Chaque fois que vous signez un contrat en ligne ou que le petit cadenas s’affiche dans votre navigateur, la cryptographie travaille pour vous. Vous ne la voyez pas. Elle a pourtant des effets juridiques très concrets : elle sert de preuve, protège des données personnelles et peut même vous dispenser de certaines obligations en cas de fuite.
Cette page explique simplement ce qu’est la cryptographie, à quoi elle sert en droit et quelles règles l’encadrent en France.
La cryptographie, qu’est-ce que c’est ?
La cryptographie est la science qui permet de protéger une information grâce à des procédés mathématiques. Elle poursuit plusieurs objectifs : rendre un message illisible pour qui ne détient pas la clé, prouver qui en est l’auteur et vérifier qu’il n’a pas été modifié.
Le droit français emploie un terme plus large, la « cryptologie ». Il désigne à la fois l’art de chiffrer et celui de casser les chiffrements.
Trois familles de techniques reviennent partout.
| Technique | Principe | Usage courant |
|---|---|---|
| Chiffrement symétrique | Une seule clé sert à chiffrer et à déchiffrer | Chiffrement d’un disque dur, d’une sauvegarde |
| Chiffrement asymétrique | Une clé publique, connue de tous, et une clé privée, gardée secrète | Échanges sur internet, signature électronique |
| Hachage | Calcul d’une empreinte unique d’un fichier, impossible à inverser | Contrôle d’intégrité, stockage des mots de passe |
Le système à deux clés est celui qui a tout changé. Avant lui, deux personnes devaient se transmettre la clé secrète par un canal sûr, ce qui posait un vrai casse-tête.
Le cadre légal : une utilisation libre
En France, l’utilisation des moyens de cryptologie est libre depuis la loi pour la confiance dans l’économie numérique du 21 juin 2004. Cela n’a pas toujours été le cas. Jusqu’à la fin des années 1990, le chiffrement était très encadré, et son histoire mouvementée est racontée dans notre article sur la liberté de crypter.
La fourniture, l’importation et l’exportation de certains outils restent soumises à déclaration ou à autorisation, auprès de l’ANSSI notamment. Et la justice peut exiger la remise d’une clé de déchiffrement dans une enquête pénale.
Signature électronique et preuve : la cryptographie au service du contrat
C’est l’application juridique la plus répandue. Une signature électronique avancée ou qualifiée repose sur le chiffrement asymétrique : le signataire « signe » avec sa clé privée, et n’importe qui peut vérifier la signature avec sa clé publique.
Le lien entre une clé publique et une personne est garanti par un certificat électronique. Ce certificat est délivré par un prestataire de services de confiance. Quand ce prestataire est qualifié au sens du règlement européen eIDAS, la signature produite bénéficie d’une présomption de fiabilité devant le juge. Les différents niveaux sont présentés dans notre page sur la signature électronique.
Le hachage joue aussi un rôle de preuve. Si l’empreinte d’un document calculée aujourd’hui correspond à celle enregistrée lors de sa signature, le document n’a pas été modifié. C’est ce qui permet l’archivage électronique à valeur probante, un point développé dans notre article sur la preuve électronique.
Cryptographie et protection des données personnelles
Le RGPD ne rend pas le chiffrement obligatoire en toutes circonstances. Mais son article 32 le cite expressément parmi les mesures de sécurité que le responsable de traitement doit envisager.
Et il y a un intérêt très pratique. En cas de violation de données à caractère personnel, vous devez en principe prévenir les personnes concernées lorsque le risque est élevé. L’article 34 du RGPD vous en dispense si les données étaient chiffrées et donc incompréhensibles pour un tiers.
Mon conseil : chiffrez les ordinateurs portables et les clés USB de votre entreprise. C’est simple, peu coûteux, et c’est souvent ce qui fait la différence lors d’un vol.
