Les notions de la donnée

Statut particulier d'une application Android, dite « administrateur de l'appareil », qui lui permet notamment d'imposer un mot de passe, de verrouiller l'écran ou d'effacer les données à distance. Prévu pour la gestion d'entreprise et la sécurité, il bloque la désinstallation tant qu'il n'est pas retiré, ce que certains logiciels espions exploitent.

Fiche Se protéger

Principe de responsabilité du RGPD (article 5, paragraphe 2) : le responsable de traitement doit non seulement respecter les règles de protection des données, mais être en mesure de le démontrer, grâce à des mécanismes et procédures internes documentés.

Fiche 01 Gouvernance & conformité

Règlement (UE) 2024/1689, entré en vigueur le 1er août 2024, qui fixe des règles harmonisées pour l'intelligence artificielle dans l'Union européenne selon une approche par les risques : pratiques interdites, obligations renforcées pour les systèmes à haut risque, transparence pour d'autres usages. Il s'applique aussi aux acteurs hors Union dont les systèmes y sont utilisés.

052 01 Gouvernance & conformité

Analyse écrite qui évalue, avant sa mise en œuvre, les risques qu'un traitement de données personnelles fait peser sur les droits et libertés des personnes, ainsi que les mesures prévues pour les réduire. Elle est obligatoire quand le traitement est susceptible d'engendrer un risque élevé (article 35 du RGPD).

Fiche 01 Gouvernance & conformité

Traitement qui rend impossible, en pratique et de façon irréversible, toute identification d'une personne par quelque moyen que ce soit. Des données réellement anonymisées ne sont plus des données personnelles et sortent du champ du RGPD ; à défaut, il ne s'agit que de pseudonymisation.

Fiche 01 Gouvernance & conformité

Autorité nationale française en matière de cybersécurité et de cyberdéfense, créée en 2009 comme service du Premier ministre et placée sous l'autorité du secrétaire général de la défense et de la sécurité nationale (SGDSN). Elle détecte et traite les incidents, qualifie et certifie des produits et des prestataires, et publie guides et bilans de la menace.

Fiche 04 Sécurité des données

Agence nationale des titres sécurisés, établissement public administratif créé en 2007 sous la tutelle du ministère de l'Intérieur. Elle conçoit les démarches en ligne pour les cartes d'identité, passeports, cartes grises et permis de conduire, accompagne les usagers et organise la production et l'acheminement des titres. Elle s'appelle aussi France Titres depuis 2024.

Fiche 04 Sécurité des données

Autorité administrative indépendante qui régule en France les communications électroniques, les postes et la distribution de la presse. Elle attribue les fréquences et les numéros de téléphone aux opérateurs, dispose de pouvoirs d'enquête et de sanction, et recueille sur la plateforme « J'alerte l'Arcep » les signalements d'usurpation de numéros.

Fiche Se protéger

Montant dû par jour de retard lorsqu'une injonction de la CNIL n'est pas exécutée dans le délai fixé. Prévue par l'article 20 de la loi Informatique et Libertés et plafonnée à 100 000 euros par jour, elle contraint à la mise en conformité, alors que l'amende sanctionne le manquement constaté.

Fiche 01 Gouvernance & conformité

Méthode de connexion qui exige au moins deux preuves d'identité de catégories distinctes : ce que l'on sait (mot de passe), ce que l'on possède (clé, application, carte) ou ce que l'on est (empreinte). Le vol du seul mot de passe ne suffit plus à ouvrir un compte.

Fiche 04 Sécurité des données

Capacité d'un acteur, en pratique l'Union européenne, à décider et à agir par lui-même dans les domaines critiques (technologies, industrie, défense, approvisionnements) sans dépendre excessivement de puissances extérieures, tout en restant ouvert sur le monde.

Fiche 02 Souveraineté numérique

Au sens du règlement sur l'IA (AI Act), autorité nationale qui assure la mission et prend les mesures prévues par le règlement (UE) 2019/1020 sur la surveillance du marché, ici pour contrôler les systèmes d'IA. Chaque État membre en désigne au moins une, dont l'une fait office de point de contact unique.

Fiche 01 Gouvernance & conformité

Écart systématique dans les résultats d'un algorithme ou d'un système d'IA qui désavantage certaines personnes ou certains groupes, le plus souvent hérité des données d'entraînement, des choix de conception ou des conditions de déploiement. Il peut conduire à des discriminations, par exemple en matière de recrutement, de justice ou de prestations sociales.

Fiche 01 Gouvernance & conformité

Ensemble de données structurées, semi-structurées ou non structurées, collectées par une organisation en grande quantité et analysées pour en tirer des enseignements, par exemple en apprentissage automatique ou en modélisation prédictive. On le décrit par six caractéristiques : volume, vélocité, variété, véracité, valeur et variabilité.

017 03 Data & IA

Action annuelle coordonnée des autorités de protection des données, pilotée par le Comité européen de la protection des données (CEPD), qui vérifient en parallèle un même thème du RGPD. Après le droit à l'effacement en 2025, l'action 2026 porte sur la transparence et l'information des personnes (articles 12 à 14).

Fiche 01 Gouvernance & conformité

Loi américaine de 1994 (Communications Assistance for Law Enforcement Act) qui impose aux opérateurs de télécommunications et aux fabricants d'équipements de concevoir leurs réseaux de façon à pouvoir être interceptés. Elle crée une capacité technique, non l'autorisation de surveiller, qui doit résulter d'une ordonnance ou d'une autre base légale.

Fiche 02 Souveraineté numérique

Centre gouvernemental de réponse aux incidents de sécurité informatique, rattaché à la sous-direction Opérations de l'ANSSI. Il publie les alertes, avis de sécurité et bulletins d'actualité sur les vulnérabilités et les incidents touchant le territoire national, et assiste les administrations et les opérateurs critiques en réponse à incident.

Fiche 04 Sécurité des données

Traçabilité documentée d'une preuve numérique, de sa collecte à sa conservation et à son analyse : qui l'a recueillie, quand, avec quels moyens et par quelles mains elle est passée. Elle vise à établir l'intégrité de l'élément produit. L'anglais parle de chain of custody.

