Vous chiffrez sans doute vos échanges tous les jours sans y penser. WhatsApp, Signal, la connexion sécurisée de votre banque, le disque de votre ordinateur portable : tout cela repose sur la cryptologie. Il y a trente ans pourtant, la France comptait parmi les pays les plus restrictifs au monde sur ce sujet.
Avez-vous le droit de crypter vos données ? Oui. Mais cette liberté a des limites, surtout quand vous fabriquez, vendez ou exportez un outil de chiffrement, ou quand la justice vous réclame vos clés.
Une précision de vocabulaire avant d’aller plus loin. Les spécialistes disent « chiffrer » plutôt que « crypter ». Le second mot s’est imposé dans le langage courant (et dans le titre de cette page), alors que les textes de loi parlent de « moyens de cryptologie ».
D’une interdiction quasi totale à la liberté d’utilisation
Jusqu’aux années 1990, le chiffrement relevait en France de la réglementation des matériels de guerre. Un particulier ou une entreprise ne pouvait pas, en pratique, protéger le contenu de ses communications sans l’accord de l’État.
La loi du 29 décembre 1990 sur la réglementation des télécommunications a ouvert une première brèche. Un procédé servant seulement à authentifier un message ou à vérifier son intégrité passait sous un régime de déclaration. Chiffrer le contenu lui-même restait soumis à autorisation préalable.
En 1996, le législateur a imaginé un autre système. Vous pouviez chiffrer librement, à condition de confier vos clés à un « tiers de confiance » agréé par l’État. Critiqué dès son adoption, ce mécanisme n’a jamais vraiment pris.
Le tournant date de 1999.
Le gouvernement a relevé à 128 bits la longueur de clé en dessous de laquelle l’usage du chiffrement devenait libre, ce qui couvrait la quasi-totalité des besoins de l’époque. Cinq ans plus tard, la loi pour la confiance dans l’économie numérique (LCEN) du 21 juin 2004 a posé à son article 30 le principe actuel : l’utilisation des moyens de cryptologie est libre. Plus de seuil, plus de dépôt de clés.
| Période | Texte | Situation de l’utilisateur |
|---|---|---|
| Avant 1990 | Réglementation des matériels de guerre | Chiffrement réservé, de fait, à l’État et à l’armée |
| 1990 | Loi du 29 décembre 1990 | Déclaration pour l’authentification, autorisation pour chiffrer le contenu |
| 1996 | Loi du 26 juillet 1996 | Chiffrement possible avec dépôt des clés chez un tiers de confiance |
| 1999 | Décrets de mars 1999 | Usage libre jusqu’à 128 bits |
| Depuis 2004 | LCEN, article 30 | Utilisation libre, quelle que soit la longueur de clé |
Ce que vous pouvez faire librement aujourd’hui
Particulier, salarié ou entreprise, vous pouvez utiliser n’importe quel outil de chiffrement. Messagerie chiffrée de bout en bout, VPN, gestionnaire de mots de passe, chiffrement du disque dur, PGP pour vos e-mails : aucune déclaration n’est à faire.
Ce droit rejoint la protection du secret des correspondances. Le chiffrement reste le moyen le plus simple de garder vos échanges à l’abri des regards, et notre page sur la protection de la vie privée détaille les recours possibles si quelqu’un y porte atteinte.
Côté entreprise, le chiffrement est même attendu. Le RGPD le cite expressément, à son article 32, parmi les mesures de sécurité adaptées au risque. Si vous traitez des données à caractère personnel, chiffrer un ordinateur portable ou une sauvegarde peut vous éviter bien des ennuis en cas de vol ou de fuite.
Mon conseil : ne voyez pas le chiffrement comme une contrainte technique. Lors d’un contrôle de la CNIL, c’est souvent la première chose qu’on vous demandera.
Les limites : fournir, importer, exporter
La liberté posée par la LCEN vise l’utilisation. La fourniture, l’importation et l’exportation obéissent à d’autres règles.
