AgentPublic/cnil huggingface dataset:
77. À défaut, la Commission considère que permet également d’assurer un niveau de sécurité et de confidentialité suffisant une authentification reposant sur un mot de passe présentant une entropie d’au moins 50 bits, soit par exemple un mot de passe d’une longueur minimum de huit caractères, composé de trois des quatre catégories de caractères (majuscules, minuscules, chiffres et caractères spéciaux, ces derniers devant être pris dans un ensemble d’au moins 11 caractères), si elle s’accompagne d’un mécanisme de restriction d’accès au compte comme, par exemple, la temporisation d’accès au compte après plusieurs échecs (suspension temporaire de l’accès dont la durée augmente à mesure des tentatives), la mise en place d’un mécanisme permettant de se prémunir contre les soumissions automatisées et intensives de tentatives (ex : " captcha ") et/ou le blocage du compte après plusieurs tentatives d’authentification infructueuses (au maximum dix). La CNIL a à cet égard mis à la disposition des acteurs un outil en ligne permettant de calculer, de manière simple, l’entropie des mots de passe.
78. La Commission précise également, dans la délibération susvisée, que les acteurs peuvent mettre en œuvre d’autres mesures de sécurité que celles décrites dans cette recommandation s’ils sont en capacité de montrer qu’elles garantissent un niveau de sécurité au moins équivalent, et précise qu’au regard de l’état de l’art, tout responsable de traitement utilisant des mots de passe doit garantir un niveau minimal de sécurité reposant, d’une part, sur un niveau d’entropie suffisant, le cas échéant avec un mécanisme de restriction d'accès au compte, et d’autre part, sur des règles de mise en œuvre et de gouvernance permettant de préserver la sécurité du mot de passe tout au long de son cycle de vie.
79. La rapporteure relève que, lors du contrôle en ligne du 5 janvier 2023, la délégation a constaté que lors de la création d’un compte utilisateur sur le site web " [...] ", un mot de passe composé de huit caractères, avec la seule contrainte de devoir contenir au moins un chiffre, était accepté. Elle note également que la société a confirmé les constatations effectuées par la délégation de contrôle et a ajouté qu’elle utilisait un outil nommé " […] ", permettant le blocage des tentatives d’attaque par force brute des mots de passe, ce blocage s’effectuant soit par l’affichage d’un captcha, soit par le blocage des appels à la page de login depuis l’adresse IP appelante. La rapporteure considère que de tels mots de passe, sans critère de complexité suffisante, ne permettaient pas d’assurer la sécurité des données à caractère personnel traitées par la société et d’empêcher que des tiers non autorisés y aient accès.
80. La société ne conteste pas l’insuffisante robustesse des mots de passe constatée lors du contrôle en ligne de la CNIL, mais déclare avoir mis en place des actions correctives dès le 6 novembre 2024. Elle précise ainsi avoir renforcé les exigences de complexité des mots de passe en imposant une combinaison de huit caractères incluant un caractère spécial, un chiffre, des lettres majuscules et minuscules afin d’atteindre une entropie minimale de 50 bits. Elle fait également valoir qu’elle a procédé, en juin 2025, à un nouveau renforcement des mots de passe en imposant qu’ils soient composés de douze caractères minimum et en étendant le panel de caractères spéciaux, celui-ci étant désormais fixé à 37, afin d’atteindre une entropie de 80 bits.
81. La formation restreinte relève qu’il ressort de l’instruction que les mots de passe des personnes créant un compte sur le site web " […] " (lequel contient les nom, prénom, date de naissance, numéro de téléphone, adresse électronique et adresse postale des personnes concernées) pouvaient être, à l’époque du contrôle en ligne du 5 janvier 2023, composés de huit caractères, le seul critère de complexité imposé aux utilisateurs étant d’intégrer un chiffre à leur mot de passe. Ainsi, les mots de passe générés selon les critères définis par la société présentaient une entropie de 26 bits, alors pourtant que la CNIL recommande une entropie d’au moins 50 bits quand l’authentification prévoit un mécanisme de restriction de l’accès au compte.