Fiche 04 Sécurité des données

Programme qui donne l'impression d'avoir une fonction utile, mais qui possède par ailleurs une fonction cachée et potentiellement malveillante, comme l'espionnage de l'utilisateur ou le vol de ses données. C'est la victime elle-même qui l'installe, en le croyant légitime.

Fiche Se protéger

Algorithme de chiffrement symétrique par blocs, dérivé de Rijndael et choisi en 2000 par l'institut américain NIST pour succéder au DES. Une même clé de 128, 192 ou 256 bits chiffre et déchiffre les données, stockées ou en transit (TLS, Wi-Fi WPA2, VPN). Les attaques réussies contre des systèmes qui l'emploient ont visé la gestion des clés, non l'algorithme.

024 04 Sécurité des données

Chiffrement dans lequel seuls l'expéditeur et le destinataire détiennent les clés nécessaires pour lire un message ou un fichier. Le fournisseur du service ne voit passer que des données chiffrées et ne peut pas les remettre en clair, y compris à la demande d'une autorité.

Fiche 04 Sécurité des données

Analyse du contenu d'un message ou d'un fichier directement sur l'appareil de l'utilisateur, avant son envoi, pour le comparer à une base de contenus recherchés. Le chiffrement de bout en bout n'est pas cassé en tant que tel, mais le contenu est examiné en clair sur le terminal avant d'être chiffré.

Fiche 02 Souveraineté numérique

Loi américaine de 2018 qui permet aux autorités des États-Unis d'exiger d'une entreprise soumise au droit américain les données qu'elle contrôle, y compris lorsqu'elles sont stockées hors du territoire américain, par exemple dans un centre de données européen.

057 02 Souveraineté numérique

Proposition de règlement présentée par la Commission européenne le 3 juin 2026 (COM(2026) 502) pour renforcer l'écosystème européen du cloud et de l'IA : accélérer le déploiement des centres de données, soutenir la recherche et instaurer un cadre unique d'évaluation de la souveraineté du cloud et de l'IA. Le texte n'est pas adopté.

Fiche 02 Souveraineté numérique

Offre de cloud qui garantit que les données et leur exploitation restent sous le contrôle d'acteurs et de juridictions européens, à l'abri des lois extraterritoriales. Le terme n'a pas de définition juridique européenne ; en France, la référence est la qualification SecNumCloud de l'ANSSI.

Fiche 02 Souveraineté numérique

Codes composés au clavier du téléphone, qui commencent par * ou # et se terminent par #, et qui envoient une commande au réseau de l'opérateur, par exemple pour consulter ou supprimer un renvoi d'appel (*#21#, ##002#). Ils renseignent sur des réglages du réseau, non sur le contenu du téléphone.

Fiche Se protéger

Recueil d'informations qui interagit directement avec les systèmes de la cible : scan de ports, requêtes directes, tentatives de connexion. Elle peut être détectée par la cible et, sans autorisation, relever de l'accès frauduleux à un système de traitement automatisé de données (article 323-1 du Code pénal).

Fiche 04 Sécurité des données

Recueil d'informations sans interaction directe avec la cible : l'analyste consulte des sources publiques, des bases de données tierces ou des caches de moteurs de recherche, sans adresser de requête à ses systèmes. Elle s'oppose à la collecte active, qui interagit avec eux.

Fiche 04 Sécurité des données

Fichier qui agrège des millions de couples identifiant/mot de passe (souvent une adresse e-mail et un mot de passe), compilés à partir de fuites antérieures ou de logiciels voleurs d'identifiants, puis republiés ou vendus. Il sert au bourrage d'identifiants et se présente parfois comme une nouvelle fuite.

Fiche 04 Sécurité des données

Plateforme sécurisée de routage des données d'état civil (communication électronique des données de l'état civil), pilotée par le ministère de la Justice. Elle permet aux préfectures, aux notaires et à d'autres professionnels habilités de faire vérifier un acte directement auprès des communes, sans passer par l'usager.

Fiche 01 Gouvernance & conformité

Manifestation de volonté libre, spécifique, éclairée et univoque par laquelle une personne accepte, par une déclaration ou un acte positif clair, que ses données personnelles soient traitées (RGPD, article 4, point 11). C'est l'une des six bases légales du RGPD, dont le responsable de traitement doit pouvoir démontrer la validité.

Fiche 01 Gouvernance & conformité

Child Sexual Abuse Material : images, vidéos ou autres contenus représentant des abus sexuels sur des mineurs, expression que les institutions et les organisations de protection de l'enfance préfèrent à « pédopornographie ». Leur détection repose sur la comparaison d'empreintes pour les contenus connus et sur des classifieurs pour les nouveaux.

Fiche 02 Souveraineté numérique

Proposition de règlement présentée par la Commission le 11 mai 2022 pour prévenir et combattre les abus sexuels sur enfants en ligne (Child Sexual Abuse Regulation), surnommée « Chat Control 2.0 ». Elle imposerait aux fournisseurs des obligations permanentes de détection, de signalement et de retrait, et reste en négociation.

Fiche 02 Souveraineté numérique

Processus qui transforme des informations brutes en renseignement exploitable : planification et orientation, recherche, traitement, production et analyse, diffusion, puis consommation et rétroaction, qui relance le cycle. Le nombre d'étapes retenues varie selon les auteurs et les doctrines.

Fiche 04 Sécurité des données

Partie d'Internet accessible uniquement au moyen de services d'anonymisation comme Tor, avec des adresses en .onion. On y trouve des usages légitimes de confidentialité, mais aussi des forums, des marchés et des sites de groupes criminels où se vendent ou se publient des données volées.

Fiche 04 Sécurité des données

Entreprise qui collecte des informations sur des personnes (achats à d'autres sociétés, documents publics, réseaux sociaux, navigation), les regroupe en profils ou en segments d'audience, puis les vend, ou en vend l'accès, à des annonceurs, des banques, des employeurs ou d'autres courtiers. Le RGPD s'applique à ceux qui ciblent des personnes situées dans l'Union.

026 01 Gouvernance & conformité

Règlement (UE) 2022/868, applicable depuis septembre 2023, qui organise le partage de données dans l'Union : conditions de réutilisation de certaines données protégées du secteur public, encadrement des intermédiaires de données (neutres, déclarés à une autorité) et altruisme des données, soit leur mise à disposition volontaire pour le bien commun.

