Infogreffe 以明文儲存 370 萬組密碼長達 19 年——CNIL 對其處以 25 萬歐元罰款

Infogreffe 是法國商事法院書記官組成的經濟利益團體，自 2001 年起透過 infogreffe.fr 販售經認證的公司紀錄（自 1987 年起則透過 Minitel 提供）——這是一項由私人法律人員執行的公共服務任務。2020 年 12 月，一名使用者投訴，他僅憑提供姓名，就透過電話取回了自己的密碼，且該網站以明文儲存密碼。CNIL 於 2021 年 3 月進行的線上檢查，證實情況遠比投訴所述更為嚴重。

兩項違規。保留期限方面：Infogreffe 自訂的 GDPR 章程承諾在使用者最後一次下單後 36 個月刪除資料，然而截至 2021 年 5 月 1 日，資料庫仍保留 946,023 名會員及 17,558 名訂閱者（已逾三年未活動）的姓名、地址、電話號碼、秘密問題與答案，以及訂閱者的 IBAN 與 BIC。完全沒有任何自動匿名化機制；約四分之一的帳戶已超過期限。

安全方面：在自 2002 年以來未曾更動的密碼政策下，密碼上限為 8 個字元，沒有複雜度規則，也沒有第二因素，以明文電子郵件寄送作為永久憑證，並以明文儲存，且使用者從未被告知密碼何時變更——全部 370 萬個帳戶都暴露於風險之中。

其抗辯反而使情況更糟。Infogreffe 主張安全僅屬手段義務，且並無實際外洩可資證明，將 CNIL 的密碼指引斥為軟法，並將責任推給其處理者——卻也從未監督該處理者。委員會稱這些缺失屬結構性：匿名化與安全工作因無關的合規期限而被一再延後，且未獲額外資源；而作為公共人員，書記官負有特別嚴謹的義務。罰款：25 萬歐元，決議於 2022 年 9 月 13 日公布。

CNIL 罰款 25 萬歐元；全部 370 萬個帳戶均使用上限 8 個字元的密碼，且無第二因素；963,581 個閒置帳戶超過該網站自訂的 36 個月期限仍被保留

保留規則僅停留在紙面上：36 個月期限寫入了 Infogreffe 自訂的章程，但從未建立任何刪除或匿名化流程，因此紀錄無限累積。

自 2002 年以來的安全債從未重新檢視：8 個字元的密碼上限唯有以明文儲存才能實現，而它悄然支配全部 370 萬個帳戶，直到 2021 年 6 月。

以明文電子郵件寄送密碼，加上沒有變更通知，意味著一個遭網釣的電子郵件信箱或一通具說服力的電話，就能完全接管帳戶——這正是 2020 年 12 月投訴所展示的情況。

管理層將風險置於較低優先順序：匿名化與安全專案因非隱私的合規工作而被延後，且未獲額外資源，並將責任推給一個無人查核的處理者。

保留政策是一項承諾，違反即可能遭罰款：Infogreffe 寫下了 36 個月規則，卻從未建立刪除作業。而自 2002 年以來的安全債不會自行隨時間消逝。

CNIL 檢查開始後，Infogreffe 清除了閒置超過 36 個月的帳戶，但委員會仍認定先前的結構性違規成立。25 萬歐元罰款與公布的決定於 2022 年 9 月 13 日生效；依 CNIL 的公布規則，該公司在決議公布兩年後會被匿名化。引發這一切的電話——客服僅憑姓名就交還密碼——仍是其認證將身分視為形式手續的最清楚證明。