RGPD et gestion des mots de passe : astuces essentielles pour garantir votre conformité – Mon Expert RGPD

Sur le terrain, la gestion des mots de passe reste le point noir numéro un dans les audits menés chez les PME. Un DPO externe qui suit plusieurs structures en parallèle le constate régulièrement : les registres de traitement sont à jour, les mentions légales sont conformes, mais la politique de mots de passe repose encore sur des pratiques héritées d’il y a dix ans. Fichier Excel partagé, mot de passe unique pour trois applications métier, aucune trace des accès administrateur révoqués après un départ. Ce sont des détails qui, lors d’un contrôle CNIL, deviennent des manquements caractérisés.

La sanction infligée à France Travail en janvier 2026, cinq millions d’euros pour des défaillances touchant 36,8 millions de comptes, a rappelé que la vigilance sur l’authentification ne concerne pas que les grandes structures publiques. La procédure simplifiée de la CNIL cible désormais aussi les PME, avec des amendes prononcées en quelques mois. Pour un consultant qui gère la conformité de plusieurs clients simultanément, la question n’est plus de savoir si le sujet mots de passe doit être traité, mais comment le traiter efficacement, sans y passer des journées entières par client.

En bref :

• La recommandation CNIL de 2022 exige une entropie minimale de 80 bits et bannit tout stockage en clair des identifiants
• Le renouvellement périodique n’est plus recommandé sauf pour les comptes à privilèges administrateur
• Les sanctions CNIL sur ce thème ont explosé : 87 décisions en 2024 pour 55 millions d’euros, contre 21 en 2022
• Un gestionnaire de mots de passe professionnel couvre la majorité des exigences techniques en un seul déploiement
• L’article 32 du RGPD impose une obligation de moyens documentée, pas seulement un mot de passe complexe

Pourquoi la CNIL sanctionne de plus en plus la mauvaise gestion des mots de passe

Le RGPD ne cite jamais explicitement le mot de passe. Ce sont deux articles qui fondent l’ensemble des obligations en matière d’identifiants : l’article 5-1-f), qui pose le principe d’intégrité et de confidentialité, et l’article 32, qui impose des mesures techniques et organisationnelles proportionnées au risque. Concrètement, un responsable de traitement doit être capable de prouver qu’il a pris des mesures adéquates, pas seulement qu’il en a l’intuition.

Le cas Infogreffe, sanctionné à hauteur de 250 000 euros, illustre parfaitement ce que la CNIL considère comme un manquement cumulé : mots de passe stockés en clair, limités à huit caractères, envoyés par email non chiffré à la création de compte. Aucun de ces points n’est anodin isolément, mais leur accumulation a transformé un défaut technique en sanction lourde. Ce schéma se retrouve chez la plupart des PME contrôlées : des pratiques jamais mises à jour, découvertes lors d’un audit ou d’une plainte.

La recommandation de la CNIL publiée en 2022 a remplacé le référentiel de 2017 et sert aujourd’hui de base technique lors de tout contrôle. Elle constitue, dans les faits, le socle minimal opposable à toute organisation utilisant l’authentification par mot de passe pour protéger un traitement de données personnelles.

Un signal clair envoyé aux PME du Grand Est

Les structures sans DSI interne pensent souvent, à tort, que la taille de l’entreprise les protège du risque de contrôle. C’est faux. La procédure simplifiée de la CNIL permet de sanctionner rapidement des manquements courants, sans passer par une instruction longue. Une PME de dix salariés avec un fichier clients mal protégé encourt exactement le même type de sanction proportionnelle qu’une grande entreprise, ajustée à son chiffre d’affaires.

Ce que l’article 32 du RGPD impose concrètement à vos clients PME

Traduire l’article 32 en checklist opérationnelle, c’est ce qui différencie un audit théorique d’un audit qui produit des résultats. La recommandation CNIL 2022 fixe trois scénarios acceptables en matière d’entropie, chacun correspondant à un niveau de complexité différent selon le contexte d’usage.

Scénario recommandé	Caractéristiques	Usage typique en PME
Mot de passe classique	12 caractères minimum, majuscules, minuscules, chiffres et caractères spéciaux	Comptes utilisateurs standards, messagerie professionnelle
Mot de passe renforcé	14 caractères minimum avec au moins trois types de caractères	Accès aux outils métier sensibles, CRM, ERP
Phrase de passe	Au moins 7 mots distincts, sans ponctuation obligatoire	Comptes personnels des dirigeants, coffres-forts numériques

Sur les six PME suivies en parallèle, l’écart le plus fréquent concerne le stockage. Beaucoup d’outils métier anciens n’appliquent aucune fonction de hachage sérieuse et se contentent d’un chiffrement réversible, voire d’aucun chiffrement du tout. La conformité passe alors par un dialogue direct avec l’éditeur logiciel, pas uniquement par une politique interne.