012 01 Gouvernance & conformité

Démarche qui associe des données, des visualisations et un récit pour expliquer ce que les chiffres signifient et appuyer une décision. Elle va plus loin que la simple visualisation, qui montre le comment, car elle répond aussi au pourquoi et au pour quoi faire, en adaptant le message à son public.

049 03 Data & IA

Décision prise à l'égard d'une personne sur le seul fondement d'un traitement automatisé, sans intervention humaine, et produisant des effets juridiques ou l'affectant de manière significative. L'article 22 du RGPD l'interdit en principe, sauf contrat, texte légal ou consentement explicite, avec garanties.

Fiche 01 Gouvernance & conformité

Règlement (UE) 2021/1232, surnommé « Chat Control 1.0 » : dérogation temporaire à la directive ePrivacy qui autorise, sans l'imposer, la détection volontaire de contenus d'abus sexuels sur mineurs par les messageries et webmails. Prolongée en 2024, puis jusqu'au 3 avril 2028 par le règlement (UE) 2026/1881.

Fiche 02 Souveraineté numérique

Règlement européen (UE) 2022/1925 qui impose aux très grandes plateformes désignées « contrôleurs d'accès » (gatekeepers) des interdictions et des obligations : ne pas favoriser leurs propres services, s'ouvrir à l'interopérabilité, proposer un choix de navigateur ou de moteur de recherche. Les amendes peuvent atteindre 10 % du chiffre d'affaires annuel mondial.

021 02 Souveraineté numérique

Domain Name System, ou système de noms de domaine : annuaire distribué qui associe un nom de domaine à des informations techniques publiées sous forme d'enregistrements (adresse IP, serveur de messagerie, alias, texte). Ces enregistrements étant publics, ils renseignent aussi sur l'infrastructure et les services d'une organisation.

Fiche 04 Sécurité des données

Une donnée est un fait brut (chiffre, énoncé, caractère) sans signification en soi ; elle devient une information lorsqu'elle est traitée, organisée et replacée dans un contexte utile à la décision. Les ventes d'un mois sont une donnée ; leur comparaison avec celles des mois précédents est une information.

005 03 Data & IA

Toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement (article 4 du RGPD) : un nom, un numéro de téléphone, une adresse IP, un identifiant client ou le recoupement de plusieurs éléments. Les catégories particulières (santé, biométrie, opinions politiques, etc.) font l'objet d'une protection renforcée.

015 01 Gouvernance & conformité

Données personnelles issues d'un traitement technique spécifique des caractéristiques physiques, physiologiques ou comportementales d'une personne (visage, empreintes, iris, voix) et permettant de l'identifier de façon unique (article 4.14 du RGPD). Leur traitement à cette fin est en principe interdit (article 9).

Fiche 02 Souveraineté numérique

Données qui ne suivent aucun modèle prédéfini et ne se rangent pas en lignes et en colonnes : texte libre, notes, documents, courriels, images, audio et vidéo. Plus difficiles à stocker et à interroger que les données structurées, elles peuvent aussi receler des informations sensibles.

Fiche 03 Data & IA

Acronyme de Redundant, Obsolete, Trivial : données redondantes (copies multiples), obsolètes (anciennes versions, fichiers oubliés) ou inutiles (sans valeur pour l'entreprise) qui encombrent le stockage. Elles alourdissent les coûts et les risques de fuite, et exposent au non-respect du RGPD si elles contiennent des données personnelles conservées trop longtemps.

004 01 Gouvernance & conformité

Au sens du RGPD, catégories particulières de données personnelles (article 9) : origine raciale ou ethnique, opinions politiques, convictions religieuses, appartenance syndicale, données génétiques, biométriques, de santé, de vie sexuelle ou d'orientation sexuelle. Leur traitement est interdit par principe, sauf exception.

Fiche 01 Gouvernance & conformité

Droit d'obtenir du responsable du traitement l'effacement de ses données personnelles dans les meilleurs délais lorsqu'elles ne sont plus nécessaires, que le consentement est retiré, que le traitement est illicite ou que l'opposition est fondée (article 17 du RGPD, dit « droit à l'oubli »).

Fiche 01 Gouvernance & conformité

Droit de s'opposer à tout moment au traitement de ses données (article 21 du RGPD) : pour des raisons tenant à sa situation particulière lorsque le traitement repose sur l'intérêt légitime ou une mission d'intérêt public, et sans justification en cas de prospection.

Fiche 01 Gouvernance & conformité

Révision du cadre européen de l'identité numérique, le règlement (UE) 2024/1183, entré en vigueur le 20 mai 2024. Il impose à chaque État membre de proposer à ses citoyens, d'ici fin 2026, un portefeuille européen d'identité numérique pour stocker des justificatifs et s'authentifier en ligne et hors ligne.

Fiche 02 Souveraineté numérique

Ensemble des données qu'une personne ou une organisation laisse en utilisant Internet : celles qu'elle publie volontairement (messages, formulaires, comptes) et celles recueillies à son insu (adresse IP, témoins de navigation, journaux d'activité). Recoupées, elles peuvent révéler une identité, des habitudes ou une localisation.

Fiche 04 Sécurité des données

Base de données destinée à être utilisée notamment à des fins de recherche, d'études ou d'évaluations dans le domaine de la santé, qui réunit de grands volumes de données sur une longue durée pour les réutiliser dans plusieurs projets. En France, sa constitution relève d'un régime défini par la CNIL (consentement, référentiel ou autorisation).

Fiche 01 Gouvernance & conformité

Système informatique européen qui enregistre les entrées, les sorties et les refus d'entrée des ressortissants de pays tiers en court séjour aux frontières extérieures de 29 pays européens, avec leurs données biométriques (empreintes et image faciale). Lancé progressivement le 12 octobre 2025, il remplace le tampon sur le passeport depuis le 10 avril 2026.

056 02 Souveraineté numérique

Espace de libre circulation sans contrôles aux frontières intérieures, qui compte 29 pays : 25 États membres de l'Union européenne et 4 pays non membres (Islande, Liechtenstein, Norvège, Suisse). Un État peut y rétablir temporairement des contrôles aux frontières intérieures, en dernier recours, en cas de menace grave pour l'ordre public ou la sécurité intérieure.