82. La formation restreinte considère qu’une telle construction des mots de passe ne permettait pas d’assurer la sécurité des données et d’empêcher que des tiers non autorisés y aient accès. Si, à la suite des contrôles, la société a modifié sa politique de mots de passe pour exiger une combinaison de huit caractères incluant un caractère spécial, un chiffre, des lettres majuscules et minuscules, puis douze caractères avec une extension du panel de caractères spéciaux, la formation restreinte relève que de tels mots de passe (qui présentaient une entropie de 26 bits au moment des contrôles) étaient insuffisants à assurer la sécurité des données traitées au regard de l’état de l’art.
83. Elle rappelle, comme l’a souligné la rapporteure, que la société traitait un volume important de données à caractère personnel puisque, d’après les informations communiquées, elle traitait les données de plus de 10,8 millions de membres du programme de fidélité, accessibles depuis les comptes client, telles les noms, prénoms, dates de naissance, numéros de téléphone, adresses électronique et adresses postales des personnes concernées.
84. Au vu de ce qui précède, la formation restreinte considère qu’au jour des contrôles, la politique de mots de passe de la société X ne permettait pas d’assurer la sécurité des données à caractère personnel traitées, ce qui constitue un manquement aux dispositions de l’article 32 du RGPD.
85. La formation note qu’en cours de procédure, la société s’est mise en conformité sur ce point en adoptant une nouvelle politique de mots de passe permettant désormais d’assurer un niveau de sécurité conforme à l’état de l’art. Dans ces conditions, le prononcé d’une injonction, tel que proposé par la rapporteure, n’apparait plus opportun. 
2) Sur le stockage des mots de passe
86. La conservation des mots de passe de manière sécurisée constitue une précaution élémentaire en matière de protection des données à caractère personnel. Dès 2013, l’ANSSI alertait et rappelait les bonnes pratiques s’agissant de la conservation des mots de passe en indiquant que ces derniers doivent " être stockés sous une forme transformée par une fonction cryptographique à sens unique (fonction de hachage) et lente à calculer telle que PBKDF2 " et que " la transformation des mots de passe doit faire intervenir un sel aléatoire pour empêcher une attaque par tables précalculées " (ANSSI, " Bulletin d’actualité CERTA-2013-ACT-046 ", 15 novembre 2013, https://www.cert.ssi.gouv.fr/actualite/CERTA-2013-ACT-046/). L’ANSSI précisait également dans ses recommandations relatives à l’authentification multifacteur et aux mots de passe que " les fonctions de hachage cryptographique recommandées, comme la famille SHA2, sont des fonctions très rapides à exécuter, ce qui, dans le contexte du stockage des mots de passe, est un avantage pour les attaquants, leur permettant de tester de nombreux mots de passe " (https://cyber.gouv.fr/publications/recommandations-relatives-lauthentification-multifacteur-et-aux-mots-de-passe).
87. De même, dans sa délibération n° 2017-012 du 19 janvier 2017, la CNIL indiquait déjà qu’elle " recommande [que le mot de passe] soit transformé au moyen d'une fonction cryptographique non réversible et sûre (c'est-à-dire utilisant un algorithme public réputé fort dont la mise en œuvre logicielle est exempte de vulnérabilité connue), intégrant l'utilisation d'un sel ou d'une clé ", recommandation confirmée dans sa délibération n° 2022-100 du 21 juillet 2022. En effet, les fonctions de hachage non robustes présentent des vulnérabilités connues qui ne permettent pas de garantir l’intégrité et la confidentialité des mots de passe en cas d’attaque par force brute après compromission des serveurs qui les hébergent. La CNIL recommande également, dans son " Guide RGPD du développeur " publié le 27 janvier 2020, que le stockage d’un mot de passe se fasse " au moyen d’une librairie éprouvée, comme Argon2, yescrypt, scrypt, balloon, bcrypt et, dans une moindre mesure, PBKDF2 ".
88. Ainsi, le stockage des mots de passe des utilisateurs doit être réalisé de façon sécurisée. A cet égard, il est recommandé de stocker les empreintes de mots de passe plutôt que les mots de passe en clair. Pour obtenir une telle empreinte de mot de passe, il est en principe nécessaire de recourir à une fonction de hachage cryptographique mathématiquement éprouvée et lente à exécuter, tout en utilisant un sel aléatoire et long pour chaque mot de passe (d’une longueur d’au moins 128 bits), et ce, afin de se prémunir contre des attaquants qui auraient précalculé des tables de correspondance entre les mots de passe et leurs empreintes respectives.