La sous-traitance ne dispense pas de responsabilité

Quand la gestion des mots de passe est déléguée à un prestataire, l’article 28 du RGPD s’applique intégralement. Les rôles doivent être formalisés dans un contrat encadrant précisément qui génère, qui stocke et qui transmet les identifiants. Un DPO qui néglige ce point laisse une zone grise que la CNIL n’hésite pas à exploiter lors d’un contrôle, car la responsabilité du responsable de traitement reste engagée même en cas de délégation technique.

Fin du renouvellement périodique : ce qu’il faut vraiment retenir

Pendant des années, forcer le changement de mot de passe tous les 90 jours passait pour une bonne pratique. Les études menées sur le comportement réel des utilisateurs ont démontré l’inverse : la plupart se contentent d’ajouter un chiffre ou une lettre à la fin de leur ancien mot de passe. Le niveau de sécurité effectif baisse, tandis que l’expérience utilisateur se dégrade.

L’ANSSI a acté ce changement de doctrine en 2021 dans son guide sur l’authentification multifacteur, cosigné avec la CNIL. La recommandation 2022 en tire la conséquence logique : plus de renouvellement systématique pour les comptes standards, sauf pour les comptes à privilèges (administrateurs système, accès root, accès aux bases de données clients), qui restent soumis à une vigilance renforcée.

Ce changement de posture doit être expliqué aux dirigeants de PME, souvent surpris qu’on leur conseille d’arrêter une pratique qu’ils croyaient vertueuse. L’argument qui fonctionne le mieux sur le terrain reste celui de la substitution par un outil adapté : un gestionnaire de mots de passe supprime le besoin de mémoriser quoi que ce soit, donc le besoin même de simplifier ses identifiants au fil des renouvellements disparaît.

Gestionnaire de mots de passe : quel outil déployer chez vos clients

Recommander un gestionnaire de mots de passe fait désormais partie du socle minimal de conseil apporté à une PME. La CNIL elle-même encourage explicitement cette solution dans sa recommandation, car elle couvre en un seul outil trois exigences distinctes : génération conforme à l’entropie minimale, chiffrement du stockage et journalisation des accès.

Dans la pratique, trois critères permettent de trier rapidement les offres disponibles sur le marché :

• Une architecture zero-knowledge, où le fournisseur lui-même n’a jamais accès aux identifiants en clair, même en cas de compromission de ses serveurs
• Un contrôle d’accès basé sur les rôles (RBAC), permettant de segmenter les permissions selon les fonctions de chaque collaborateur
• Une journalisation complète des connexions, partages et modifications, exploitable directement en cas d’audit CNIL

Le déploiement d’un outil de ce type dans une PME sans équipe IT dédiée demande un accompagnement structuré : configuration initiale, migration des identifiants existants, formation des équipes. C’est souvent là que la question du pilotage interne versus externe se pose, notamment pour les structures qui hésitent entre nommer un référent en interne ou s’appuyer entièrement sur un prestataire.

Un chiffrement à la hauteur des standards actuels

Le chiffrement AES-256 combiné à la cryptographie sur courbe elliptique constitue aujourd’hui le niveau de référence pour un outil professionnel. Ce n’est pas un argument marketing, c’est une exigence directement liée à l’article 34 du RGPD, qui évalue la gravité d’une violation de données en fonction des mesures de protection déjà en place. Un identifiant chiffré et inexploitable en cas de fuite change radicalement la qualification juridique de l’incident, et donc l’ampleur de la notification à effectuer.

7 points de contrôle pour auditer la conformité mots de passe en 10 minutes

Un audit express permet de repérer rapidement les écarts majeurs avant un contrôle CNIL. Sur les dossiers suivis en parallèle, cette grille sert de base commune, ajustée ensuite selon la taille et le secteur de chaque structure.