Fiche 02 Souveraineté numérique

Système européen d'information et d'autorisation concernant les voyages : autorisation de voyage électronique que devront obtenir, avant leur départ, les ressortissants de pays tiers exemptés de visa pour un court séjour dans 30 pays européens. Prévu par le règlement (UE) 2018/1240, il n'est pas encore en service et sa date de lancement sera annoncée plusieurs mois à l'avance.

Fiche 02 Souveraineté numérique

Agence de l'Union européenne pour la gestion opérationnelle des systèmes d'information à grande échelle dans l'espace de liberté, de sécurité et de justice, opérationnelle depuis 2012. Basée à Tallinn, avec un site opérationnel à Strasbourg, elle développe et gère notamment le SIS, le VIS, Eurodac, l'EES et, à terme, ETIAS.

Fiche 02 Souveraineté numérique

Capacité à rendre compréhensible, pour les opérateurs comme pour les personnes concernées, la manière dont un système d'IA ou un algorithme aboutit à un résultat. L'AI Act et le RGPD en déclinent l'exigence par des obligations de transparence et par un droit à explication des décisions individuelles.

Fiche 01 Gouvernance & conformité

Application d'une loi nationale à des personnes, des entreprises ou des données situées hors du territoire de l'État qui l'a adoptée. En matière de données, elle permet par exemple à une autorité américaine d'exiger d'une entreprise américaine des données stockées en Europe.

Fiche 02 Souveraineté numérique

Date à partir de laquelle un fabricant ou un éditeur cesse de publier des correctifs, y compris de sécurité, pour un produit. Toute vulnérabilité découverte ensuite reste ouverte : un équipement en fin de support maintenu en service, surtout s'il est accessible depuis Internet, doit être isolé ou remplacé.

Fiche 04 Sécurité des données

Opération en virgule flottante (floating-point operation), unité servant à mesurer le calcul utilisé pour entraîner un modèle d'IA. L'AI Act (article 51) présume qu'un modèle d'IA à usage général présente un risque systémique lorsque le calcul cumulé de son entraînement dépasse 10²⁵ FLOP.

Fiche 01 Gouvernance & conformité

Fonction mathématique qui transforme des données de toute taille en une empreinte de longueur fixe, appelée valeur de hachage. Le calcul est déterministe et à sens unique : on ne remonte pas aux données d'origine, mais la moindre modification change l'empreinte, ce qui permet de contrôler l'intégrité d'un fichier ou de ne stocker qu'une empreinte du mot de passe.

023 04 Sécurité des données

Rôles définis par l'AI Act (article 3, points 3 et 4) : le fournisseur développe ou fait développer un système d'IA ou un modèle d'IA à usage général et le met sur le marché, ou met le système en service, sous son nom ; le déployeur utilise un système d'IA sous sa propre autorité, hors usage personnel non professionnel. Les obligations dépendent du rôle.

Fiche 01 Gouvernance & conformité

Initiative européenne lancée en 2019 par la France et l'Allemagne pour bâtir une infrastructure de données fédérée, fondée sur des règles communes de transparence, d'interopérabilité et de portabilité. Gaia-X ne fournit pas de cloud : il définit des règles et des labels que les fournisseurs adoptent volontairement.

Fiche 02 Souveraineté numérique

Système européen de navigation par satellite, civil et géré par des institutions européennes (Commission européenne, Agence spatiale européenne, EUSPA), déclaré opérationnel en 2016. Il offre un service de positionnement ouvert et gratuit, reçu par de nombreux smartphones, et donne à l'Europe une alternative au GPS américain, placé sous contrôle militaire des États-Unis.

058 02 Souveraineté numérique

Geospatial Intelligence : exploitation et analyse d'imagerie et d'informations géospatiales pour décrire, évaluer et représenter visuellement des éléments physiques et des activités rattachées à un lieu (définition du droit américain). Appliqué aux sources ouvertes, il croise cartes, images et données de localisation publiques.

Fiche 04 Sécurité des données

Signal que le navigateur envoie automatiquement (en-tête HTTP Sec-GPC) pour demander aux sites de ne pas vendre ni partager les données personnelles de l'internaute. En Californie, il doit être respecté comme un refus valable ; la proposition européenne d'article 88b du RGPD envisage des signaux de même nature.

Fiche 01 Gouvernance & conformité

Requête de recherche avancée qui combine des opérateurs du moteur (comme site: et filetype:) pour faire remonter des informations sensibles indexées par erreur : répertoires, pages de connexion, fichiers contenant des identifiants. La pratique est aussi appelée Google hacking ou dorking.

Fiche 04 Sécurité des données

Cadre de politiques, de rôles et de règles qui régit la disponibilité, la facilité d'utilisation, l'intégrité et la sécurité des données d'une organisation, afin qu'elles soient cohérentes, fiables et utilisées à bon escient. Elle s'appuie sur des responsables désignés et soutient la conformité à des textes comme le RGPD.

032 01 Gouvernance & conformité

Variante du hameçonnage dans laquelle un cybercriminel se fait passer pour une personne ou une organisation de confiance auprès d'une cible précise, souvent un responsable, afin d'obtenir des informations confidentielles, des accès ou des fonds. Le message est adapté à sa victime et l'attaque relève de la manipulation psychosociale.

Fiche 04 Sécurité des données

Human Intelligence, ou renseignement d'origine humaine (ROHUM) : renseignement élaboré à partir d'informations recueillies par des capteurs humains, c'est-à-dire auprès de sources humaines lors d'un entretien, ou par l'observation directe. Il se distingue de l'OSINT, qui exploite des informations en accès libre.

Fiche 04 Sécurité des données

Fournisseur de cloud qui exploite à très grande échelle un réseau mondial de centres de données et alloue à la demande des capacités de calcul et de stockage quasi illimitées. Le terme désigne surtout Amazon Web Services, Microsoft Azure et Google Cloud.

Fiche 02 Souveraineté numérique

L'IAM (Identity and Access Management) regroupe les processus et les outils qui permettent de créer et de suivre les identités numériques, de vérifier qui se connecte et de contrôler ce que chacun peut faire, de l'arrivée d'une personne dans l'organisation jusqu'à son départ.

