Conservation des données et sécurité des mots de passe : les manquements sanctionnés par la CNIL

La décision retient un manquement à l’article 6-5° de la loi n° 78-17 du 6 janvier 1978, qui impose une conservation des données n’excédant pas la durée nécessaire aux finalités du traitement. La société devait notamment purger les comptes inactifs et ne pas conserver les cryptogrammes visuels au-delà de la transaction. La persistance de données non purgées et de cryptogrammes après l’expiration du délai de mise en demeure suffit à caractériser le manquement, même lorsque le nombre de comptes concernés est limité.

L’article 34 de la même loi impose au responsable du traitement de prendre les précautions utiles pour préserver la sécurité et la confidentialité des données. La formation restreinte retient l’acceptation de mots de passe d’un seul caractère, la transmission en clair des identifiants et mots de passe, ainsi que le stockage du sel avec les données de mot de passe, contrairement aux mesures prescrites. Ces exigences découlent directement de l’obligation légale de sécurité et non d’une application anticipée d’une recommandation ultérieure.

La mise en conformité intervenue avant l’audience est prise en compte pour fixer la sanction à 15 000 euros, sans effacer les manquements persistants après le délai imparti. La publicité de la décision est justifiée par leur durée et par la nécessité de rappeler l’effectivité des mesures annoncées à la CNIL.

⬇️Télécharger la décision version officielle

La société conservait des comptes inactifs et des cryptogrammes bancaires malgré une mise en demeure. Elle acceptait aussi des mots de passe d’un seul caractère et transmettait certains identifiants et mots de passe en clair, le sel n’étant pas stocké séparément. Bien qu’une mise en conformité ultérieure ait été établie, la CNIL a retenu deux manquements persistants et prononcé une sanction de 15 000 euros publiée.

Une société spécialisée dans le transport de particuliers a fait l’objet d’une plainte concernant la conservation de coordonnées bancaires lors de réservations en ligne. Un contrôle sur place a révélé plusieurs manquements à la loi Informatique et Libertés. Une mise en demeure lui a imposé de définir des durées de conservation adaptées, de supprimer les cryptogrammes après la transaction, de purger les comptes supprimés ou inactifs et de renforcer la sécurité des mots de passe.

Lors d’un second contrôle, des comptes inactifs demeuraient encore dans le système et des cryptogrammes étaient toujours conservés. Le système acceptait également des mots de passe d’un seul caractère et transmettait encore certains identifiants et mots de passe en clair. Le sel n’était pas stocké dans un espace distinct.

La formation restreinte a retenu deux manquements persistants, malgré la mise en conformité finalement établie par un constat d’huissier, et a prononcé une sanction pécuniaire de 15 000 euros ainsi que la publicité de la décision.

• Définir une durée de conservation adaptée à chaque finalité.
• Purger les comptes concernés dans le délai fixé.
• Supprimer les cryptogrammes après la réalisation de la transaction.
• Imposer des mots de passe suffisamment robustes.
• Ne pas transmettre les identifiants et mots de passe en clair.
• Stocker le sel dans un espace distinct des mots de passe.
• Établir effectivement la mise en conformité par des éléments probants.

• Procès-verbal du contrôle sur place du 5 mars 2015.
• Constat du second contrôle du 12 décembre 2016.
• Présence de comptes inactifs encore non purgés.
• Acceptation de mots de passe composés d’un seul caractère.
• Transmission en clair constatée lors du second contrôle.
• Constat d’huissier établissant l’absence ultérieure de cryptogrammes stockés.

Le responsable du traitement demeure sanctionnable lorsque les mesures correctives sont mises en œuvre après l’expiration du délai fixé. La mise en conformité finale peut toutefois réduire le montant de la sanction, sans exclure sa publicité.n

• Sanction pécuniaire de 15 000 euros pour le responsable du traitement.
• Publicité de la décision en raison de la persistance des manquements.
• Suppression des cryptogrammes visuels conservés en base.
• Purge des comptes inactifs et définition des durées de conservation.
• Renforcement des règles de mots de passe et de leur stockage.

À faire

• Définir une durée par finalité de traitement.
• Purger les comptes supprimés ou inactifs.
• Supprimer les cryptogrammes après paiement.
• Imposer des mots de passe robustes.
• Stocker le sel séparément des mots de passe.

À éviter

• Conserver des données après expiration du délai nécessaire.
• Maintenir des cryptogrammes en base.
• Accepter des mots de passe d’un seul caractère.
• Transmettre identifiants et mots de passe en clair.
• Attendre le contrôle pour documenter les mesures correctives.

La durée de conservation proportionnée aux finalités

nL’article 6-5° de la loi n° 78-17 du 6 janvier 1978 impose une conservation n’excédant pas la durée nécessaire aux finalités du traitement. La formation restreinte retient le manquement malgré le nombre limité de comptes non purgés et la suppression ultérieure des cryptogrammes, car le délai de mise en conformité était expiré et aucun cryptogramme ne devait encore être stocké.n

La sécurité et la confidentialité des données personnelles

nL’article 34 de la loi n° 78-17 impose les précautions utiles au regard des données et des risques. La formation retient l’acceptation de mots de passe d’un seul caractère, la transmission en clair des identifiants et mots de passe et l’absence de stockage du sel dans un espace distinct. Ces exigences relèvent de l’article 34, sans application anticipée de la recommandation ultérieure sur les mots de passe.n

La prise en compte de la mise en conformité dans la sanction

nLa mise en conformité établie au 13 février 2017 est prise en compte pour fixer la sanction à 15 000 euros, sans effacer les manquements persistants au-delà du délai de mise en demeure. La publicité est justifiée par leur persistance et par la nécessité de sensibiliser les responsables de traitement.

Article 6-5° de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978