Activité : Collecte et traitement des données¶

🚀 Collecte et traitement des données¶

#DonnéesPersonnelles #DonnéesSensibles #Confidentialité #DonnéesCritique #RGPD #Recoupement #Pseudonymisation #Anonymisation #Intégrité #Chiffrement #Collecte #NIS2

Objectifs

Explorer la diversité des données récoltées en fonction du contexte d’utilisation.
Questionner la pertinence de l’utilisation des données en lien avec les finalités.
Savoir caractériser les données transmises (non personnelles, personnelles, personnelles à caractère particulier ?).
Connaître les enjeux du stockage dans la protection des données.
Identifier les difficultés relatives au respect de la confidentialité.
Explorer les méthodes de protection des données (pseudonymisation, anonymisation et chiffrement).

Introduction : un océan de données !¶

Chaque jour, des milliards de données numériques sont générées, transformant notre monde en un océan d’informations : messages, transactions, localisations, images ou encore habitudes de consommation… Derrière cette abondance se cachent des défis majeurs : la collecte et le stockage de ces informations. Exploitées à l’insu des utilisateurs ou simplement mal protégées, elles exposent les personnes à des risques de surveillance, de discrimination ou de cybercriminalité. (voir Partie 2 : Données > Vidéo d'expert : Gaston GAUTRENEAU)

→ En collectant des informations pour ma toute petite association, je suis concerné ? ¶

Lorsque nous utilisons un service numérique, ou même lorsque nous remplissons un questionnaire ou un bulletin d'adhésion sur papier, nous communiquons un grand nombre d'informations personnelles. Ces informations peuvent en dire long sur nous-mêmes.

Posons-nous quelques questions : * Les informations collectées sont-elles toutes nécessaires ? * Comment sont-elles utilisées ? Par qui ? * Où sont-elles conservées ? Avec quel niveau de protection ?

Dans ce déroulé, nous vous proposons de réaliser une collecte de données en vous mettant en situation de créer et diffuser un formulaire. Nous verrons ensuite que les données collectées sont plus ou moins "sensibles" et nécessitent des mesures de protection adaptées. Enfin, nous aborderons quelques méthodes pour assurer la protection des données.

Plan de l'activité

Nous vous proposons une activité en 2 temps :

❶ Identifier les informations à collecter (de 20' à 35')
Activité interactive "Questionnons nos questionnaires" : créez un formulaire dans un cadre associatif avant de le soumettre à vos adhérents.

❷ Connaître le niveau de protection adapté à chaque type de données (de 20' à 35')
Activité interactive "Types de données et vocabulaire légal" : identifiez les différents types de données pour connaître le niveau de sécurisation exigé par la loi.

❸ Quelques repères sur les méthodes de sécurisation des données (de 20' à 35')
Connaître et expérimenter quelques techniques de sécurisation des données pour assurer leur exploitation et garantir le respect de la vie privée.

❶ Identifier les informations à collecter¶

Et si vous étiez en situation d’organiser un évènement pour lequel vous devez impérativement collecter des informations ?

Aujourd’hui, de nombreux services en ligne permettent de créer et de diffuser facilement des formulaires. Mais derrière cette simplicité apparente se cachent de nombreuses questions qui révèlent des mécanismes et des enjeux bien plus complexes. Réalisez votre propre formulaire et identifiez les enjeux de la collecte des données et les règles qui encadrent cette pratique.

Pour une expérience optimale, activez le plein écran et cliquez sur les zones interactives.
Évitez d'utiliser la barre inférieure de navigation qui permet de contourner le scénario pédagogique.

🚀 Ouvrir l'activité en plein écran !