Fiche 04 Sécurité des données

Modèle d'identité numérique (en anglais self-sovereign identity) qui place l'utilisateur au centre : il détient ses attestations d'identité, par exemple dans un portefeuille sur son téléphone, et décide ce qu'il en dévoile à chaque service, sans dépendre d'un fournisseur central pour chaque vérification. La blockchain est une option, non une obligation.

Fiche 02 Souveraineté numérique

Défaut de contrôle d'accès qui permet de consulter ou de modifier les données d'un autre utilisateur en changeant un simple identifiant (numéro de dossier, de compte, de facture) dans une adresse ou une requête : le serveur ne vérifie pas que l'objet demandé appartient à celui qui le demande.

Fiche 04 Sécurité des données

International Mobile Equipment Identity : numéro de 15 chiffres qui identifie un téléphone mobile en tant qu'appareil, indépendamment de sa carte SIM. Il s'affiche en composant *#06# et sert, après un vol, à faire bloquer le téléphone par l'opérateur et à l'identifier s'il est retrouvé.

Fiche Se protéger

Imagery Intelligence, ou renseignement d'origine image (ROIM) : renseignement obtenu en collectant et en analysant des informations visuelles issues d'images reçues de capteurs spatiaux ou aériens. Il devient de l'OSINT lorsque les images exploitées sont publiques, comme certaines images commerciales.

Fiche 04 Sécurité des données

Logiciel malveillant conçu pour dérober discrètement les données de l'appareil qu'il infecte, en particulier les identifiants et mots de passe. Revendus sur des places de marché criminelles, ces identifiants permettent ensuite de se connecter aux comptes de la victime, y compris à ses accès professionnels.

Fiche 04 Sécurité des données

Manipulation visant à obtenir un bien ou une information en exploitant la confiance, l'ignorance ou la crédulité de personnes plutôt qu'une faille technique. Hameçonnage, faux conseillers bancaires et faux supports techniques en sont des formes courantes.

Fiche 04 Sécurité des données

Attaque qui consiste à glisser des instructions SQL dans une donnée saisie ou transmise à une application, de sorte que la base de données exécute une requête détournée. Elle permet de lire, modifier ou supprimer des données, et se prévient d'abord par des requêtes paramétrées.

Fiche 04 Sécurité des données

Base légale du RGPD (article 6.1.f) qui autorise un traitement de données personnelles sans consentement lorsque l'organisme poursuit un intérêt licite, précis et réel, que le traitement est nécessaire et que les droits des personnes ne prévalent pas. Elle suppose une mise en balance documentée.

Fiche 01 Gouvernance & conformité

Dispositif qui permet à un abonné d'utiliser son téléphone mobile à l'étranger, ou dans une zone nationale non couverte par son opérateur, grâce aux accords passés avec d'autres opérateurs. Depuis le 1er janvier 2026, un appel venu de l'étranger avec un numéro mobile français non authentifié s'affiche « numéro masqué ».

Fiche Se protéger

Modification non autorisée d'iOS (iPhone, iPad) qui contourne les protections de sécurité d'Apple, par exemple pour installer des logiciels depuis des dépôts tiers. Elle supprime des couches de protection de l'appareil et l'expose aux logiciels malveillants, dont les logiciels espions. Son pendant sur Android est le root.

Fiche Se protéger

Logiciel ou matériel employé par un utilisateur malveillant pour capturer ce qu'une personne frappe au clavier, ce qui lui permet notamment d'obtenir des mots de passe. Il agit à l'insu de l'utilisateur et fait souvent partie d'une attaque plus large.

Fiche Se protéger

Registre où un consommateur inscrit son numéro pour refuser le démarchage téléphonique, que les professionnels devaient consulter avant d'appeler. En France, Bloctel, en service depuis le 1er juin 2016, a été supprimé le 11 août 2026 et remplacé par un régime de consentement préalable issu de la loi du 30 juin 2025.

Fiche Se protéger

Programme dont l'objectif est de collecter des informations sur un appareil et sur l'usage qui en est fait, puis de les transmettre à un tiers, à l'insu de son propriétaire. Le stalkerware est un logiciel espion utilisé pour surveiller un proche, notamment un conjoint.

Fiche Se protéger

Format de stockage sur bande magnétique en cartouche, conçu à la fin des années 1990 par un consortium d'industriels dont IBM et HP, pour la sauvegarde et l'archivage de gros volumes de données. Une cartouche rangée hors ligne échappe aux attaques en ligne comme les rançongiciels, et chaque génération augmente la capacité par cartouche.

041 04 Sécurité des données

Logiciel malveillant qui infecte un appareil sans aucune action de son propriétaire, ni clic ni ouverture de fichier. Il exploite une faille dans la façon dont une messagerie ou une application d'appel traite les données reçues, d'où des intrusions silencieuses comme celles du logiciel espion Pegasus. Les mises à jour rapides restent la première parade.

029 Se protéger

Données structurées qui décrivent d'autres données : auteur, dates de création et de modification, format, taille, droits d'utilisation. Elles servent à indexer, rechercher et gérer les contenus, mais peuvent aussi révéler des informations sensibles, comme le lieu et l'heure d'une photo ou l'auteur d'un document.

034 03 Data & IA

Principe du RGPD (article 5, paragraphe 1, point c) selon lequel les données personnelles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement : on ne collecte et ne conserve que ce qui sert réellement l'objectif poursuivi.

Fiche 01 Gouvernance & conformité

Sous Android, mode de démarrage dans lequel le téléphone n'exécute pas les applications tierces. Il sert à vérifier si une application installée est à l'origine d'un problème et à la désinstaller plus facilement, y compris lorsqu'elle est malveillante. On en sort en redémarrant normalement.

Fiche Se protéger

Au sens de l'AI Act (article 3, point 63), modèle d'IA présentant une généralité significative, capable d'exécuter de manière compétente un large éventail de tâches distinctes et pouvant être intégré dans une variété de systèmes ou d'applications en aval, y compris lorsqu'il est entraîné par auto-supervision à grande échelle.

