Infogreffe a stocké 3,7 millions de mots de passe en clair pendant 19 ans — la CNIL l'a sanctionné de 250 000 €

Infogreffe est le groupement d'intérêt économique des greffiers des tribunaux de commerce français, qui vend des extraits certifiés d'entreprises via infogreffe.fr depuis 2001 (Minitel depuis 1987) — une mission de service public exercée par des officiers publics et ministériels. En décembre 2020, un utilisateur s'est plaint d'avoir récupéré son propre mot de passe par téléphone en ne donnant que son nom, et que le site stockait les mots de passe en clair. Le contrôle en ligne de la CNIL de mars 2021 a confirmé bien pire que la plainte.

Deux manquements. Conservation : la charte RGPD d'Infogreffe elle-même promettait la suppression 36 mois après la dernière commande d'un utilisateur, or au 1er mai 2021 la base contenait encore noms, adresses, numéros de téléphone, questions et réponses secrètes — et, pour les abonnés, IBAN et BIC — pour 946 023 membres et 17 558 abonnés inactifs depuis plus de trois ans. Aucune anonymisation automatique n'existait ; environ un quart des comptes dépassait la limite.

Sécurité : sous une politique de mots de passe inchangée depuis 2002, les mots de passe étaient limités à 8 caractères sans règles de complexité ni second facteur, envoyés par courriel en clair comme identifiants permanents, stockés en clair, et les utilisateurs n'étaient jamais informés d'un changement de mot de passe — chacun des 3,7 millions de comptes était exposé.

Les défenses ont aggravé la situation. Infogreffe soutenait que la sécurité n'est qu'une obligation de moyens sans violation réelle à démontrer, qualifiait les recommandations de la CNIL sur les mots de passe de droit souple et renvoyait la faute à son sous-traitant — sans jamais superviser ce sous-traitant non plus. La formation a qualifié les défaillances de structurelles : les travaux d'anonymisation et de sécurité avaient été reportés pour des échéances de conformité sans rapport, sans ressources supplémentaires, et les greffiers, en tant qu'officiers publics, devaient une rigueur particulière. Amende : 250 000 €, délibération publiée le 13 septembre 2022.

Amende de 250 000 € de la CNIL ; les 3,7 millions de comptes fonctionnaient avec des mots de passe de 8 caractères maximum sans second facteur ; 963 581 comptes dormants conservés au-delà de la limite de 36 mois fixée par le site lui-même

La règle de conservation n'existait que sur le papier : la limite de 36 mois était inscrite dans la charte d'Infogreffe, mais aucun processus de suppression ou d'anonymisation n'a jamais été mis en place, si bien que les enregistrements se sont accumulés indéfiniment.

La dette de sécurité de 2002 n'a jamais été réexaminée : un plafond de 8 caractères n'est réalisable qu'en stockant en clair, et il a silencieusement régi les 3,7 millions de comptes jusqu'en juin 2021.

L'envoi des mots de passe par courriel en clair, sans notification de changement, signifiait qu'une boîte aux lettres hameçonnée ou un appel téléphonique persuasif suffisait à prendre le contrôle total d'un compte — exactement ce que la plainte de décembre 2020 a démontré.

La direction a relégué le risque au second plan : les projets d'anonymisation et de sécurité ont été repoussés pour des travaux de conformité sans lien avec la vie privée, sans ressources supplémentaires, et la responsabilité a été imputée à un sous-traitant que personne ne contrôlait.

Une politique de conservation est une promesse dont le non-respect peut être sanctionné : Infogreffe a écrit une règle de 36 mois, puis n'a jamais mis en place la tâche de suppression. Et la dette de sécurité de 2002 ne s'efface pas d'elle-même avec le temps.

Infogreffe a purgé les comptes dormants depuis plus de 36 mois dès le début du contrôle de la CNIL, mais la formation a retenu les manquements structurels caractérisés pour le passé. L'amende de 250 000 € et la décision publiée ont été rendues le 13 septembre 2022 ; selon les règles de publication de la CNIL, la société est anonymisée dans la délibération au bout de deux ans. L'appel téléphonique à l'origine de l'affaire — un service d'assistance rendant un mot de passe en échange d'un simple nom — reste la démonstration la plus claire que son authentification traitait l'identité comme une formalité.