Conseils pour l'animation

L'exercice est proposé sous la forme d'une activité multimédia en autonomie mais plusieurs variantes peuvent être imaginées :

N'hésitez pas à vous tromper ! L'apprentissage par l'erreur est une méthode efficace ! À condition de prendre le temps de se corriger.
Il est recommandé de faire les 3 parties de cette activité dans l'ordre. Mais vous pouvez choisir de n’en faire qu'une seule car elles sont indépendantes.
En groupe, pour la première partie : laissez fuser les idées ! Utilisez des post-it pour pouvoir les regrouper par thème, puis demandez "Pouvez-vous justifier cette demande dans notre contexte ?".
Autres contextes ? Autres cadres ?

À vous d'en imaginer d'autres !

→ On fait un bilan de cette activité ?¶

Ayant finalisé notre formulaire, nous savons maintenant identifier les données à collecter au sens de leur qualité et de leur finalité. (Voir Partie 2 : Données > Fiche Concept 2.1.1) La collecte et le traitement de données personnelles et a fortiori celles à caractère particulier (dites données sensibles) sont strictement encadrés par le Règlement général sur la protection des données (RGPD, 2016, art. 5 ¹). Ce règlement est applicable dans toute l’Union européenne depuis 2018 et est renforcé, en France, par la loi Informatique et Libertés² (voir Partie 1 : Enjeux > Fiche Concept 1.2.3). Ainsi, les mêmes principes s’appliquent à toutes les structures, qu’elles soient publiques ou privées, petites ou grandes, y compris lorsqu’elles sont situées hors de l'UE, dès lors qu’elles collectent, traitent ou stockent des données de personnes se trouvant sur le territoire de l’Union.
→ Que l'on soit une grande entreprise, une association locale, une mairie, France Travail, une PME ou encore une plateforme numérique… les règles sont les mêmes pour tous !

Lorsque l’on conçoit et diffuse un formulaire, nous devenons responsables du traitement des données personnelles que nous collectons, utilisons, stockons et, le cas échéant, supprimons. on endosse la responsabilité de la collecte, du traitement et du stockage des données. Bien souvent, par habitude, par souci d’exhaustivité ou parce que cela pourrait toujours servir plus tard, on a tendance à demander bien plus d'informations que nécessaire, sans forcément penser à mal. Mais cela va à l’encontre du principe de minimisation des données, un fondement du RGPD, qui impose de ne collecter que les données adéquates, pertinentes et strictement nécessaires à la finalité annoncée.

Alors, avant de collecter des données personnelles, nous devrions toujours nous interroger sur nos besoins réels et nous référer aux garde-fous instaurés par la loi.

Cette information est-elle vraiment utile pour atteindre l'objectif visé ?
N'est-elle pas déjà disponible ou enregistrée ailleurs ?
Suis-je en mesure de garantir la confidentialité et la sécurité des données collectées ?
Ma démarche est-elle conforme à la loi et respecte-t-elle le cadre juridique en vigueur ?

Résumé

En bref… et sans nuances :

Il est interdit (en Europe et en France) de collecter des données qui ne sont pas strictement utiles et nécessaires à l'objectif poursuivi – principe de minimisation des données.
Chaque donnée collectée doit répondre à une finalité précise, explicite et légitime, portée à la connaissance des personnes concernées (par exemple dans une notice d'information ou une politique de confidentialité) – principe de finalité des données.
Les données personnelles doivent être exactes et, si nécessaire, tenues à jour - qualité et intégrité des données.
Toute personne ou organisation qui collecte des données personnelles doit être en mesure d'en garantir la sécurité et la confidentialité. Elle est responsable du respect du RGPD et peut, dans certains cas, désigner un délégué à la protection des données (DPO) comme interlocuteur privilégié de la CNIL.
Certaines catégories de données, dites sensibles (1) bénéficient d'une protection renforcée et leur traitement est strictement encadré par le RGPD et la loi - catégories particulières de données.
1. 🔎 Définition : Catégorie particulière de données personnelles dont le traitement est particulièrement encadré par le RGPD en raison de leur caractère sensible. Elles concernent notamment la prétendue origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, ainsi que les données génétiques, les données biométriques utilisées pour identifier une personne de manière unique, les données de santé et les informations relatives à la vie sexuelle ou à l'orientation sexuelle d'une personne physique.