Fiche 01 Gouvernance & conformité

Méthode d'analyse prédictive qui estime, à partir de données historiques sur des individus et leurs actions, la probabilité qu'une personne accomplisse une action donnée, comme acheter un produit. Elle sert notamment au marketing ciblé, à la détection de fraude et à la fidélisation des clients.

030 03 Data & IA

Principe de sécurité selon lequel chaque utilisateur, application ou compte ne reçoit que les droits et ressources strictement nécessaires à sa fonction. Il limite ce qu'un compte compromis ou une erreur de manipulation permet d'atteindre.

Fiche 04 Sécurité des données

Forme de spoofing téléphonique dans laquelle l'appelant affiche un numéro proche de celui de la personne appelée, avec le même indicatif et souvent les mêmes premiers chiffres, pour faire passer l'appel pour local ou familier et augmenter les chances qu'elle décroche.

Fiche Se protéger

Obligation du responsable du traitement de notifier à l'autorité de contrôle, dans les meilleurs délais et si possible sous 72 heures, toute violation de données personnelles susceptible d'engendrer un risque, et d'en informer les personnes concernées si le risque est élevé (articles 33 et 34 du RGPD).

Fiche 01 Gouvernance & conformité

Logiciel dont le code source est publié sous une licence qui permet de l'utiliser, de l'étudier, de le modifier et de le redistribuer, selon la définition de l'Open Source Initiative ; on parle aussi de logiciel libre, notion défendue par la Free Software Foundation. L'open source est un levier de souveraineté numérique, sans la garantir à lui seul.

Fiche 02 Souveraineté numérique

Operations Security : méthode qui consiste à identifier les informations critiques d'une activité, à analyser les menaces, les vulnérabilités et les risques, puis à appliquer des contre-mesures, en se plaçant du point de vue d'un adversaire. Elle cible les indices non classifiés, souvent issus de données ouvertes, qui permettent de reconstituer ce qu'on veut protéger.

Fiche 04 Sécurité des données

Open Source Intelligence, ou renseignement de source ouverte : collecte et analyse systématiques d'informations librement accessibles (presse, réseaux sociaux, registres publics, données techniques) pour en tirer un renseignement exploitable. Enquêteurs, équipes de sécurité et journalistes l'emploient, tout comme les cybercriminels qui préparent leurs attaques.

027 04 Sécurité des données

Fondation à but non lucratif qui publie gratuitement des référentiels de sécurité des applications, dont le Top 10 des risques les plus critiques pour les applications web, le Top 10 des API et l'ASVS, un standard d'exigences vérifiables utilisé pour les audits et les contrats.

Fiche 04 Sécurité des données

Logiciel espion développé par la société israélienne NSO Group et vendu à des gouvernements, capable d'accéder aux messages, aux courriels, aux appels, à la caméra et au micro d'un téléphone infecté. Certaines attaques n'exigent aucune action de la victime (zéro clic). Le Projet Pegasus a révélé en juillet 2021 une liste de plus de 50 000 numéros de cibles potentielles.

Fiche Se protéger

Cadre établi par l'Arcep, qui le gère sous son contrôle, pour organiser la numérotation téléphonique en France : l'Arcep y attribue des ressources de numérotation aux opérateurs et en fixe les règles d'usage, dont celles qui limitent les numéros qu'un client peut afficher comme numéro d'appelant.

Fiche 01 Gouvernance & conformité

Accès dissimulé, logiciel ou matériel, qui permet de se connecter de façon furtive à une machine distante. Elle peut être introduite par du code malveillant, comme elle peut résulter d'une mise en œuvre incorrecte d'un protocole.

Fiche Se protéger

Programme de renseignement de la NSA, révélé en juin 2013 grâce aux documents d'Edward Snowden, par lequel le gouvernement américain obtient, au titre de la section 702 du FISA, les communications liées à des cibles étrangères auprès de fournisseurs de services américains tenus de les lui remettre.

Fiche 02 Souveraineté numérique

Traitement automatisé de données personnelles qui consiste à les utiliser pour évaluer certains aspects personnels d'une personne, notamment pour analyser ou prédire son rendement au travail, sa situation économique, sa santé, ses préférences, sa fiabilité, son comportement ou ses déplacements (article 4.4 du RGPD).

Fiche 01 Gouvernance & conformité

Démarche qui vise à réduire l'exposition numérique des dirigeants et des cadres clés d'une organisation (informations personnelles accessibles, comptes, adresses présentes dans des fuites) afin de limiter les attaques qui les ciblent ou usurpent leur identité, comme la fraude au faux ordre de virement ou le hameçonnage ciblé.

Fiche 04 Sécurité des données

Traitement de données personnelles de façon qu'elles ne puissent plus être attribuées à une personne précise sans informations supplémentaires, conservées séparément et protégées (article 4, point 5, du RGPD). Les données pseudonymisées restent des données personnelles.

Fiche 01 Gouvernance & conformité

Code malveillant déployé par des attaquants pour obtenir le paiement d'une rançon : il empêche la victime d'accéder à ses fichiers, généralement en les chiffrant, puis lui propose le moyen de les déchiffrer ou de les récupérer contre paiement. Les données sont souvent aussi copiées, ce qui permet une seconde extorsion.

Fiche 04 Sécurité des données

Document tenu par le responsable de traitement et le sous-traitant qui recense leurs activités de traitement de données personnelles : finalités, catégories de données et de personnes, destinataires, transferts, durées de conservation. Prévu à l'article 30 du RGPD, il sert à piloter et à prouver la conformité.

Fiche 01 Gouvernance & conformité

Stratégie de sauvegarde qui complète la règle 3-2-1 (trois copies des données, sur deux types de supports différents, dont une hors site) par une copie supplémentaire conservée hors ligne, déconnectée du réseau, afin qu'une cyberattaque comme un rançongiciel ne puisse pas la compromettre.

046 04 Sécurité des données

Opération qui consiste à retrouver l'identité d'une personne à partir de données pseudonymisées ou présentées comme anonymes, en les recoupant avec d'autres informations. Si elle reste possible par des moyens raisonnables, les données demeurent des données personnelles soumises au RGPD.

Fiche 01 Gouvernance & conformité

Personne physique ou morale, autorité publique ou organisme qui détermine les finalités (pourquoi) et les moyens (comment) d'un traitement de données personnelles. Défini à l'article 4 du RGPD, il porte la responsabilité principale de la conformité et doit pouvoir la démontrer.

