Un client m'appelle en panique un mardi matin. Il venait de recevoir une notification : un de ses salariés avait perdu un portable dans le TGV, et ce portable contenait l'export complet de sa base clients — 14 000 lignes, noms, adresses, IBAN. Sa première question n'a pas été « comment on récupère le fichier ». Sa première question a été : « le disque était-il chiffré ? ». Je n'ai pas eu besoin de répondre. Le silence a duré huit secondes. On savait tous les deux que non.
Le chiffrement des données, c'est ce qui se passe entre le moment où vous cliquez sur « Enregistrer » et celui où quelqu'un trouve votre machine dans un train. Tant que tout va bien, personne n'y pense. Le jour où ça tourne mal, c'est la seule chose qui compte.
Points clés à retenir
- Le chiffrement transforme un fichier lisible en bouillie illisible pour quiconque n'a pas la clé — et c'est une obligation de moyen, pas de résultat, au sens de l'article 32 du RGPD.
- Confondre pseudonymisation et chiffrement est l'erreur la plus fréquente que je vois chez les TPE/PME. Ce ne sont pas les mêmes mesures, ni les mêmes conséquences en cas de fuite.
- AES-256 et RSA-3072 sont les standards recommandés aujourd'hui par l'ANSSI et le RGS — les algorithmes plus anciens (MD5, SHA-1, DES) sont à bannir.
- Chiffrer un document sans chiffrer le disque qui le stocke revient à fermer sa porte à clé en laissant la fenêtre ouverte.
- Un défaut de chiffrement a déjà coûté cher : la CNIL a sanctionné des organismes pour ce motif, avec des amendes publiques de plusieurs dizaines de milliers d'euros.
- Créer un mot de passe fort, le stocker dans un gestionnaire, activer le chiffrement par défaut : trois réflexes qui couvrent 80 % du risque réel.
Chiffrement des données : ce que c'est vraiment (et ce que ce n'est pas)
Un algorithme de chiffrement prend vos données et une clé, et recrache une suite de caractères qui n'a aucun sens sans cette clé. Point. Vous pouvez ouvrir le fichier chiffré dans un éditeur hexadécimal, vous ne verrez rien d'exploitable. C'est le principe.
Ce qui se passe ensuite est plus intéressant. Deux grandes familles existent.
Chiffrement symétrique et asymétrique : la vraie différence
Le chiffrement symétrique utilise une seule clé pour verrouiller et déverrouiller. AES en est l'exemple canonique. C'est rapide, c'est ce qu'on utilise pour chiffrer des volumes entiers. Le problème ? Si vous devez transmettre la clé à quelqu'un, il faut un canal sûr pour le faire. Pas pratique.
Le chiffrement asymétrique règle ce problème avec deux clés — une publique, une privée. Vous chiffrez avec la publique, votre destinataire déchiffre avec la privée. RSA-3072 en est l'implémentation la plus répandue côté professionnel. C'est plus lent, mais ça résout la question du partage.
En pratique, on combine les deux : on échange une clé symétrique via un canal asymétrique, puis on chiffre le gros du volume en symétrique. C'est exactement ce que fait HTTPS, et c'est pour ça que votre navigateur affiche un cadenas sans que vous ayez à faire quoi que ce soit.
Pseudonymisation vs chiffrement : la confusion qui coûte cher
Voilà une distinction que je vois mal comprise, y compris chez des gens qui gèrent des données personnelles tous les jours. La pseudonymisation consiste à remplacer un identifiant direct (nom, email) par un autre (un ID, un pseudonyme). Mais si vous gardez la table de correspondance à côté, sans protection, la donnée reste ré-identifiable en deux clics. Le chiffrement, lui, rend la donnée inexploitable sans la clé — peu importe qui accède au fichier.
L'article 32 du RGPD les cite tous les deux comme mesures « appropriées », mais elles n'ont pas le même poids. En cas de violation, un jeu de données pseudonymisé sans chiffrement reste considéré comme une fuite de données personnelles. Un jeu de données correctement chiffré, dont la clé n'a pas été compromise, peut sortir du champ de la notification obligatoire. La différence peut se chiffrer en dizaines de milliers d'euros.
Ce que la CNIL et l'ANSSI attendent concrètement de vous
L'article 32 du RGPD parle de « sécurité appropriée », sans dire quoi faire. C'est volontaire : le texte doit pouvoir vieillir sans qu'on réécrive tout à chaque nouveau standard. Mais l'ANSSI, elle, a publié des recommandations précises via le RGS (Référentiel Général de Sécurité), et c'est là qu'on trouve les specs techniques utilisables.
En 2026, les recommandations actuelles pointent vers :
- AES-256 pour le chiffrement symétrique — considéré comme sûr jusqu'en 2030 au moins
- RSA-3072 ou ECDSA P-256 côté asymétrique
- SHA-256 minimum pour les fonctions de hachage
- Bannissement pur et simple de : DES, 3DES, MD5, SHA-1, RC4
Et si vous vous demandez pourquoi SHA-1 est encore dans la nature : parce que des systèmes anciens tournent toujours dessus. C'est un mauvais argument pour ne pas migrer. Trouver une collision SHA-1 coûte aujourd'hui moins qu'un billet d'avion aller-retour Paris-New York.
Côté sanctions, la CNIL ne plaisante pas avec l'absence de chiffrement quand elle juge la mesure « attendue au regard du risque ». Uber a écopé d'une amende de 400 000 € en 2018 pour, entre autres, un défaut de sécurisation des données. Optical Center, 150 000 € en 2020. Active Assurances, 75 000 € en 2021. Ce ne sont pas des montants qui font tomber une entreprise. Ce sont des montants qui font réfléchir.