Regardons maintenant de plus près ces différents types de données qui nécessitent d'appliquer différents niveaux de protection.

❷ Connaître le niveau de protection adapté à chaque type de données¶

Quand on parle de données, on a tendance à les classer en différentes catégories : données personnelles, données non personnelles, données sensibles, données critiques, données confidentielles…

Mais savons-nous réellement ce que recouvrent ces catégories, notamment d'un point de vue juridique ? Mieux vaut le savoir quand on manipule des données car selon leur type, le niveau de protection diffère.

Dans cette nouvelle activité, nous apprendrons à distinguer les différents types de données. Nous verrons ensuite comment apprécier le niveau de protection qu'elles requièrent afin d'adopter les bonnes pratiques et de respecter le cadre légal.

Pour une expérience optimale, activez le plein écran et cliquez sur les zones interactives.
Évitez d'utiliser la barre inférieure de navigation qui permet de contourner le scénario pédagogique.

🚀 Ouvrir l'activité en plein écran !

Conseils pour l'animation

L'exercice est proposé sous la forme d'une activité multimédia en autonomie mais plusieurs variantes peuvent être imaginées :

N'ayez pas peur de vous tromper ! L'apprentissage par l'erreur est une méthode efficace ! À condition de prendre le temps de se corriger.
Il est recommandé de faire les 3 parties de cette activité dans l'ordre. Mais vous pouvez choisir de n’en faire qu'une seule car elles sont indépendantes.
En groupe : trouver d'autres structures qui pourraient être des OSE - OIV, et d'autres types de données : sensibles ? critiques ? Justifiez.

À vous d'en imaginer d'autres !

→ On fait un bilan de cette activité ?¶

En France, la protection des données personnelles est encadrée par le RGPD et par la loi Informatique et Libertés, qui en précise et complète certaines dispositions. La CNIL, autorité de contrôle indépendante, veille au respect de cette réglementation.

Toutefois, la nécessité de protéger les données ne se limite pas aux seules données personnelles. D’autres informations, qu’elles soient techniques, économiques ou stratégiques, doivent également être protégées en raison de leur importance pour la Nation, les organisations ou la continuité de leurs activités.

De manière générale, toute donnée ou information détenue par une personne ou une organisation possède une valeur. Sa protection est donc essentielle pour garantir sa disponibilité, son intégrité et, lorsque cela est nécessaire, sa confidentialité. Elle permet également de prévenir les risques liés aux cybermenaces, tels que le vol, l'altération, la divulgation ou la perte de données.

Résumé

Toutes les données doivent être protégées afin de garantir leur intégrité et d'éviter toute altération non autorisée.
Au regard de la loi, les données personnelles doivent faire l’objet d’une protection spécifique. Cette protection est renforcée pour les données personnelles à caractère particulier (dites données sensibles par la CNIL).
Les OIV (Opérateurs d'Importance Vitale) et les OSE (Opérateurs de Services Essentiels) manipulent également des données techniques, industrielles ou stratégiques dont la compromission pourrait affecter la sécurité nationale ou la continuité des services essentiels. Leur protection relève notamment de la directive européenne NIS 2.
Les informations couvertes par le secret des affaires, le secret industriel ou la propriété intellectuelle bénéficient également de protections juridiques spécifiques destinées à préserver les intérêts économiques et stratégiques des organisations (Code du commerce, NIS, Code de la défense, Droit de la concurrence, Code de la propriété intellectuelle).

❸ Quelques repères sur les méthodes de sécurisation des données¶

Pour pouvoir exploiter les données personnelles tout en assurant le respect de la vie privée, il faut pouvoir réduire les risques d’identification. Pour cela, deux méthodes sont fréquemment utilisées : la pseudonymisation et l’anonymisation (voir Partie 2 : Données > Fiche Concept 2.2.2).

