Délibération CNIL 2022-100 : ce qu'elle impose concrètement à votre cabinet

De quoi parle-t-on exactement ?

Le 21 juillet 2022, la CNIL a adopté la délibération n° 2022-100, portant recommandation relative aux mots de passe et autres secrets partagés. Ce texte remplace la précédente recommandation de 2017 et constitue, depuis, le document de référence de l'autorité française en matière d'authentification par mot de passe. Il ne concerne pas seulement les mots de passe au sens strict : il couvre aussi les codes de déverrouillage, les questions secrètes et, plus largement, tout secret utilisé pour s'authentifier.

Une précision s'impose sur son statut juridique. Une recommandation CNIL n'est pas une loi : elle ne crée pas, en elle-même, d'obligation nouvelle. En revanche, elle explicite la manière dont la CNIL interprète l'article 32 du RGPD, qui impose à tout responsable de traitement et à tout sous-traitant de mettre en œuvre des mesures de sécurité « appropriées au risque ». Lors d'un contrôle, c'est ce référentiel que les agents de la CNIL utilisent pour apprécier si vos pratiques sont conformes.

Autrement dit : suivre la recommandation crée une présomption de conformité sur le volet mots de passe ; s'en écarter est possible, mais il faut alors être capable de justifier que les mesures retenues offrent un niveau de sécurité au moins équivalent. En pratique, pour un cabinet d'expertise comptable, la délibération 2022-100 est donc opposable : c'est elle qui fixe le standard attendu.

Les exigences clés de la recommandation

La délibération 2022-100 marque une évolution notable par rapport au texte de 2017. En voici les points structurants.

L'entropie plutôt que des règles rigides

La CNIL abandonne les règles de composition uniques (« 8 caractères, une majuscule, un chiffre ») au profit d'une approche fondée sur l'entropie, c'est-à-dire la quantité d'aléa réel d'un mot de passe, qui mesure sa résistance aux attaques par force brute. La recommandation distingue plusieurs cas d'usage : le niveau d'entropie exigé varie selon les mesures complémentaires mises en place, restriction des tentatives d'accès, information complémentaire connue du seul utilisateur, ou matériel détenu en propre. Moins le système est protégé par ailleurs, plus le mot de passe doit être robuste. Une phrase de passe longue peut ainsi être préférable à un mot de passe court mais « complexe ».

La fin de l'expiration périodique obligatoire

C'est l'un des changements les plus visibles : pour les comptes utilisateurs standards, la CNIL ne recommande plus d'imposer un renouvellement périodique des mots de passe. L'expérience a montré que cette contrainte pousse les utilisateurs vers des variations prévisibles (Cabinet2024, Cabinet2025…) qui affaiblissent la sécurité au lieu de la renforcer. L'obligation de renouvellement subsiste en revanche pour les comptes à privilèges (administrateurs) et, surtout, en cas de compromission avérée ou soupçonnée : le mot de passe concerné doit alors être changé sans délai.

Une conservation strictement encadrée

Les mots de passe ne doivent jamais être conservés en clair. Pour les mots de passe servant à authentifier des utilisateurs sur un système, la recommandation impose des fonctions de hachage spécialisées et à l'état de l'art, avec sel. Pour les secrets qu'une organisation doit pouvoir réutiliser, le cas typique des identifiants détenus pour le compte de tiers, un stockage chiffré avec des algorithmes reconnus est exigé. Un fichier Excel non chiffré, un document texte sur le serveur ou une boîte e-mail servant de « coffre » sont explicitement des pratiques non conformes.

Limiter les tentatives, sécuriser les échanges

La recommandation demande également de limiter le nombre de tentatives d'accès infructueuses (temporisation, blocage temporaire), afin de contrer les attaques par essais successifs. Enfin, un principe transversal, souvent négligé en cabinet : un mot de passe ne doit jamais être transmis en clair, notamment par e-mail. La messagerie électronique n'offre aucune garantie de confidentialité de bout en bout, et un identifiant envoyé par e-mail reste lisible, indéfiniment, dans les boîtes de l'expéditeur et du destinataire.