1. Vérifier l’existence d’une politique de mots de passe formalisée et accessible à tous les collaborateurs
2. Contrôler que l’entropie minimale de 80 bits est techniquement imposée par les systèmes, pas seulement recommandée sur papier
3. S’assurer qu’aucun identifiant ne circule en clair par email ou dans un fichier partagé
4. Confirmer la présence d’une fonction de hachage spécialisée (bcrypt ou Argon2) pour tout stockage d’identifiant
5. Vérifier le déploiement de l’authentification multifacteur sur les comptes administrateur et les accès distants
6. Réaliser une revue des habilitations pour supprimer les comptes inactifs et révoquer les accès des personnes ayant quitté l’entreprise
7. Programmer une session de sensibilisation à la sécurité pour les équipes, incluant un rappel sur les risques du phishing

Ce dernier point reste souvent sous-estimé. Un outil de sécurisation des accès, même correctement configuré, perd son efficacité si les collaborateurs le contournent par habitude ou par méconnaissance. La documentation publiée par la CNIL sous forme de questions-réponses constitue une ressource utile à transmettre directement aux équipes techniques des clients, sans passer par un long rapport d’audit.

Le respect de ces sept points ne garantit pas une immunité totale face à un contrôle, mais il couvre l’essentiel des manquements relevés dans les décisions récentes de la CNIL. C’est un socle suffisant pour passer d’une posture réactive à une posture documentée, condition indispensable pour démontrer l’accountability exigée par le RGPD.

{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »Quelle est l’entropie minimale exigu00e9e par la CNIL pour un mot de passe ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »La recommandation de 2022 fixe un seuil de 80 bits, atteignable via un mot de passe de 12 caractu00e8res mu00e9langeant majuscules, minuscules, chiffres et caractu00e8res spu00e9ciaux, ou via une phrase de passe d’au moins sept mots. »}},{« @type »: »Question », »name »: »Faut-il encore imposer un changement de mot de passe pu00e9riodique ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Non, sauf pour les comptes u00e0 privilu00e8ges comme les administrateurs systu00e8me. La CNIL et l’ANSSI ont abandonnu00e9 cette recommandation pour les comptes standards, car elle du00e9grade la su00e9curitu00e9 effective sans bu00e9nu00e9fice ru00e9el. »}},{« @type »: »Question », »name »: »Un gestionnaire de mots de passe suffit-il u00e0 assurer la conformitu00e9 RGPD ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Il couvre la majoritu00e9 des exigences techniques : gu00e9nu00e9ration conforme, chiffrement, journalisation. Il doit cependant s’accompagner d’une politique formalisu00e9e et d’une sensibilisation des u00e9quipes pour ru00e9pondre pleinement u00e0 l’article 32. »}},{« @type »: »Question », »name »: »Les PME risquent-elles ru00e9ellement une sanction pour de simples mots de passe faibles ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Oui. La procu00e9dure simplifiu00e9e de la CNIL cible du00e9sormais les structures de toute taille, avec des sanctions proportionnelles au chiffre d’affaires, souvent du00e9clenchu00e9es par une plainte ou un incident de su00e9curitu00e9. »}},{« @type »: »Question », »name »: »Que faire en cas de compromission avu00e9ru00e9e d’un mot de passe ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Le responsable de traitement doit notifier la CNIL dans un du00e9lai de 72 heures, imposer un changement de mot de passe u00e0 l’utilisateur concernu00e9 et lui recommander de modifier ses identifiants sur les autres services ou00f9 il aurait ru00e9utilisu00e9 le mu00eame mot de passe. »}}]}

Quelle est l’entropie minimale exigée par la CNIL pour un mot de passe ?

La recommandation de 2022 fixe un seuil de 80 bits, atteignable via un mot de passe de 12 caractères mélangeant majuscules, minuscules, chiffres et caractères spéciaux, ou via une phrase de passe d’au moins sept mots.

Faut-il encore imposer un changement de mot de passe périodique ?

Non, sauf pour les comptes à privilèges comme les administrateurs système. La CNIL et l’ANSSI ont abandonné cette recommandation pour les comptes standards, car elle dégrade la sécurité effective sans bénéfice réel.

Un gestionnaire de mots de passe suffit-il à assurer la conformité RGPD ?

Il couvre la majorité des exigences techniques : génération conforme, chiffrement, journalisation. Il doit cependant s’accompagner d’une politique formalisée et d’une sensibilisation des équipes pour répondre pleinement à l’article 32.

Les PME risquent-elles réellement une sanction pour de simples mots de passe faibles ?

Oui. La procédure simplifiée de la CNIL cible désormais les structures de toute taille, avec des sanctions proportionnelles au chiffre d’affaires, souvent déclenchées par une plainte ou un incident de sécurité.

Que faire en cas de compromission avérée d’un mot de passe ?

Le responsable de traitement doit notifier la CNIL dans un délai de 72 heures, imposer un changement de mot de passe à l’utilisateur concerné et lui recommander de modifier ses identifiants sur les autres services où il aurait réutilisé le même mot de passe.