→ C'est quoi la pseudonymisation ?¶

La pseudonymisation, consiste à traiter des données personnelles de façon à ne plus pouvoir les attribuer à une personne physique sans avoir recours à des informations supplémentaires. Concrètement, il s’agit de remplacer les données directement identifiantes (nom, email, etc.) par des données indirectement identifiantes (alias, numéro dans un classement, etc.). On stocke des données à deux endroits différents grâce à un identifiant chiffré, un code et une table de correspondance afin de masquer l’identité d’une personne, tout en gardant la possibilité de la réidentifier, selon les besoins. Les données pseudonymisées restent des données personnelles, car il existe toujours un moyen de réidentification.

Selon l'article 32 du RGPD, le responsable du traitement doit mettre en œuvre "les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque"¹.

→ C'est fiable la protection des données personnelles par pseudonymisation ?¶

Pour mieux comprendre cette technique mettons-nous en situation.

Tout d'abord, voici le contexte :
Je suis présidente d’une petite association sportive. À ce titre, je suis responsable du traitement des données personnelles et des autres informations confidentielles nécessaires au fonctionnement de l'association. Ces informations sont fournies par les adhérents pour assurer la gestion de l'association (coordonnées, informations administratives, données comptables, organisation des activités, etc.).

Situation

Pour protéger la vie privée des adhérents de l’association et être en conformité avec le RGPD, je fais le choix de la pseudonymisation. Je dois donc séparer la liste des adhérents et leurs informations personnelles, des informations nécessaires à l'organisation de l’association, créant ainsi deux listes distinctes.

Question

Parmi les propositions suivantes, lesquelles respectent réellement la pseudonymisation ?

Réponses possibles :

Réponse 1 : J’enregistre les deux listes sur mon disque dur, dans 2 dossiers différents.
Réponse 2 : J’enregistre les deux listes sur le serveur de l'association à partir de deux ordinateurs différents.
Réponse 3 : J’enregistre une liste sur le cloud de l'association, protégé par un mot de passe, et l'autre liste sur le disque dur de l’ordinateur du secrétariat.
Réponse 4 :J’enregistre une liste sur mon Google drive, la seconde liste sur le disque dur de mon ordinateur, dans mon bureau fermé à clé.
Réponse 5 : J'enregistre une liste, protégée par un mot de passe, sur un ordinateur et l'autre liste, protégée par un autre mot de passe, sur un ordinateur différent.

Cliquez pour afficher la solution

Réponses : 3 et 5

Correction : La création de deux listes répond à l’objectif de séparer les informations identifiantes des adhérents (noms, prénoms, adresses électroniques, etc.) des informations nécessaires à la gestion de l’association (cotisations, cours suivis, créneaux, présences…). Pour éviter toute réidentification des personnes, il est impératif de séparer la liste 1 (données directement identifiantes + clé de correspondance) de la liste 2 (données non identifiantes ou pseudonymisées). La liste 1 doit être conservée séparément et bénéficier de mesures de protection renforcées. La liste 2, pseudonymisée, peut ensuite être utilisée UNIQUEMENT par les personnes qui en ont besoin, sans permettre d'identifier directement les adhérents. Selon l’article 4, paragraphe 5, du RGPD, la pseudonymisation implique que les informations permettant la réidentification soient conservées séparément. Cette séparation s’inscrit dans le principe de protection des données dès la conception (privacy by design), prévu à l’article 25 du RGPD. Elle constitue une mesure technique destinée à réduire les risques en cas d’accès non autorisé¹.

Creusons davantage ce système de protection en imaginant une nouvelle situation.

Situation	La secrétaire reçoit ce message par email : "Ma sœur et moi-même étant grippées, nous ne pourrons pas assister au cours de yoga de demain. Merci de nous en excuser auprès de Mme Guinesse."
Question	Les informations reçues par email sont-elles nécessaires et permettent-elles d'identifier les deux sœurs ?

Cliquez pour afficher la solution

Réponses : Pas sans avoir accès aux deux listes. Encore que… De quelle adresse email provient ce message ?
En pratique, il y a de fortes chances que Mme Guinesse sache qui sont les deux sœurs absentes à son cours de demain.

