réseau, par exemple avec le protocole HTTPS. Pour un ordinateur portable, une clé USB ou un téléphone professionnel, le chiffrement du disque est une protection de base contre le vol ou la perte.
Le chiffrement a un effet juridique concret : si des données chiffrées avec un algorithme robuste sont perdues ou volées, et que la clé n'est pas compromise, l'information des personnes concernées n'est pas exigée. La violation doit toutefois être consignée et, selon le risque, notifiée à la CNIL. Le chiffrement réduit donc à la fois le risque pour les personnes et la charge de gestion de l'incident pour l'organisme.
Il ne faut pas confondre chiffrement et pseudonymisation : des données chiffrées restent des données personnelles, puisqu'elles redeviennent lisibles avec la clé. L'erreur fréquente est de conserver la clé ou le mot de passe à côté des données, sur le même poste ou dans le même courriel, ce qui annule la protection.
Exemple concret
Le directeur d'une PME de transport se fait voler, dans un train, l'ordinateur portable contenant les fiches de paie de ses quarante salariés. Le disque était chiffré et le mot de passe n'était pas noté sur l'appareil. L'entreprise consigne la violation, mais n'a pas à informer les salariés, car les données sont inintelligibles pour le voleur.
Textes de référence
- RGPD, art. 32
- RGPD, art. 34
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
