La CNIL peut elle attaquer une entreprise pour non respect des recommandations de sécurité

La CNIL indique beaucoup de choses sur son site concernant la sécurité minimale des mots de passe. Est-ce qu'il s'agit d'obligations légales ou bien de recommandations ?

La CNIL peut elle attaquer une entreprise qui ne respecte pas ses prérogatives ou bien ce sont juste des recommandations et l'entreprise peut faire ce qu'elle veut sur un plan légal le risque de sanctions ne pouvant venir que d'éventuels clients mécontents pour qui les données personnelles auraient été compromises ?

 

@ABCWEB : si en faisant "mot de passe oublié" celui ci est envoyé par mail cela implique qu'il n'y a pas eu de cryptage irréversible.

 

@KOogar : le titre même de l'article de loi contient le mot "recommandation" et plus tard dans le texte "La présente recommandation...". Idem pour le texte suivant ici : "Nature de la délibération: RECOMMANDATION" pourtant quand on lit le site de la CNIL ils parlent "d'exigences" expliquent qu'ils peuvent réaliser des contrôles, et font état de sites lourdement sanctionnés (400 000€ ici pour atteinte à la sécurité des données : "Un contrôle en ligne a permis de constater que des documents transmis par les candidats à la location étaient librement accessibles..." ). A mon avis on devient pénalement répréhensible dès lors qu'un dommage est causé et qu'une plainte est déposée ensuite la CNIL vérifie s'il y a des failles importantes puis sanctionne en fonction.