Glossaire de la vie privée numérique

Les termes, de A à Z

A

Anonymisation

Traitement qui rend impossible, de façon irréversible, l'identification d'une personne à partir de données. Une fois anonymisées, les données ne sont plus personnelles et sortent du champ du RGPD. Beaucoup de services parlent de données « anonymisées » qui ne sont en réalité que pseudonymisées, donc réidentifiables.

Authentification à deux facteurs

Protection d'un compte par deux preuves distinctes : un mot de passe et un code temporaire reçu sur un appareil ou généré par une application. Un mot de passe volé ne suffit plus pour entrer. À activer en priorité sur l'adresse e-mail principale, qui reçoit les liens de réinitialisation de tous les autres comptes.

C

Chiffrement

Transformation d'une information lisible en une suite de caractères illisible sans la clé correspondante. Presque tous les services chiffrent quelque chose ; la question utile n'est jamais si un service chiffre, mais qui détient la clé. Trois niveaux existent : en transit, au repos, de bout en bout.

Chiffrement au repos

Chiffrement des données stockées sur les disques d'un serveur, avec une clé détenue par le service lui-même. Il protège d'un disque volé ou mis au rebut, pas d'un accès, légitime ou frauduleux, aux systèmes du service, qui déchiffre à la demande.

Chiffrement en transit

Chiffrement du trajet entre votre appareil et le serveur, généralement par HTTPS. Personne ne peut lire les données en chemin, mais le serveur les reçoit en clair. La CNIL rappelle que le chiffrement en transit « ne correspond pas à la notion de chiffrement de bout en bout ».

Chiffrement de bout en bout

Chiffrement où la clé est créée et conservée uniquement sur les appareils des personnes qui échangent. Le service qui transporte ou stocke les données ne peut pas les lire, par construction, ni les analyser, ni les remettre en clair à qui que ce soit. Guide complet.

Clé de chiffrement

Suite de bits secrète qui permet de chiffrer et de déchiffrer des données. Dans un chiffrement de bout en bout, elle est générée sur l'appareil et n'en sort que vers les appareils des personnes invitées. Sa perte est irréversible sans phrase de secours.

Cloud

Nom donné aux serveurs d'autres entreprises, situés dans des centres de données, sur lesquels vos fichiers sont stockés ou vos applications s'exécutent. Le cloud est toujours quelque part, chez quelqu'un, sous le droit d'un pays.

Cloud Act

Loi américaine de 2018 qui permet aux autorités des États-Unis d'exiger d'une entreprise soumise au droit américain les données qu'elle détient, quel que soit le pays où elles sont stockées, y compris en Europe. Guide complet.

CNIL

Commission nationale de l'informatique et des libertés, autorité française chargée de faire appliquer le RGPD et la loi Informatique et Libertés. Elle informe le public, contrôle les organismes, reçoit les plaintes (20 150 en 2025) et sanctionne (83 sanctions en 2025, près de 487 millions d'euros).

Consentement

Accord libre, spécifique, éclairé et univoque donné par une personne pour un traitement de ses données. Il doit pouvoir être retiré aussi facilement qu'il a été donné. En France, un mineur ne peut le donner seul à un service en ligne qu'à partir de 15 ans.

Cookie

Petit fichier déposé par un site dans votre navigateur pour vous reconnaître d'une visite à l'autre. Les cookies publicitaires servent à vous suivre entre les sites ; leur dépôt exige votre consentement, ce qui a valu à Google et à Shein des amendes de 325 et 150 millions d'euros en septembre 2025.

Courtier en données

Entreprise qui collecte, croise et revend des données personnelles, souvent sans contact direct avec les personnes concernées. Certaines applications gratuites se financent en leur vendant des données, comme l'a montré l'enquête sur Life360 en 2021.

D

Données personnelles

Toute information se rapportant à une personne identifiée ou identifiable : nom, photo, adresse, adresse IP, identifiant d'appareil, voix, plaque d'immatriculation. Une photo d'enfant est une donnée personnelle ; la légende qui donne son prénom en est une autre.

Données sensibles

Catégories de données dont le traitement est en principe interdit par le RGPD, sauf exceptions strictes : santé, vie et orientation sexuelles, opinions politiques, convictions religieuses, origine ethnique, appartenance syndicale, données génétiques et biométriques.