Correction : La pseudonymisation n’a pas pour objectif d’empêcher une personne de reconnaître quelqu’un qu’elle connaît déjà. Elle vise à limiter la diffusion inutile de données personnelles et à empêcher qu’un tiers non autorisé puisse identifier les personnes concernées. La secrétaire fait-elle partie des personnes autorisées à accéder à ces informations ? Probablement. Mais s'il est important de se poser la question "Où stocker ces informations ?", il est tout aussi essentiel de se demander "Qui a accès à ces informations ?"

Conseils pour l'animation

Voici quelques variantes pour aller encore plus loin sur le sujet de la pseudonymisation :

Que faudrait-il faire figurer dans les deux listes pour permettre à un enseignant de cette association de faire l'appel en début de cours ? Est-il possible, dans ce cas, de respecter les exigences de la pseudonymisation prévues par le RGPD ? Si oui, comment ?
Créez deux listes pseudonymisées de cinq personnes comportant chacune dix informations. Glissez, dans une seule des deux listes, un ou plusieurs éléments permettant d'identifier une SEULE personne parmi les cinq.

Sujets de débat : * Produisez-vous chaque jour des documents temporaires (listes, notes, impressions, captures d'écran, etc.) ? En cas de perte ou de divulgation, permettent-ils de vous identifier ? Permettent-ils d'identifier une autre personne ? * Laissez-vous votre session Gmail ouverte lorsque vous utilisez un poste de travail partagé ou temporaire ?

À vous d'en imaginer d'autres !

→ On fait un bilan de cette activité ?¶

On voit bien que la pseudonymisation n'est pas une cloison étanche, mais un compromis entre la protection des données et leur utilisation. Le RGPD n'interdit pas que certaines données identifiantes soient accessibles lorsqu'elles sont nécessaires et que leur traitement est justifié. En revanche, ces données personnelles doivent être protégées par des mesures de sécurité appropriées. Les données pseudonymisées restant susceptibles d'être réidentifiées, notamment par recoupement avec d'autres informations, leur protection doit être mise en œuvre avec une grande rigueur, en particulier dans les petites structures.

Résumé

La pseudonymisation ne consiste pas seulement à séparer les données dans différents fichiers : elle implique également d'organiser les usages, les droits d'accès et les responsabilités autour des données personnelles.
Sa mise en œuvre doit tenir compte des besoins opérationnels, notamment des données de contact, qui entrent souvent en tension avec la séparation des différentes bases d'informations.
La pseudonymisation réduit le risque d'identification, mais ne le supprime pas, en particulier dans les structures de petite taille. La sécurité des données pseudonymisées repose alors autant sur les mesures techniques et organisationnelles que sur la rigueur des pratiques professionnelles.

Parlons maintenant d'une autre méthode de protection des données personnelles : l'anonymisation.

→ C'est quoi l’anonymisation ?¶

L’anonymisation consiste à transformer des données personnelles de manière irréversible afin qu’il ne soit plus possible d’identifier une personne, même en les recoupant avec d’autres sources d’information raisonnablement accessibles. Lorsqu'elle est réellement atteinte, les données anonymisées ne sont plus considérées comme des données personnelles et sortent du champ d'application du RGPD.

Situation	Je dois présenter le bilan annuel d’activité de l’association sportive à mes adhérents et à la mairie qui la subventionne. Le bilan sera également disponible sur le site web de l’association. Pour préserver la vie privée des adhérents et en conformité avec la protection des données exigée par le RGPD, j'utilise uniquement des données anonymisées.
Question	Dans la liste suivante, quelles informations dois-je rendre plus générales et lesquelles dois-je supprimer pour ne conserver que celles qui sont utiles à mon bilan ?
Données :	Donnée 1 : Nom Donnée 2 : Prénom Donnée 3 : Âge Donnée 4 : Discipline pratiquée Donnée 5 : Créneaux horaire Donnée 6 : Adresse postale Donnée 7 : Email Donnée 8 : Numéro de téléphone Donnée 9 : Nom de l'enseignant

