Le dossier Macif Vie 7 millions d'euros. C'est le montant proposé contre Macif Vie lors de son audience devant la formation restreinte de la CNIL, le 15 octobre. Le dossier remonte à un contrôle de mai 2024. Deux griefs : des mots de passe insuffisamment protégés, des données conservées trop longtemps. L'assureur conteste, et la décision n'est pas rendue. Mais un détail mérite qu'on s'y arrête. Les corrections apportées depuis le contrôle ont permis d'écarter la menace d'une injonction. Pas celle de l'amende. Injonction et amende, deux logiques La distinction est connue des juristes, beaucoup moins des directions. L'injonction regarde vers l'avenir : elle oblige à faire cesser un manquement. L'amende regarde vers le passé : elle sanctionne un manquement qui existait au moment du contrôle. Se mettre en règle après le passage des contrôleurs réduit l'exposition. Ça ne la supprime pas. Autrement dit, la conformité qui compte est celle du jour J. Celle qui arrive ensuite pèse dans l'appréciation de la sanction, pas davantage. Deux manquements sans éclat Rien de spectaculaire dans ce qui est reproché. Le stockage des mots de passe relève de l'hygiène élémentaire de sécurité, avec des méthodes de hachage robustes connues depuis longtemps. La durée de conservation relève de la discipline : une durée par finalité, un mécanisme de purge qui tourne vraiment, une trace de son exécution. Ce sont justement ces sujets qui s'enlisent. Ils ne produisent aucune valeur visible. Jusqu'au contrôle. L'assurance vie, terrain difficile Pour un assureur vie, la conservation est un exercice délicat. Les contrats courent sur des décennies, les obligations d'archivage se superposent, et la frontière entre conservation justifiée et accumulation par défaut se brouille vite. La politique écrite ne suffit pas : les durées doivent être paramétrées dans les applicatifs métier, sinon rien ne se purge. Ce que les DPO peuvent en tirer Un argument, d'abord. Face à une direction tentée d'attendre un signal de la CNIL pour agir, ce dossier montre que le signal arrive trop tard pour éviter l'amende. Une méthode, ensuite : vérifier non pas l'existence des règles, mais leur exécution réelle en production. Les purges ont-elles tourné ? Les anciennes bases ont-elles migré ? Les réponses se trouvent dans les journaux techniques, rarement dans les classeurs de conformité.