89. La rapporteure relève que les mots de passe des comptes utilisateurs du site web de la société étaient stockés hachés avec la fonction de hachage SHA256 et l’ajout d’un sel. Elle considère que de telles modalités de stockage constituent un manquement à l’article 32 du RGPD, dans la mesure où cette fonction n’est pas conçue pour permettre le stockage sécurisé des mots de passe puisque sa rapidité de calcul pourrait permettre à un attaquant ayant accès aux mots de passe hachés de procéder à la création d’une table de correspondance entre tous les mots de passe les plus courants et leur dérivé résultant de l’exécution de la fonction SHA256, afin de retrouver les mots de passe originaux à partir de leur version hachée dans la base de données.
90. En défense, si la société ne conteste pas les modalités de stockage des mots de passe relevées lors des opérations de contrôle, elle précise néanmoins que le sel utilisé était composé d’une chaîne alphanumérique de 60 caractères, soit 480 bits, de l’adresse de courriel, du mot de passe de l’utilisateur ainsi que d’un composant aléatoire. Elle soutient que cette solution répondait aux recommandations de l’ANSSI, qui suggère " un sel aléatoire long d’au moins 128 bits ", ainsi qu’aux recommandations de la CNIL. Elle fait valoir qu’elle était dès lors convaincue agir en conformité avec les exigences réglementaires et conformément à l’état de l’art, et que les recommandations de l’ANSSI étaient ambivalentes dès lors qu’elle relevait que les " fonctions de hachage cryptographique (comme les familles SHA2 ou SHA3) semblaient au premier abord de bons outils pour stocker les mots de passe ".
91. Dans ses observations en réponse du 23 juin 2025, la société précise avoir procédé à la refonte de son système de stockage et avoir remplacé la fonction SHA256 par Argon2.
92. La formation restreinte rappelle que la fonction de hachage SHA256 appartenant à la famille SHA2 n’est pas considérée comme adaptée pour un stockage sécurisé des mots de passe, comme le relève également l’ANSSI dans sa recommandation R29 du 8 octobre 2021 relatives à l’authentification multifacteur et aux mots de passe. Elle considère qu’il existe un risque substantiel qu’un attaquant, qui accède au système d’information de la société et aux empreintes des mots de passe de ses utilisateurs, trouve très rapidement le mot de passe correspondant à chaque empreinte conservée par la société dans la mesure où l’algorithme de hachage est très rapide et ne peut ralentir l’attaquant.
93. Elle relève que si l’ajout d’un sel permet d’augmenter le nombre d’empreintes de mots de passe possibles et de se prémunir contre des attaquants utilisant des tables précalculées, celui-ci n’a aucune incidence sur le temps de recherche des empreintes stockées. Si l’ANSSI indique, dans ses recommandations précitées, qu’il est recommandé d’utiliser un sel choisi aléatoirement pour chaque compte, d’une longueur d’au moins 128 bits, elle n’en déduit pas que les mots de passe peuvent être stockées avec la fonction de hachage SHA256, fonction qu’elle considère comme étant très rapide à exécuter et constituant, dans le contexte du stockage des mots de passe, un avantage pour les attaquants. De même, la CNIL indiquait dans sa délibération du 21 juillet 2022, que tout mot de passe doit être, avant d’être stocké, préalablement transformé au moyen d’une fonction cryptographique spécialisée, non réversible et sûre, intégrant un sel.
94. En l’espèce, la formation restreinte considère que, si la société avait mis en place, avec le recours à un sel aléatoire d’une longueur de 128 bits, une mesure de sécurité recommandée, celle-ci demeurait insuffisante dès lors que les mots de passe étaient chiffrés avec une fonction de hachage qui demeurait trop rapide à exécuter pour un attaquant.