Quand un outil sert seulement à authentifier ou à contrôler l’intégrité d’un document (c’est le cas d’une signature électronique), sa fourniture est libre. Dès qu’il permet de chiffrer le contenu, le fabricant ou l’éditeur peut devoir déposer une déclaration auprès de l’ANSSI, l’Agence nationale de la sécurité des systèmes d’information. Un décret du 2 mai 2007 dispense de cette formalité de nombreux produits courants.
L’exportation hors de l’Union européenne relève du droit européen. Le règlement (UE) 2021/821 range certains produits de chiffrement parmi les biens à double usage, civils et militaires. Leur sortie du territoire de l’Union peut alors exiger une licence.
Vous développez une application qui chiffre des données ? Faites le point sur ces obligations avant la mise sur le marché. C’est l’un des cas où un échange avec un avocat en droit du numérique se justifie vite.
Chiffrement et enquête pénale : peut-on refuser de donner sa clé ?
Chiffrer ne met pas à l’abri d’une enquête. Le Code de procédure pénale permet au procureur ou au juge de faire appel à une personne qualifiée pour mettre au clair des données chiffrées (article 230-1).
Et vous pouvez être tenu de coopérer. L’article 434-15-2 du Code pénal punit le refus de remettre aux autorités judiciaires la convention secrète de déchiffrement d’un moyen de cryptologie susceptible d’avoir servi à préparer ou commettre un crime ou un délit, quand on la connaît. La sanction comprend une peine de prison et une lourde amende.
Réunie en assemblée plénière le 7 novembre 2022, la Cour de cassation a jugé que le code de déverrouillage d’un téléphone portable peut constituer une telle convention lorsque l’appareil est équipé d’un moyen de cryptologie. La plupart des smartphones récents le sont.
L’usage d’un outil de chiffrement pour commettre une infraction aggrave aussi la sanction. L’article 132-79 du Code pénal relève dans ce cas le maximum de la peine de prison encourue.
Un débat qui revient sans cesse
Régulièrement, des responsables politiques en France comme ailleurs en Europe proposent d’obliger les messageries à ouvrir un accès aux contenus chiffrés, au nom de la lutte contre le terrorisme ou la pédocriminalité. Les spécialistes de la sécurité répondent toujours la même chose. Une porte dérobée prévue pour la police peut aussi être trouvée par des pirates.
À mon sens, la question posée dans les années 1990 n’a pas bougé. Comment laisser les enquêteurs travailler sans affaiblir la sécurité de tous ? Le droit actuel a choisi de viser la personne (l’obligation de remettre la clé) plutôt que la technique.
Pour l’aspect technique, notre page consacrée à la cryptographie et ses usages juridiques explique le fonctionnement des clés et leur rôle dans la preuve électronique.
Et pour replacer ces règles dans un cadre plus large, consultez notre présentation du droit des technologies de l’information.
Questions fréquentes sur la liberté de crypter
Est-il légal d’utiliser un VPN ou une messagerie chiffrée en France ?
Oui. Depuis la LCEN de 2004, l’utilisation des moyens de cryptologie est libre en France. Vous n’avez aucune démarche à faire pour installer un VPN, Signal ou un logiciel de chiffrement de disque. Seul l’usage du chiffrement pour commettre une infraction est sanctionné.
Crypter et chiffrer, est-ce la même chose ?
Dans le langage courant, oui. Les cryptographes préfèrent « chiffrer » et réservent « décrypter » au fait de retrouver un message sans connaître la clé. Les textes juridiques parlent, eux, de « moyens de cryptologie ».
La police peut-elle m’obliger à donner le code de mon téléphone ?
Refuser de remettre la convention secrète de déchiffrement d’un appareil susceptible d’avoir servi à une infraction est un délit. La Cour de cassation a admis en 2022 que le code de déverrouillage d’un smartphone peut entrer dans cette catégorie. Si vous êtes dans cette situation, demandez l’assistance d’un avocat.
Faut-il une autorisation pour vendre un logiciel de chiffrement ?
Pas toujours. La fourniture d’un outil qui sert seulement à authentifier est libre. Pour un outil qui chiffre le contenu, une déclaration auprès de l’ANSSI peut être exigée, et l’exportation hors de l’Union européenne peut nécessiter une licence.