L'application spécifique aux cabinets comptables

Un cabinet d'expertise comptable présente une particularité que la plupart des organisations ne connaissent pas : il ne gère pas seulement ses propres accès, il détient des identifiants pour le compte de ses clients. Codes impots.gouv.fr, comptes Urssaf et net-entreprises, accès aux portails bancaires, caisses de retraite, organismes sociaux : pour chaque dossier, le cabinet concentre plusieurs secrets qui ouvrent l'accès aux données fiscales, sociales et bancaires d'un tiers.

La recommandation s'applique alors à toute la chaîne de traitement de ces identifiants, et pas seulement à leur stockage :

la collecte : la manière dont le client transmet ses codes au cabinet doit être sécurisée, un e-mail « voici mes accès » place d'emblée le cabinet en dehors du cadre ;
le stockage : chiffrement à l'état de l'art, jamais de conservation en clair, quel que soit le support ;
le partage entre collaborateurs : les accès doivent être attribués individuellement, selon le principe du moindre privilège, sans compte générique partagé par toute l'équipe ;
la révocation : au départ d'un collaborateur, ses accès doivent être coupés immédiatement, et les secrets qu'il connaissait doivent pouvoir être identifiés et renouvelés.

S'ajoute enfin le principe d'accountability posé par le RGPD : il ne suffit pas d'être conforme, il faut pouvoir le démontrer. En cas de contrôle, la CNIL demandera des éléments concrets, politique de gestion des mots de passe, description de l'outil de stockage et de son chiffrement, procédure de départ des collaborateurs, traces des consultations. Un cabinet qui sécurise ses accès sans documenter ses mesures reste exposé.

Checklist d'auto-évaluation en 10 points

Les dix points ci-dessous traduisent la délibération 2022-100 en critères vérifiables à l'échelle d'un cabinet. Chaque case non cochée correspond à un écart avec le référentiel que la CNIL utiliserait en cas de contrôle.

Auto-évaluation, 10 points

1.Aucun identifiant client ne circule par e-mail en clair, ni en interne ni avec les clients.
2.Aucun fichier Excel (ou Word, ou bloc-notes) de mots de passe non chiffré ne subsiste sur les postes ou le serveur.
3.Les identifiants sont stockés dans un outil offrant un chiffrement à l'état de l'art.
4.Chaque collaborateur dispose d'un accès individuel et nominatif, aucun compte partagé.
5.Les accès d'un collaborateur qui quitte le cabinet sont révoqués immédiatement.
6.Les consultations d'identifiants sont journalisées : qui a accédé à quoi, et quand.
7.La collecte des identifiants auprès des clients passe par un canal sécurisé, jamais par e-mail.
8.Une politique de gestion des mots de passe est rédigée, datée et validée par la direction.
9.Une procédure existe en cas de compromission : renouvellement des secrets concernés et information des personnes.
10.La réversibilité est maîtrisée : le cabinet peut exporter ses données et changer d'outil sans perte.

Si vous cochez les dix cases, votre cabinet est bien positionné par rapport au référentiel CNIL. Si plusieurs points restent ouverts, c'est le cas le plus fréquent, ils constituent votre plan d'action, par ordre de risque : les points 1 à 3 (circulation et stockage en clair) sont ceux qui exposent le plus directement le cabinet.

Par où commencer

La délibération CNIL 2022-100 n'exige rien d'irréaliste : elle demande aux organisations de traiter les mots de passe comme ce qu'ils sont, des clés d'accès à des données sensibles, qui appellent des mesures proportionnées. Pour un cabinet, la difficulté n'est généralement pas la volonté, mais la visibilité : savoir précisément où se trouvent les identifiants clients, qui y accède, et par quels canaux ils circulent.

C'est pourquoi une mise en conformité sérieuse commence toujours par un état des lieux : inventorier les accès détenus, identifier les pratiques à risque (fichiers non chiffrés, envois par e-mail, comptes partagés), puis prioriser les mesures correctives. C'est exactement l'objet de l'audit de sécurité que nous proposons gratuitement aux cabinets d'expertise comptable.

Faites le point sur la sécurité de votre cabinet

En 30 minutes, nous passons en revue vos pratiques de gestion des accès clients au regard du référentiel CNIL, et vous repartez avec un rapport écrit et des priorités claires.

Demander mon audit gratuit

30 minutes · Rapport écrit · Sans engagement