95. La formation restreinte considère par conséquent qu’il revenait à la société X d’utiliser une fonction de hachage lente à calculer pour le stockage des mots de passe, tel qu’il ressort clairement des recommandations de l’ANSSI et de la CNIL précitées, afin de permettre en cas d’attaque, par exemple par force brute ou par dictionnaire, de ralentir un attaquant dans son identification des mots de passe. 
96. Au vu de ce qui précède, la formation restreinte considère qu’au jour des contrôles, les modalités de stockage des mots de passe de la société X ne permettaient pas d’assurer leur confidentialité, ce qui constitue un manquement aux dispositions de l’article 32 du RGPD.
97. La formation note qu’en cours de procédure, la société s’est mise en conformité sur ce point en modifiant son système de stockage des mots de passe, celui-ci permettant désormais d’assurer la sécurité et la confidentialité des données. Dans ces conditions, le prononcé d’une injonction, tel que proposé par le rapporteur, n’apparait plus opportun. 
F. Sur le manquement à l’obligation d’effectuer une analyse d’impact relative à la protection des données en application de l’article 35 du RGPD
98. En droit, l’article 35, paragraphe 1 du RGPD dispose que " lorsqu'un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement effectue, avant le traitement, une analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel. Une seule et même analyse peut porter sur un ensemble d'opérations de traitement similaires qui présentent des risques élevés similaires ".
99. Aux termes du paragraphe 4 de cet article, " l'autorité de contrôle établit et publie une liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise […] ".
100. Selon le considérant 91 du RGPD, une analyse d’impact " devrait s’appliquer, en particulier, aux opérations de traitement à grande échelle qui visent à traiter un volume considérable de données à caractère personnel au niveau régional, national ou supranational, qui peuvent affecter un nombre important de personnes concernées […] ".
101. À titre d’éclairage, les lignes directrices du Groupe de travail de l’article 29 (dit " G29 " devenu le Comité Européen de Protection des Données) concernant l’analyse d’impact relative à la protection des données (AIPD) et la manière de déterminer si le traitement est " susceptible d’engendrer un risque élevé " aux fins du règlement (UE) 2016/679, modifiées et adoptées en dernier lieu le 4 octobre 2017, ont fixé une liste de neuf critères à prendre en compte pour donner une vision plus concrète des opérations de traitement qui nécessitent une analyse d’impact du fait d’un risque inhérent élevé. Parmi ces critères figurent notamment la collecte de données à caractère personnel à grande échelle et le croisement ou la combinaison d’ensembles de données.
102. Ces lignes directrices ajoutent que, " dans la plupart des cas, le responsable du traitement peut considérer qu’un traitement satisfaisant à deux critères nécessite une AIPD ". 
103. Dans le sillage du CEPD, la CNIL a établi, dans sa délibération n° 2018-326 du 11 octobre 2018, des lignes directrices sur les analyses d’impact relatives à la protection des données. La délibération rappelle les hypothèses dans lesquelles une AIPD est nécessaire et se réfère notamment aux critères identifiés par le CEPD.
104. En outre, la CNIL rappelle, dans cette délibération, que " de manière générale, un traitement qui rencontre au moins deux des critères mentionnés ci-dessus doit faire l’objet d'une AIPD ".
105. Enfin, dans les lignes directrices 8/2020 sur le ciblage des utilisateurs de médias sociaux précitées, le CEPD précise qu’en cas de responsabilité conjointe, " les responsables conjoints du traitement doivent évaluer si une AIPD est nécessaire. Si une AIPD est nécessaire, ils sont tous deux responsables de satisfaire cette obligation " (§108).
106. La rapporteure relève que la société n’avait pas réalisé d’analyse d’impact avant de mettre en œuvre le traitement de publicité ciblée mené sur le réseau social Z. Elle estime que, dès lors qu’il impliquait un traitement de données à grande échelle et un croisement de données entre les sociétés X et Y, il était susceptible de présenter un risque élevé pour les droits et libertés des personnes physiques et qu’une analyse d’impact aurait dès lors dû être menée.
107. En défense, la société reconnait qu’elle n’avait pas effectué d’analyse d’impact avant la mise en œuvre du traitement susvisé, mais qu’une telle analyse est devenue sans objet, le traitement en cause ayant cessé. Elle précise par ailleurs avoir mis en place un suivi régulier de ses traitements, afin d’identifier ceux nécessitant à l’avenir la réalisation d’une AIPD.