Fiche 01 Gouvernance & conformité

Publication, sur un forum de fuites ou un site d'extorsion, par laquelle un acteur affirme détenir des données issues d'une organisation. Émise par une partie intéressée à exagérer, elle ne suffit pas à établir une fuite : le volume annoncé, souvent compté en lignes, reste un majorant à vérifier.

076 04 Sécurité des données

Le règlement général sur la protection des données (règlement (UE) 2016/679) encadre tout traitement de données personnelles dans l'Union européenne. Applicable depuis le 25 mai 2018, il fixe des principes, des droits pour les personnes et des amendes pouvant atteindre 4 % du chiffre d'affaires mondial.

Fiche 01 Gouvernance & conformité

Arrêt rendu le 16 juillet 2020 par la Cour de justice de l'Union européenne, qui a invalidé le Privacy Shield, mécanisme encadrant les transferts de données personnelles vers les États-Unis, en raison du risque d'accès des services de renseignement américains. Il impose aussi de vérifier la protection du pays de destination, même avec des clauses contractuelles types.

020 02 Souveraineté numérique

Note de 0 à 10 attribuée à une vulnérabilité par le standard CVSS (Common Vulnerability Scoring System), maintenu par FIRST, pour exprimer sa gravité technique : de faible (0,1 à 3,9) à critique (9,0 à 10,0). Il décrit la faille, non le risque réel pour une organisation donnée.

Fiche 04 Sécurité des données

Découpage d'un réseau informatique en zones distinctes (postes, serveurs métiers, administration), entre lesquelles les échanges sont filtrés. Elle limite la propagation d'une intrusion et la possibilité, pour un attaquant, de rebondir d'un poste compromis vers des serveurs critiques.

Fiche 04 Sécurité des données

Ensemble des appareils, logiciels et services (messagerie, stockage en ligne, outils collaboratifs) utilisés pour le travail sans avoir été recensés ni validés par le service informatique. Ils échappent à la gestion des actifs, aux sauvegardes et à la supervision de l'organisation.

Fiche 04 Sécurité des données

Outil de supervision de la sécurité (système de gestion des informations et des événements de sécurité) qui centralise les journaux des pare-feux, serveurs et applications, puis les met en corrélation pour détecter en temps quasi réel les comportements suspects et lever des alertes. Il conserve l'historique utile aux enquêtes après incident et aux rapports de conformité.

038 04 Sécurité des données

Signals Intelligence, ou renseignement d'origine électromagnétique (ROEM) : renseignement tiré de l'interception de signaux, qu'il s'agisse de communications entre personnes ou entre machines, d'émissions radio ou radar, ou de l'étude des réseaux de télécommunications.

Fiche 04 Sécurité des données

Service public gratuit de la DGCCRF qui permet aux consommateurs de signaler un problème rencontré avec une entreprise, dont le démarchage abusif. Depuis la fin de Bloctel, le 11 août 2026, il sert aussi à signaler les appels commerciaux reçus sans consentement préalable.

Fiche Se protéger

Fraude par laquelle un escroc, se faisant passer pour l'abonné auprès de son opérateur, obtient une nouvelle carte SIM liée à son numéro. Il reçoit alors les appels, les SMS et les codes à usage unique de la victime, ce qui lui permet d'accéder à ses comptes en ligne.

Fiche Se protéger

Site, le plus souvent accessible via Tor, sur lequel un groupe de rançongiciel nomme ses victimes et publie ou menace de publier les données volées afin de les pousser à payer (double extorsion). Le CERT-FR parle de site de divulgation ; en anglais, on dit leak site.

Fiche 04 Sécurité des données

Hameçonnage mené par SMS (contraction de « SMS » et de « phishing ») : un message usurpe l'identité d'une administration, d'une banque ou d'un service de livraison pour inciter son destinataire à cliquer sur un lien, à rappeler un numéro ou à communiquer des données personnelles ou bancaires.

Fiche Se protéger

Faux compte en ligne, doté d'une identité fictive crédible, qu'un utilisateur emploie pour agir sans révéler sa vraie identité. Il sert à des recherches en sources ouvertes (OSINT), mais aussi à l'ingénierie sociale, à la désinformation et à la manipulation des plateformes. Il enfreint les règles des réseaux sociaux, qui bannissent les comptes repérés.

028 04 Sécurité des données

Social Media Intelligence : renseignement tiré des réseaux sociaux, terme proposé en 2012 par David Omand, Jamie Bartlett et Carl Miller. Il couvre aussi bien l'exploitation non intrusive de publications ouvertes que l'accès intrusif à des contenus privés, réservé à des pouvoirs étatiques.

Fiche 04 Sécurité des données

Donnée brute, document ou témoignage direct qui constitue l'origine d'une information, avant qu'un média ou un commentateur ne la relaie et n'en fasse une source secondaire. Pour une fuite de données, il s'agit du communiqué de l'organisation, de la notification aux personnes ou de la décision d'une autorité.

Fiche 04 Sécurité des données

Personne ou organisme qui traite des données personnelles pour le compte du responsable de traitement, sur instruction documentée de celui-ci. Défini à l'article 4 du RGPD, il est encadré par un contrat obligatoire (article 28) et porte des obligations propres, notamment de sécurité.

Fiche 01 Gouvernance & conformité

Capacité d'un État, d'une organisation ou d'une entreprise à maîtriser ses infrastructures numériques et à prendre ses décisions technologiques en toute indépendance. Elle ne se confond pas avec l'isolement : il s'agit de pouvoir choisir ses dépendances, sur les plans technique, juridique, économique, politique et culturel.

060 02 Souveraineté numérique

Technique de fraude qui consiste à falsifier le numéro affiché sur le téléphone du destinataire d'un appel, souvent grâce à des passerelles VoIP, pour se faire passer pour une banque, une administration ou un particulier. Le numéro affiché n'est donc jamais une preuve d'authenticité de l'appelant.

062 Se protéger

Le SSO (Single Sign-On, authentification unique) permet à un utilisateur de s'authentifier une seule fois auprès d'un fournisseur d'identité pour accéder à plusieurs services, sans ressaisir ses identifiants. Il s'appuie sur des protocoles comme SAML 2.0 ou OpenID Connect.

