En bref
Non, le chiffrement ne suffit pas à lui seul : il protège les données stockées et transférées, pas les données déchiffrées pour être utilisées.
Pour le RGPD, le chiffrement est une mesure de sécurité (article 32) : les données chiffrées restent des données personnelles.
Pour les copies, les exports et les prestataires, il se complète par la pseudonymisation ou l'anonymisation.
Le chiffrement est partout : disques, bases de données, sauvegardes, connexions HTTPS.
C’est une très bonne chose.
Mais une donnée, pour être utilisée, doit être déchiffrée.
Le chiffrement suffit-il alors pour le RGPD ?
La réponse courte : non, pas à lui seul
Le chiffrement protège les données quand personne ne les utilise.
Il ne les protège plus quand quelqu’un les lit, les copie ou les exporte.
Pour le RGPD, c’est une mesure de sécurité indispensable, mais les données chiffrées restent des données personnelles.
Ce que le chiffrement protège
- Les données stockées.
Un disque, une base ou une sauvegarde volés sont illisibles sans la clé. - Les données en transit.
Une connexion chiffrée rend illisible ce qui serait intercepté entre deux serveurs ou entre un utilisateur et une application. - Les conséquences d’un vol de support.
Si la clé n’a pas été compromise, une fuite de données chiffrées expose beaucoup moins les personnes.
Ce que le chiffrement ne protège pas
- Les données déchiffrées pour être utilisées.
Une application, un rapport ou un écran affichent les données en clair. - Les accès légitimes.
Un collaborateur autorisé voit les données en clair, et peut les copier ou les exporter. - Les copies.
Une base de production copiée pour des tests ou une analyse arrive en clair dans un environnement souvent moins protégé. - Les exports.
Un fichier CSV ou Excel généré pour une analyse sort du périmètre chiffré, sans contrôle d’accès ni traçabilité. - Les prestataires.
Pour travailler sur les données, ils doivent pouvoir les lire : ils les reçoivent donc en clair.
Pour les bases de développement, voir comment anonymiser un environnement de test.
Cas concret : une fuite sans piratage
Une entreprise SaaS gère une base clients : noms, e-mails, téléphones, données d’usage.
Les données sont chiffrées au repos et en transit.
Sur le papier, tout est conforme.
L’équipe marketing prépare une campagne, et un collaborateur exporte un fichier de 25 000 contacts.
Le fichier est enregistré sur un poste, partagé dans un outil collaboratif, puis transmis à un prestataire.
Quelques semaines plus tard, il est exposé à la suite d’une mauvaise configuration.
Aucun piratage, aucun logiciel malveillant : seulement un usage normal des données.
Le chiffrement protégeait l’infrastructure, pas l’export.
Ce que dit le RGPD sur le chiffrement
- Une mesure de sécurité de l’article 32.
Le RGPD demande des mesures adaptées au risque, et cite « la pseudonymisation et le chiffrement des données à caractère personnel » parmi les exemples. - Des données toujours personnelles.
Tant qu’une clé permet de les déchiffrer, les données chiffrées restent soumises au RGPD. - Un effet en cas de violation.
L’article 34 dispense d’informer les personnes concernées si les données étaient incompréhensibles pour toute personne non autorisée, par exemple grâce au chiffrement. - D’autres principes à respecter.
La minimisation (article 5.1.c) et la protection des données par défaut (article 25) s’appliquent aussi aux données utilisées, copiées et partagées.
Sur ce dernier point, voir notre guide de la minimisation des données RGPD.
Chiffrement, pseudonymisation, anonymisation : le comparatif
| Chiffrement | Pseudonymisation | Anonymisation | |
|---|---|---|---|
| Ce qui change | La donnée devient illisible sans la clé | L’identité est remplacée par un pseudonyme | Le lien avec la personne est rompu |
| Réversible | Oui, avec la clé | Oui, avec l’information complémentaire | Non |
| Donnée lisible pour l’usage | Seulement une fois déchiffrée | Oui, sans l’identité réelle | Oui, sans identité |
| Statut RGPD | Données personnelles | Données personnelles (considérant 26) | Hors du champ du RGPD si la ré-identification n’est plus raisonnablement possible |
| Protège surtout | Le stockage et le transfert | Les copies et analyses qui suivent une même personne | Les copies, partages et tests |
Les trois ne s’opposent pas : ils se complètent.
Le chiffrement protège les supports, la pseudonymisation et l’anonymisation protègent la donnée elle-même quand elle est utilisée.
Pour choisir entre les deux dernières, voir pseudonymisation ou anonymisation, et pour les techniques, le guide des méthodes d’anonymisation.
Une stratégie complète, en quatre points
- Chiffrer les supports et les flux.
Bases, sauvegardes, disques, connexions. - Limiter les accès en clair.
Chacun ne voit que ce dont il a besoin. - Anonymiser ou pseudonymiser avant de copier.
Tests, analyses, exports et fichiers transmis partent sans les identités réelles. - Garder une trace.
Savoir ce qui a été transmis, à qui, et quel traitement a été appliqué.
Avec NymData
NymData détecte et anonymise les données personnelles de vos documents (PDF, Word, Excel, PowerPoint, CSV, texte) et de vos bases, sur vos serveurs, avant qu’ils ne soient copiés ou partagés :
- Anonymisation ou pseudonymisation.
Selon l’usage, l’identité est remplacée par son type, par un nom fictif ou par un identifiant constant ; dans un PDF, elle est caviardée par des rectangles opaques. - Les originaux intacts.
Le résultat est écrit dans un dossier ou une base séparés. - Un rapport d’audit.
La trace de ce qui a été détecté et traité avant l’envoi.
Questions fréquentes
Le chiffrement est-il obligatoire avec le RGPD ?
Le RGPD n'impose pas une technique précise.
L'article 32 demande des mesures de sécurité adaptées au risque, et cite le chiffrement et la pseudonymisation parmi les exemples.
Des données chiffrées sont-elles encore des données personnelles ?
Oui.
Tant qu'une clé permet de les déchiffrer, elles restent des données personnelles soumises au RGPD.
Quelle différence entre chiffrement et anonymisation ?
Le chiffrement rend la donnée illisible sans la clé, mais elle redevient lisible une fois déchiffrée.
L'anonymisation rompt de façon irréversible le lien avec la personne : la donnée reste lisible et utile, sans identité.
Que se passe-t-il en cas de fuite de données chiffrées ?
La violation doit être documentée et, selon le risque, notifiée à la CNIL.
L'article 34 du RGPD dispense d'informer les personnes concernées si les données étaient incompréhensibles pour toute personne non autorisée, par exemple grâce au chiffrement ; selon le CEPD, cela suppose que la clé n'ait pas été compromise.
Le chiffrement protège-t-il les données confiées à un prestataire ?
Pendant le transfert, oui.
Mais le prestataire doit pouvoir les lire pour travailler : il reçoit donc les données en clair, sauf si elles ont été anonymisées ou pseudonymisées avant l'envoi.