108. La formation restreinte relève qu’en traitant les données de plus de 10,8 millions de personnes dans l’Union européenne, la société mettait en œuvre un traitement de données à caractère personnel à grande échelle et, qu’en outre, le traitement en cause impliquait un croisement de données entre celles détenues par la société X et celles détenues par le groupe Y. Ces éléments ne sont pas contestés par la société.
109. Dès lors, dans la mesure où le traitement en cause concerne un volume important de données, qu’il est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes et que deux des critères définis par le CEPD étaient réunis, la formation restreinte estime que la société aurait dû mener une analyse d’impact préalablement à la mise en œuvre des traitements relatifs aux opérations de publicité ciblée menées sur le réseau social Z, pour les besoins desquels elle transmettait des données au groupe Y. 
110. La formation restreinte considère ainsi qu’en s’abstenant de procéder à telle analyse, la société X a commis un manquement aux dispositions de l’article 35 du RGPD.
111. La formation restreinte relève que dans la mesure où la société a cessé toute transmission de données au groupe Y, la réalisation d’une AIPD relative aux traitements susvisés est aujourd’hui sans objet. Dans ces conditions, le prononcé d’une injonction, tel que proposé par le rapporteur, n’apparait plus opportun.
G. Sur le manquement à l’obligation d’informer les personnes concernées et d’obtenir leur consentement avant d’inscrire des informations (cookies) sur leur terminal de communications électroniques ou d’accéder à celles-ci (lecture des cookies) en application de l’article 82 de la loi Informatique et Libertés
112. En droit, l’article 82 de la loi Informatique et Libertés, transposant l’article 5, paragraphe 3 de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (ci-après, " la directive vie privée et communications électroniques " ou " la directive ePrivacy "), dispose que " tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant : 
1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
2° Des moyens dont il dispose pour s’y opposer.
Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.
Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :
1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
2° Soit, est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l’utilisateur ".
113. Cet article prévoit ainsi expressément que les opérations d’accès ou d’inscription d’informations dans le terminal d’un utilisateur ne peuvent avoir lieu qu’après que ce dernier a exprimé son consentement. De manière corrélative, cet article offre nécessairement à l’utilisateur la possibilité de refuser ce dépôt, ou de revenir sur son choix d’accepter que des cookies et/ou traceurs soient déposés sur son terminal en retirant son consentement.
114. Depuis l’entrée en application du RGPD, le " consentement " prévu à l’article 82 précité doit s’entendre au sens de l’article 4, paragraphe 11 du RGPD, c’est-à-dire qu’il doit être donné de manière libre, spécifique, éclairée et univoque et se manifester par un acte positif clair.
115. La formation restreinte rappelle également que seuls les traceurs strictement nécessaires à la fourniture d’un service de communication en ligne expressément demandé par l’utilisateur, et les traceurs ayant pour finalité exclusive de permettre ou de faciliter la communication par voie électronique, sont exemptés de cette obligation de recueil préalable du consentement pour leur dépôt ou leur lecture.
116. La rapporteure relève que les constatations réalisées par la délégation lors du contrôle en ligne du 5 janvier 2023 ont permis de mettre en évidence le dépôt, sur le terminal de l’utilisateur et avant que le consentement de ce dernier soit recueilli, de plusieurs cookies. Parmi ces cookies, figure le cookie " IADVIZE ", outil de tchat en ligne (" chatbox ") avec un conseiller expert qui permet une reconnaissance unique de l’utilisateur et un enregistrement de l’historique de conversation. Elle relève également que sept autres cookies permettent la personnalisation de contenus à partir de l’historique de navigation de l’utilisateur et l’analyse de sa navigation. Elle considère par conséquent que ces cookies sont soumis à l’exigence de recueil du consentement. Elle relève également que ces cookies n’étaient pas supprimés du navigateur après que l’utilisateur a refusé les cookies " non essentiels ", et qu’ils continuaient ainsi à être lus malgré ce refus. Elle considère que ces faits constituent un manquement à l’article 82 de la loi Informatique et Libertés.