Délégué à la protection des données (DPO)

Personne désignée par un organisme pour veiller au respect du RGPD et servir de point de contact aux personnes et à la CNIL. Son adresse figure en général dans la politique de confidentialité : c'est à elle qu'on adresse une demande d'accès ou d'effacement.

Droit à l'effacement

Droit d'obtenir la suppression de ses données lorsqu'elles ne sont plus nécessaires, lorsque le consentement est retiré ou lorsque le traitement est illicite. Renforcé pour les données collectées pendant la minorité : effacement « dans les meilleurs délais », et procédure accélérée devant la CNIL.

Droit d'accès

Droit d'obtenir d'un organisme la confirmation qu'il traite vos données, une copie de celles-ci et les informations sur leur usage, gratuitement, dans un délai d'un mois. Guide complet des droits.

Droit à la portabilité

Droit de récupérer les données que vous avez fournies à un service dans un format lisible par une machine, pour les réutiliser ailleurs. Pour un album photo, c'est la possibilité de tout exporter avant de partir.

Droit d'opposition

Droit de refuser un traitement fondé sur l'intérêt légitime d'un organisme, et de refuser à tout moment la prospection commerciale. C'est sur ce droit que repose l'opposition à l'usage de ses publications pour entraîner une intelligence artificielle.

DSA et DMA

Deux règlements européens. Le règlement sur les services numériques (DSA) encadre les contenus, la publicité et la transparence des plateformes. Le règlement sur les marchés numériques (DMA) limite le pouvoir des « contrôleurs d'accès » comme Apple, Google, Meta ou Amazon ; c'est sur son fondement que Meta a été sanctionné de 200 millions d'euros en avril 2025.

E

Empreinte numérique (fingerprinting)

Technique de suivi qui identifie un appareil à partir de ses caractéristiques (navigateur, écran, polices, réglages), sans déposer de cookie. Difficile à bloquer, elle relève des traceurs soumis au consentement selon la CNIL.

EXIF

Format des métadonnées enregistrées dans un fichier photo au moment de la prise de vue : date, heure, coordonnées GPS, modèle d'appareil, réglages. Elles voyagent avec le fichier sauf si elles sont retirées avant l'envoi. Guide complet.

F

Fuite de données (violation de données)

Accès, divulgation, altération ou perte non autorisés de données personnelles. Le RGPD oblige les organismes à notifier la CNIL sous 72 heures ; 6 167 violations lui ont été notifiées en 2025, un record, dont une sur deux liée à un piratage. Des données chiffrées de bout en bout volées restent inexploitables.

H

Hébergement

Stockage de données ou d'un service sur les serveurs d'un prestataire, dans un pays donné. Le lieu d'hébergement détermine le droit applicable aux serveurs et la distance physique, mais pas qui peut lire les données : un hébergeur américain reste soumis au Cloud Act, même en Europe.

HTTPS

Version sécurisée du protocole du web, signalée par un cadenas dans le navigateur. Elle chiffre le trajet entre vous et le site ; elle ne dit rien de ce que le site fait ensuite de vos données. Voir chiffrement en transit.

I

Identifiant publicitaire

Numéro unique attribué à un téléphone par son système d'exploitation, utilisé par les applications et les régies pour relier vos usages entre applications. Il peut être désactivé (iPhone : refuser les demandes de suivi) ou supprimé (Android : réglages Annonces).

M

Métadonnées

Données sur les données : la date d'un message, l'expéditeur et le destinataire, la taille d'un fichier, le lieu d'une photo. Souvent lisibles même quand le contenu est chiffré, elles en disent beaucoup. Un service honnête publie la liste de celles qu'il conserve en clair.

Minimisation des données

Principe du RGPD selon lequel un organisme ne doit collecter que les données strictement nécessaires à sa finalité. Une application d'album photo n'a pas besoin de vos contacts, de votre position permanente, ni de votre numéro de téléphone.

P

Phrase de secours

Suite de mots, souvent douze, qui permet de reconstituer la clé de chiffrement en cas de perte de tous ses appareils. Elle remplace le « mot de passe oublié », impossible dans un service qui ne détient pas la clé. À noter sur papier et à conserver hors ligne, avec une personne de confiance qui sait où.