Le défi de demain : la cryptographie post-quantique
Les ordinateurs quantiques, s’ils atteignent une puissance suffisante, pourraient casser une partie des algorithmes asymétriques utilisés aujourd’hui. Le risque n’est pas immédiat (personne ne sait dire quand il deviendra réel). Mais des données volées aujourd’hui pourraient être déchiffrées dans quelques années.
Le NIST américain a publié en 2024 ses premières normes d’algorithmes résistants aux attaques quantiques, et l’ANSSI recommande déjà aux acteurs sensibles de préparer la transition. Pour une entreprise qui conserve des contrats signés pendant des décennies, le sujet mérite d’être suivi.
Ces évolutions s’inscrivent dans un mouvement plus large de régulation du numérique, retracé dans notre page sur les réformes européennes du commerce électronique.
Chiffrement, pseudonymisation, anonymisation : trois notions à ne pas confondre
Dans les politiques de confidentialité, ces trois mots se croisent souvent. Ils n’ont pourtant pas les mêmes effets au regard du RGPD.
| Technique | Ce qu’elle fait | Statut des données |
|---|---|---|
| Chiffrement | Rend les données illisibles sans la clé | Toujours des données personnelles |
| Pseudonymisation | Remplace l’identité par un code, la correspondance étant conservée à part | Toujours des données personnelles |
| Anonymisation | Rend toute réidentification impossible, de façon irréversible | Plus des données personnelles |
Le piège classique consiste à croire qu’un fichier chiffré échappe au RGPD. C’est faux. Celui qui détient la clé peut retrouver les personnes, donc le règlement s’applique toujours. Le chiffrement réduit le risque, il ne change pas la nature des données.
Seule une anonymisation réelle sort les données du champ du RGPD. Et elle est plus difficile qu’il n’y paraît. Supprimer le nom d’un fichier ne suffit pas quand l’âge, la commune et la profession permettent encore de reconnaître quelqu’un.
Peut-on vous obliger à livrer votre code de déchiffrement ?
La question se pose surtout pour les téléphones. Une personne placée en garde à vue refuse de donner le code de son smartphone. A-t-elle le droit ?
Le Code pénal, à son article 434-15-2, punit le refus de remettre aux autorités judiciaires la convention secrète de déchiffrement d’un moyen de cryptologie susceptible d’avoir servi à préparer ou commettre un crime ou un délit. En 2022, l’assemblée plénière de la Cour de cassation a jugé que le code de déverrouillage d’un téléphone peut constituer une telle convention, lorsque l’appareil est équipé d’un moyen de cryptologie.
Concrètement, refuser n’est donc pas sans risque. Mais tout dépend des circonstances : la nature de l’appareil, la forme de la demande, l’autorité qui la formule. Ces éléments sont discutés au cas par cas devant les juges.
À mon sens, c’est typiquement la situation où il faut demander à parler à un avocat avant de répondre. La garde à vue vous donne ce droit, et la question est trop technique pour être tranchée seul face aux enquêteurs.
Questions fréquentes sur la cryptographie
Quelle est la différence entre cryptographie et cryptologie ?
La cryptographie désigne les techniques qui protègent une information. La cryptologie est plus large : elle englobe la cryptographie et la cryptanalyse, c’est-à-dire l’art de casser un chiffrement. Les textes de loi français parlent de « moyens de cryptologie ».
Le chiffrement des données est-il obligatoire avec le RGPD ?
Pas systématiquement. Le RGPD impose des mesures de sécurité adaptées au risque et cite le chiffrement parmi elles. Pour des données sensibles ou des appareils mobiles, la CNIL le considère comme une mesure attendue.
Une signature électronique utilise-t-elle la cryptographie ?
Les signatures électroniques avancées et qualifiées reposent sur la cryptographie à clé publique. Une simple case cochée ou une image de signature collée dans un document n’en utilise pas, ce qui les rend plus faciles à contester.
Les ordinateurs quantiques menacent-ils la cryptographie actuelle ?
Ils pourraient à terme casser certains algorithmes asymétriques. De nouveaux algorithmes dits post-quantiques ont été normalisés et les autorités de sécurité recommandent de préparer la transition dès maintenant.