Fiche 04 Sécurité des données

Système de traitement automatisé de données : notion du Code pénal (articles 323-1 et suivants) qui protège les systèmes informatiques contre l'accès ou le maintien frauduleux, l'entrave à leur fonctionnement et la manipulation frauduleuse de données. L'accès frauduleux est puni de trois ans d'emprisonnement et de 100 000 euros d'amende.

Fiche 04 Sécurité des données

Opération qui retire d'un fichier ses métadonnées (nom de l'auteur, logiciel utilisé, chemins de fichiers, historique de révisions, géolocalisation) avant sa publication ou son envoi. Appelée metadata stripping, ou sanitization lorsqu'elle est complète, elle limite ce qu'un tiers apprend de l'organisation à partir de documents d'apparence anodine.

Fiche 04 Sécurité des données

Ensemble des points d'un système, d'un composant ou d'un environnement par lesquels un attaquant peut tenter d'entrer, d'agir ou d'extraire des données (services exposés, comptes, applications, équipements). Plus elle est étendue, plus les occasions d'intrusion se multiplient.

Fiche 04 Sécurité des données

Exigence de l'AI Act (article 14, intitulé « Contrôle humain » dans le texte français) : un système d'IA à haut risque doit pouvoir être effectivement supervisé par des personnes physiques pendant son utilisation, capables de comprendre ses sorties, de les ignorer ou de les inverser, d'intervenir ou de l'interrompre.

Fiche 01 Gouvernance & conformité

Au sens de l'AI Act (article 3, point 1), système automatisé conçu pour fonctionner à différents niveaux d'autonomie et qui, pour des objectifs explicites ou implicites, déduit des entrées qu'il reçoit comment générer des sorties (prédictions, contenus, recommandations ou décisions) pouvant influencer des environnements physiques ou virtuels.

Fiche 01 Gouvernance & conformité

Au sens de l'AI Act (article 6), système d'IA utilisé comme composant de sécurité d'un produit réglementé (annexe I) ou relevant d'un domaine listé à l'annexe III (recrutement, éducation, accès au crédit, biométrie, justice). Il est soumis à des exigences renforcées : gestion des risques, qualité des données, documentation, contrôle humain.

Fiche 01 Gouvernance & conformité

Ensemble des matériels et logiciels qui surveillent ou commandent des équipements physiques : automates industriels, gestion technique du bâtiment, froid commercial, contrôle d'accès. Conçus pour la fiabilité et la longévité, souvent gérés hors de la direction informatique, ils ont une durée de vie bien supérieure à celle de leurs correctifs de sécurité.

Fiche 04 Sécurité des données

Négociation informelle entre le Parlement européen, le Conseil de l'Union européenne et la Commission, destinée à dégager un accord provisoire sur un texte législatif. Cet accord doit ensuite être confirmé, approuvé par la commission compétente du Parlement puis par sa plénière, et enfin par le Conseil avant de devenir une loi.

Fiche 01 Gouvernance & conformité

Pratique abusive qui consiste à enregistrer un nom de domaine très proche de celui d'une marque ou d'une organisation, en exploitant une faute de frappe ou une graphie voisine. Le faux site capte des visiteurs et sert souvent au hameçonnage ou à la diffusion de logiciels malveillants.

Fiche 04 Sécurité des données

Utilisation, sans son accord, de l'identité d'une personne ou de données permettant de l'identifier (nom, pièces d'identité) pour agir à sa place : ouvrir un compte, souscrire un crédit, escroquer ses proches. L'article 226-4-1 du Code pénal la punit d'un an de prison et de 15 000 euros d'amende lorsqu'elle vise à troubler sa tranquillité ou à nuire à son honneur.

Fiche Se protéger

Prise de contrôle d'un compte (messagerie, réseau social, service en ligne ou accès professionnel) par un tiers malveillant, au détriment de son titulaire légitime, avec des identifiants trop simples, réutilisés ou obtenus par hameçonnage. En anglais, on parle d'account takeover.

Fiche 04 Sécurité des données

Escroquerie par téléphone (contraction de « voice » et « phishing ») dans laquelle un faux interlocuteur, se faisant passer pour une banque, une administration ou un fournisseur, pousse la victime à révéler des informations sensibles comme des coordonnées bancaires ou des codes de validation. Elle débute souvent par un SMS ou un e-mail invitant à rappeler un numéro.

047 Se protéger

Voix sur IP (Voice over Internet Protocol) : technologie qui achemine des communications téléphoniques sous forme de données sur des réseaux IP, privés ou publics, à la place des liaisons téléphoniques traditionnelles. Aussi appelée téléphonie sur IP (ToIP), elle rapproche réseaux de données et de téléphonie, avec les risques de l'un et de l'autre.

Fiche 04 Sécurité des données

Usage de l'identité d'une personne (nom, numéro d'assuré, informations d'assurance maladie) pour obtenir à sa place des soins, des médicaments ou des remboursements. Les informations de santé de l'imposteur peuvent alors se mêler à son dossier médical et affecter ses soins comme ses droits à l'assurance.

Fiche Se protéger

Vulnérabilité qui n'a fait l'objet d'aucune publication ou n'a reçu aucun correctif au moment où elle est exploitée. Les utilisateurs ne disposent donc pas encore d'une mise à jour pour s'en protéger. L'exploit zero-day désigne le code qui s'en sert pour attaquer un système.

Fiche 04 Sécurité des données

Protocole de requête et de réponse, et par extension annuaire public, qui donne accès aux données d'enregistrement d'un nom de domaine, comme son titulaire et ses contacts. Depuis le RGPD, l'accès aux données personnelles y est restreint, et le protocole RDAP le remplace pour les extensions génériques.

Fiche 04 Sécurité des données

Modèle de sécurité qui n'accorde aucune confiance implicite à un utilisateur, un appareil ou un système du seul fait de sa position sur le réseau : chaque demande d'accès est authentifiée et autorisée avant l'ouverture d'une session vers une ressource. Il est formalisé par le NIST (SP 800-207) et détaillé par l'ANSSI.

Fiche 04 Sécurité des données