Les outils de chiffrement professionnels : lequel choisir
Il n'y a pas un bon outil. Il y a un bon outil par usage. Voici comment je classe les solutions que je vois réellement utilisées, avec leurs vrais points forts et leurs vrais défauts.
| Usage | Outil typique | Point fort | Limite réelle |
|---|---|---|---|
| Chiffrer un disque entier | BitLocker, FileVault, LUKS | Transparent pour l'utilisateur, chiffrement au repos | Ne protège rien si la session est ouverte — un mot de passe faible annule tout |
| Envoyer un document sensible | 7-Zip avec AES-256 | Gratuit, multiplateforme, aucun compte à créer | Interface austère, la clé se transmet souvent par le même canal que le fichier (erreur classique) |
| Gérer un volume de fichiers | VeraCrypt, Cryptomator | Coffre chiffré à la demande, aucune dépendance à un éditeur | Oubli du mot de passe = perte définitive, aucune récupération possible |
| Chiffrer des emails | PGP / GPG | Standard ouvert, indépendant de tout fournisseur | Adoption quasi nulle en entreprise, gestion des clés pénible |
| Chiffrer des échanges applicatifs | TLS 1.3 | Universel, intégré partout | Ne chiffre que le transit, pas le stockage — beaucoup l'oublient |
Chiffrement avec 7-Zip : la méthode concrète
Puisque la question revient souvent — « comment je fais, simplement, sans installer un truc compliqué ? » — voici la manip pour un fichier isolé. Clic droit sur le dossier, « Ajouter à l'archive ». Dans la fenêtre, format 7z, méthode de chiffrement AES-256, cochez « Chiffrer les noms de fichiers » (crucial, sinon l'arborescence reste lisible), tapez un mot de passe de 20+ caractères, validez.
L'erreur que j'ai faite pendant des années : envoyer le mot de passe dans un mail séparé… mais depuis la même boîte que le fichier. Autant ne rien faire. La règle est simple : le canal de la clé ne doit jamais croiser le canal du fichier. SMS + email, ou téléphone + email, peu importe — mais pas les deux sur la même plateforme.
Les erreurs que je vois le plus souvent (et que j'ai commises aussi)
Chiffrer le document mais pas le disque qui le contient
Un PDF chiffré posé sur un disque non chiffré, ça protège le contenu du PDF. Mais ça laisse fuiter tout le reste : vos autres fichiers, votre historique, vos caches, vos fichiers temporaires (Word en crée, Excel aussi). Le chiffrement par fichier seul est une protection partielle. Le chiffrement de disque doit être la base.
Un mot de passe fort ne sert à rien s'il est réutilisé
AES-256 est incassable par force brute avec les moyens actuels. Un mot de passe de 8 caractères qui apparaît dans une fuite LinkedIn, lui, tombe en quelques minutes. La crypto la plus solide au monde ne vous sauve pas si votre clé est « Azerty2024! ». Utilisez un gestionnaire. Pas de débat.
Ne jamais faire tourner les clés
Chiffrer une fois et oublier, c'est une pratique que je vois partout. Sauf qu'une clé qui a vécu cinq ans sur dix machines différentes a été copiée, sauvegardée, peut-être oubliée quelque part. Une rotation annuelle (au minimum) est un minimum. Ce n'est pas fun à mettre en place. C'est ce qui vous évite de tout rechiffrer en urgence quand un ancien salarié part avec un disque.
J'ai perdu trois semaines sur une migration de clés mal préparée sur un projet interne. Trois semaines. Pour un truc qui aurait pris deux jours si on avait documenté la procédure dès le départ. Leçon retenue : chaque clé doit avoir un propriétaire identifié et une date de péremption.
Le chiffrement ne sert pas qu'à garder un secret
On réduit souvent le chiffrement à « empêcher quelqu'un de lire ». C'est la moitié de l'histoire. L'autre moitié, c'est tout ce qui repose sur la cryptographie au sens large.
Les signatures numériques, par exemple, ne cachent rien : elles prouvent qu'un document n'a pas été modifié et qu'il vient bien de son signataire annoncé. Les fonctions de hachage (SHA-256, BLAKE3) servent à vérifier l'intégrité d'un fichier téléchargé, à détecter une altération, à indexer des mots de passe sans les stocker en clair. Toute la mécanique derrière une transaction bancaire, un certificat HTTPS, une mise à jour logicielle signée — c'est de la crypto. Quand vous recevez une mise à jour Windows, votre machine vérifie une signature avant de l'installer. Si elle ne correspond pas, l'installation est refusée.
Le chiffrement de données, dans son acception large, c'est le socle sur lequel repose la confiance numérique. Pas une case à cocher sur une checklist RGPD.
Ce qu'il faut retenir quand on n'a pas le temps
La question n'est pas « faut-il chiffrer ? ». Vous êtes déjà obligé de le faire, et le risque de ne pas le faire est chiffrable en euros. La question est « par où je commence, lundi matin ? ».
Trois choses, dans cet ordre. Un : activez le chiffrement de disque sur tous les portables de l'équipe — BitLocker sur Windows Pro, FileVault sur Mac, LUKS sur Linux. Ça prend une heure par machine et ça couvre le scénario de perte ou de vol, qui est de très loin le plus fréquent. Deux : imposez un gestionnaire de mots de passe, et bannissez la réutilisation. Trois : pour les échanges sensibles, 7-Zip en AES-256 avec un canal de transmission séparé fait le job sans rien installer de lourd.
Ce qui me frappe, après toutes ces années à voir des gens chiffrer (ou pas), c'est que le vrai ennemi n'est jamais la technique. C'est le « on verra plus tard ». Le portable perdu dans le TGV, lui, ne vous laisse jamais de seconde chance.