Pixel espion (traceur)

Image invisible d'un pixel insérée dans une page ou un e-mail, qui signale à un serveur que vous l'avez ouvert, quand et depuis où. C'est un traceur au même titre qu'un cookie, soumis aux mêmes règles de consentement.

Profilage

Traitement automatisé qui déduit des caractéristiques d'une personne (centres d'intérêt, situation familiale, santé, solvabilité) à partir de ses données, pour la cibler ou prendre des décisions à son sujet. Le RGPD donne le droit de s'y opposer et d'obtenir une intervention humaine.

Pseudonymisation

Remplacement des éléments directement identifiants par un code, en conservant ailleurs la table de correspondance. Réversible, elle ne fait pas sortir les données du RGPD, contrairement à l'anonymisation.

Publicité ciblée

Publicité sélectionnée en fonction d'un profil construit à partir de vos données et de vos comportements. Elle finance la plupart des services gratuits (97,6 % des revenus 2025 de Meta) et suppose une collecte permanente. Guide complet.

R

Reconnaissance faciale

Analyse automatique des visages sur des photos pour les regrouper ou les identifier. Les données biométriques qui en résultent sont des données sensibles au sens du RGPD. Un service qui propose de « retrouver toutes les photos de mamie » lit vos photos.

Réseau social privé (cercle fermé)

Espace de partage réservé à un cercle fermé, où chaque membre est invité explicitement, sans profil public, sans recherche, sans recommandation, sans publicité. C'est le modèle des applications du Cloud Privé, dont PrivateFamily pour la famille.

RGPD

Règlement général sur la protection des données (règlement UE 2016/679), applicable dans l'Union européenne depuis le 25 mai 2018. Il encadre tout traitement de données personnelles, quel que soit le pays de l'organisme, et donne aux personnes neuf droits. Il ne rend pas les données illisibles. Guide complet.

S

Sauvegarde chiffrée

Copie de secours de vos données, protégée par une clé que le service de sauvegarde ne détient pas. Sans cette option, une sauvegarde dans le cloud est une copie lisible de tout ce qu'elle contient, y compris les conversations d'une messagerie chiffrée de bout en bout.

SecNumCloud

Qualification délivrée par l'ANSSI, l'agence française de cybersécurité, aux prestataires de cloud qui respectent un référentiel exigeant, incluant l'immunité aux lois extra-européennes comme le Cloud Act. Elle vise les services qui doivent pouvoir lire les données qu'ils hébergent.

Sharenting

Pratique des parents qui publient des photos ou des vidéos de leurs enfants sur les réseaux sociaux. La CNIL la déconseille, surtout depuis un profil public ; depuis la loi du 19 février 2024, les deux parents protègent en commun le droit à l'image de l'enfant. Guide complet.

Souveraineté numérique

Capacité d'un pays, d'une organisation ou d'une personne à garder la maîtrise de ses données et de ses outils numériques, sans dépendre d'un droit ou d'un fournisseur étranger. Pour une famille, la version concrète s'appelle le chiffrement de bout en bout : la maîtrise passe par la clé.

T

Transfert hors UE

Envoi de données personnelles vers un pays extérieur à l'Union européenne. Il n'est autorisé que vers des pays jugés « adéquats » par la Commission européenne ou avec des garanties contractuelles, sous le contrôle de la Cour de justice de l'UE, qui a déjà invalidé deux accords avec les États-Unis.

V

VPN

Réseau privé virtuel : tunnel chiffré entre votre appareil et un serveur intermédiaire, qui masque votre adresse IP et protège sur un réseau public. Il ne protège ni de ce que les services collectent, ni de ce que vous publiez ; pour une famille, ce n'est pas la priorité.

Z

Zéro connaissance (zero-knowledge)

Se dit d'un service conçu pour ne rien savoir des contenus qu'il stocke : les données arrivent chiffrées avec une clé qu'il ne possède pas. Synonyme courant du chiffrement de bout en bout appliqué au stockage. Le terme désigne aussi, en cryptographie, une famille de preuves mathématiques sans rapport avec cet usage commercial.