Cliquez pour afficher la solution

Réponses : * Données à modifier : 3, 5 et 6
* Données à supprimer : 1, 2, 7 et 8, 9

Correction : Anonymiser, c'est transformer les données de manière à ne plus pouvoir reconnaître les personnes concernées, tout en conservant les informations utiles à l'analyse : la tranche d'âge la plus représentée, le jour de la plus forte fréquentation, le nombre de personnes de la commune pouvant bénéficier d'une réduction, etc. Voici donc une manière de modifier les données pour favoriser l'anonymisation :

Donnée 3 : Âge => Tranche d'âge
Donnée 5 : Créneaux horaire => Jours de la semaine,
Donnée 6 : Adresse postale => Dans la commune / Hors de la commune

Situation

Après avoir appliqué des modifications pour anonymiser les données, un tableau bilan pour le cours de yoga est réalisé.

Tableau bilan

Discipline pratiquée	Tranche d'âge	Jour de la semaine	Appartient à la commune
Yoga	45 - 50	mercredi	X
Yoga	45 - 50	mercredi	X
Yoga	30 - 35	vendredi	X
Yoga	45 - 50	mercredi	X
Yoga	50 - 55	mercredi	X
Yoga	45 - 50	vendredi	X
Yoga	55 - 60	vendredi	X
Yoga	50 - 55	vendredi	X
Yoga	50 - 55	vendredi	X
Yoga	30 - 35	mercredi	X
Yoga	50 - 55	vendredi	X
Yoga	80 - 85	mardi	-

Question

Est-il encore possible d’identifier précisément un adhérent ?

Cliquez pour afficher la solution

Réponses : Vous êtes bien sûr ? Malgré tout vos efforts, il se pourrait bien que certaine(s) personne(s) soi(ent) encore identifiable(s) ! Êtes-vous sûr que personne ne connaît la momie de l'association, qui suit un cours particulier de yoga le mardi et qui n'habite même pas la commune ?

Correction : L'anonymisation est particulièrement adaptée aux rapports, bilans et statistiques. Elle permet de protéger les individus tout en conservant l'utilité des données. En revanche, elle est souvent moins efficace lorsque le jeu de données est de petite taille, car le risque de réidentification augmente. L'anonymisation est notamment utilisée dans la recherche, en particulier la recherche médicale, sur de grands volumes de données, y compris des données sensibles.

Conseils pour l'animation

Voici quelques pistes pour ** approfondir la question de la protection des données**. Rendez-vous sur l'article "Technique d'anonymisation" proposé par Benjamin Nguyen³ et réalisez votre propre bilan en vous appuyant sur les trois techniques qui y sont présentées (les plus couramment utilisées en recherche statistique).

Sujets de débat : Faut-il renoncer à publier les résultats statistiques de la recherche médicale en raison des risques potentiels pour les participants ? Quels risques graves peuvent-ils encourir ?

À vous d'en imaginer d'autres !

→ On fait un bilan de cette activité ?¶

L'anonymisation, qui peut sembler plus protectrice que la pseudonymisation, est loin d'être infaillible. Voici ce que l'on peut lire dans un article publié dans la revue Nature Communications en 2019 :

"Nous proposons ici une méthode basée sur les copules génératives, capable d'estimer avec précision la probabilité qu'une personne soit correctement réidentifiée, même dans un ensemble de données fortement incomplet. [...] Grâce à notre modèle, nous constatons que 99,98% des Américains seraient correctement réidentifiés dans n'importe quel ensemble de données utilisant 15 attributs démographiques. Nos résultats suggèrent que même des ensembles de données anonymisées avec un échantillonnage important sont peu susceptibles de satisfaire aux normes modernes d'anonymisation définies par le RGPD⁴."

