Sanction CNIL de 250 000€ à l’encontre d’Infogreffe

La décision: Délibération SAN-2022-018 du 8 septembre 2022
Type de sanction: Sanction financière de 250 000 €
Origine(s) du contrôle: Plainte d’une personne indiquant que le site web » infogreffe.fr » conserve les mots de passe des utilisateurs en clair et qu’elle a été capable d’obtenir son mot de passe par téléphone en donnant simplement son nom à l’interlocutrice du service d’assistance téléphonique.
Type de contrôle: Contrôle en ligne
Textes visés: Article 5, paragraphe 1, e) du RGPD (durée de conservation), article 32 du RGPD (sécurité)

Bonnes pratiques à retenir :

Sur les durées de conservation (Article 5, paragraphe 1, e) du RGPD):

Respecter les durées de conservation indiquées dans la politique de confidentialité et/ou sa politique interne de conservation ;
Identifier les finalités et les durées de conservation correspondantes dans sa politique de confidentialité ;
Vérifier qu’une fois la finalité du traitement atteinte, les données pertinentes sont placées en archivage intermédiaire ou séparées de la base active pour le respect d’obligations légales ou à des fins précontentieuses ou contentieuses ;
Purger les comptes inactifs.

Sur la sécurité des données à caractère personnel (article 32 RGPD) :

Mettre en place une politique de gestion des mots de passe conforme à l’état de l’art (cf. délibérations et sanctions CNIL, recommandation ANSII)
Ne pas transmettre les mots de passe par mail
Ne pas conserver en clair dans sa base de données les mots de passe ni les questions et réponses secrètes utilisés lors de la procédure de réinitialisation des mots de passe par les utilisateurs
Confirmer à l’utilisateur la modification de son mot de passe

Références :

Ressources :