Article mis en ligne le 18 juillet 2011

Pour garantir la confidentialité de l’information, convient-il de procéder au chiffrement des données conservées électroniquement ? Si les pratiques traditionnellement en vigueur pour l’archivage électronique ne prévoient pas une telle approche, l’évolution de la demande va obliger les tiers de confiance à proposer une réponse en la matière.

***

Le chiffrement, parfois appelé cryptage, est un procédé cryptographique (au même titre que la signature électronique, le calcul d’empreinte ou la contremarque de temps) qui permet de garantir la confidentialité d’une information. En pratique, on peut constater que le recours au chiffrement est désormais généralisé pour le transfert des données mais qu’il demeure peu fréquent pour la conservation de celles-ci, même lorsqu’il est question de conservation dite sécurisée.

Traditionnellement, il est considéré que le chiffrement des données ou des documents ne fait pas partie des missions de l’archivage électronique.

En premier lieu, la totalité des archives électroniques ne revêt pas un caractère confidentiel (ou le niveau de confidentialité d’un document archivé peut diminuer progressivement au fil du temps). En second lieu, la confidentialité peut être assurée par d’autres méthodes comme l’authentification forte, la traçabilité des accès ou encore, dans le cas des données à caractère personnel, l’anonymisation.

Plus fondamentalement, le fait de chiffrer un document porte atteinte à son intégrité ce qui est antinomique avec le fondement théorique de l’archivage électronique. Et surtout, le chiffrement fait peser le risque de ne pas pouvoir déchiffrer au moment où l’on devra avoir accès à l’information. Chiffrer en perdant les moyens de déchiffrer, cela revient exactement au même que de ne rien conserver. On comprend mieux ainsi la prudence pour ne pas dire la réticence des acteurs économiques concernés.

 Une demande croissante du marché

Un intérêt de plus en plus fort se manifeste pourtant pour une conservation électronique chiffrée. Les débats en cours sur la sécurité des données confiées aux solutions de type Cloud Computing conduisent naturellement à évoquer le chiffrement, au minimum pour les informations jugées confidentielles ou pour les données à caractère personnel. Cette attente rejoint la position historique de la Cnil qui s’est de façon constante prononcée en faveur du chiffrement des données de santé.

La mise en œuvre du bulletin de paie électronique, qui représente une application très pédagogique de la dématérialisation pour les entreprises, incite également à formuler des attentes supplémentaires en matière de confidentialité des données. Quelle est l’attente du marché ? Le DRH de l’entreprise se devrait d’avoir accès à tous les bulletins de salaires mais les administrateurs techniques, qu’ils soient salariés ou prestataires, ne devraient pouvoir lire les feuilles de paie du Comité de Direction. Une demande qui suppose un dispositif de chiffrement non contournables par les informaticiens mais facile d’usage, voire transparent, pour les utilisateurs habilités. La demande est simple à formuler mais la solution pour y répondre n’est pas évidente.

 Vote électronique, marchés publics dématérialisés, jeux en ligne

Pour l’économie de la confiance, le chiffrement des contenus n’est pas une nouveauté car il existe des domaines où cela correspond à l’état de l’art voire au respect des exigences règlementaires. Il peut s’agir d’un chiffrement pour une période temporaire. C’est notamment le cas pour les réponses dématérialisées aux marchés publics qui sont chiffrées durant la période qui s’écoule entre la remise de l’offre et la phase de dépouillement par la personne publique. C’est également le cas pour le vote par Internet lorsque le scrutin est mené dans le respect des recommandations formulées par la Cnil depuis 2003 et actualisées le 21 octobre 2010. Entre le début de la période où l’électeur peut exprimer son choix et la phase de dépouillement, le contenu de l’urne électronique doit être chiffré avec algorithmes publics réputés « forts ». La Cnil précise que « le nombre de clés de chiffrement doit être au minimum de trois, la combinaison d’au moins deux de ces clés étant indispensable pour permettre le dépouillement ».

Le chiffrement peut aussi avoir un caractère définitif comme dans le cas des opérateurs agréés de jeux et paris en ligne. Tous les évènements de jeux doivent être archivés chiffrés dans un coffre-fort électronique bénéficiant de la Certification de Sécurité de Premier Niveau (CSPN) de l’ANSSI. Dans ce dispositif, seule l’ARJEL (Autorité de régulation des jeux en ligne) possède les clés de déchiffrement.

 Qui va garder les clés ?

Si la conservation électronique chiffrée n’est pas encore largement répandue ce n’est pas en raison de la complexité technique.  La réelle difficulté réside dans la gestion des clés. Cela revient à se poser les questions suivantes : qui va garder les clés et que se passera-t-il si celles-ci sont perdues ? Une question d’autant plus délicate que la période de conservation est longue.

Le régime juridique applicable en la matière correspond aux articles 29 à 32 de la loi pour la confiance dans l’économie numérique du 21 juin 2004 et notamment à l’article 32 qui mérite d’être cité : « Sauf à démontrer qu’elles n’ont commis aucune faute intentionnelle ou négligence, les personnes fournissant des prestations de cryptologie à des fins de confidentialité sont responsables au titre de ces prestations, nonobstant toute stipulation contractuelle contraire, du préjudice causé aux personnes leur confiant la gestion de leurs conventions secrètes en cas d’atteinte à l’intégrité, à la confidentialité ou à la disponibilité des données transformées à l’aide de ces conventions. » La question de la responsabilité n’incite clairement pas à un déploiement tout azimut.

Pour autant, les tiers de confiance ne pourront sans doute pas faire l’économie d’une réflexion sur des offres permettant de répondre aux besoins croissants du marché. Pour ce faire, ils ne devront pas persister à prétendre que le chiffrement ne sert à rien ou proposer de conserver les contenus chiffrés et la clé de déchiffrement en clair dans le même espace. Ils ne pourront pas non plus prétendre que c’est uniquement le problème du client et qu’il lui revient de chiffrer préalablement ses données avant de les confier à un tiers de confiance tout en se débrouillant seul avec la gestion des clés.

Les solutions, loin d’être triviales, se devront d’associer les dimensions techniques, juridiques et organisationnelles et c’est à cette condition que les acteurs mériteront pleinement le qualificatif de tiers de confiance.

Arnaud Belleil