Cette étude illustre qu'une anonymisation insuffisante peut laisser subsister un risque de réidentification. Or, si une personne peut être réidentifiée par des moyens raisonnablement susceptibles d'être mis en œuvre, les données ne sont pas considérées comme anonymisées au sens du RGPD. Elles restent alors des données personnelles soumises à cette réglementation.

Résumé

Données personnelles → Identité directement connue → Soumises au RGPD
Pseudonymisation → Identité masquée → Peut être réidentifiée avec des infos complémentaires → Soumise au RGPD	Anonymisation → Identité théoriquement impossible à retrouver → Données non personnelles → Hors du champ d'application du RGPD

→ Alors, il n'existe aucune méthode réellement efficace pour protéger les données ?¶

En 2025, le chiffrement est l'une des méthodes les plus efficaces pour protéger la confidentialité des données. Lorsqu'il est correctement mis en œuvre et associé à d'autres mesures de sécurité, il constitue l'un des principaux moyens de protéger les données personnelles.

→ C'est quoi le chiffrement ?¶

Le principe du chiffrement consiste à rendre une information incompréhensible pour toute personne non autorisée à y accéder, en la transformant à l'aide d'un algorithme et d'une ou plusieurs clés cryptographiques. Seules les personnes disposant de la clé appropriée peuvent retrouver l'information d'origine.

Le domaine qui étudie le chiffrement est la cryptologie⁵, littéralement "la science du secret". Elle regroupe la cryptographie ("l’écriture secrète"), qui conçoit les méthodes de protection des informations, et la cryptanalyse, qui cherche à les casser ou à les contourner sans disposer des clés. (Voir Partie 2 : Données > Fiche Concept 2.2.3)

Pour mieux comprendre ces principes, voici une sélection de défis à relever :

Challenge 1 : Chiffrement - Le chiffre de César ou Code César (~5 min)¶

Ce système de chiffrement par substitution, vieux de plus de 2.000 ans, repose sur un principe très simple : chaque lettre est remplacée par une autre située un certain nombre de positions plus loin dans l'alphabet. Ce décalage, appelé clé de chiffrement, est fixe et peut varier de 1 à 25. Ainsi, avec un décalage de 3 positions, A devient D, B devient E, C devient F, etc.

Choisissez une phrase simple, ou un court message.
Chiffrez-le à l'aide du chiffre de César (décalage de trois lettres).
Testez : transmettez ce message à une autre personne sans lui indiquer la clé de chiffrement. Parvient-elle à retrouver le message d'origine ? Était-ce facile ?

Challenge 2 : Déchiffrement - Le chiffre de César ou Code César (~5 min)¶

Un peu plus difficile maintenant ! Voici un message chiffré :
"Xnwrk, rkqo wrav pnkqra hw yha za zaydebbnaiajp !"

Indice : le E du message original est devenu A.
Déduisez la clé de déchiffrement : quel décalage faut-il appliquer aux lettres de l'alphabet (26 lettres, de A à Z) ?
Appliquez ensuite ce même décalage à l'ensemble du message pour retrouver le texte d'origine.

Cliquez pour afficher la solution

Réponse : Bravo, vous avez trouvé la clé de déchiffrement ! Il fallait appliquer un décalage de −4 (ou, de manière équivalente, +22).

D’autres défis ou énigmes sont disponibles ici :¶

Au fil des maths : deux enseignants passionnés proposent de résoudre quelques énigmes réalisables sans ordinateur. Ils proposent aussi quelques pistes pour les mettre en œuvre avec des élèves ou pour vous aider à les résoudre⁶ ! Chacune des énigmes, pour les débutants, permet de faire découvrir un concept important du domaine de la cryptographie : Des énigmes pour s'initier à la cryptographie

Conseils pour l'animation

Les approches ludiques et concrètes permettent de mieux appréhender les principes de base de la cryptologie.

Les activités de chiffrement peuvent être organisées comme un véritable atelier de groupe. Proposez aux participants de se mettre dans la peau d'espions dont les communications doivent rester secrètes et donc demeurer incompréhensibles en cas d'interception.

Plusieurs étapes progressives peuvent être mises en place :

Écrire un message secret en utilisant un chiffrement inspiré du chiffre de César (décalage alphabétique simple) ou un code qu'ils auront eux-mêmes imaginé.
Transmettre le message à un autre groupe sans révéler la clé de chiffrement. Celui-ci doit tenter de le déchiffrer sans connaître la règle utilisée.
Complexifier ensuite l'exercice en introduisant un double chiffrement (par exemple deux décalages successifs ou une substitution suivie d'une inversion).

Pour les plus experts, le site Root Me propose des défis avancés pour vous faire découvrir la cryptanalyse⁷. Une version en français est disponible. Créez votre compte et entraînez-vous au hacking ! C’est ici : Challenges Cryptanalyse

→ On fait un bilan de cette activité ?¶

Face aux enjeux de la cybersécurité, il est nécessaire de disposer d'outils, de méthodes et de garanties permettant de protéger les informations. À l'heure actuelle, le chiffrement est l'un des moyens les plus efficaces pour assurer un niveau élevé de confidentialité. Il peut d'ailleurs être combiné à d'autres mesures afin de renforcer encore la sécurité des données.

Il faut toutefois garder à l'esprit qu'aucun chiffrement n'est infaillible. L'histoire montre que toutes les méthodes de chiffrement finissent, tôt ou tard, par être affaiblies ou contournées, sous l'effet des progrès des capacités de calcul, des avancées en cryptanalyse ou de la découverte de nouvelles vulnérabilités.

Résumé

Le chiffrement consiste à rendre une information illisible pour toute personne qui n'est pas autorisée à y accéder.
Son objectif est de garantir la confidentialité des données.
Le chiffrement repose sur l'utilisation d'une ou plusieurs clés cryptographiques, sans lesquelles il est impossible (ou extrêmement difficile) de retrouver l'information d'origine.
Le chiffrement ne suffit pas, à lui seul, à protéger les données. Il doit être associé à d'autres mesures techniques, organisationnelles et à de bonnes pratiques de cybersécurité.
En 2025, le chiffrement demeure l'un des moyens les plus efficaces pour protéger les données que l'on souhaite garder confidentielles.

Conclusion : vers une collecte responsable et une protection renforcée¶

Faut-il renoncer à la collecte des données ? Non. Elles sont indispensables à l'innovation, à la recherche, au bon fonctionnement des services publics et privés, ainsi qu'à de nombreux usages du quotidien. En revanche, leur collecte doit être transparente, justifiée et s'inscrire dans un cadre légal, éthique et responsable.

Qu'elles soient personnelles ou non, sensibles ou non, critiques ou non, les données doivent être protégées par des mesures adaptées à leur nature et aux risques qu'elles présentent.

Depuis plus de deux décennies, le temps passé en ligne ne cesse d'augmenter. La cybersécurité et la protection des données sont désormais des enjeux majeurs, tant pour les droits et les libertés des personnes que pour la sécurité des organisations et des États.

Pour comprendre comment les données circulent et pourquoi les réseaux jouent un rôle central dans leur protection, rendez-vous à la Vidéo d'introduction de la Partie 3 - Réseaux.

Qu’avez-vous pensé de ce contenu ? Clair : Utile :

Si vous souhaitez nous faire part de vos suggestions d'amélioration, contactez-nous !

Envoyer un email à cyberclass@class-code.fr

Poursuivre le parcours

Licence¶

🎯 Attribution : Une réalisation collective produite par Class’Code dans le cadre du programme TalCyb. Ce travail a bénéficié d’une aide de l’État gérée par l’Agence nationale de la recherche au titre de France 2030 portant la référence ANR-23-CMAS-0020.

Cette ressource éducative a été produite sous licence CC BY-SA Class’Code 4.0 FR (1) - Publication : mars 2026.

Creative Commons - Attribution obligatoire et crédit à l’auteur - Liberté d’utilisation et d’adaptation - Pas de restriction spécifique

Sources¶

See this page is the portal