Quand bien même il les sauvegarderait, ces adresses email ont déjà fuité dans la nature et sont disponibles par d’autres moyens pour les pirates. Supprimer HIBP n’aurait donc pas un impact négatif sur les pirates, au contraire.



Néanmoins fofo9012 pose une question intéressante côté RGPD. HIBP c’est à mon avis d’utilité publique, et une très bonne chose, mais juridiquement ça viole sans doute le RGPD.

IMHA un hash de mot de passe c’est une donnée personnelle, car c’est possible de retrouver le mot de passe depuis le hash.

A noter que pour les mots de passe ça n’envoie même pas le hash à HIBP mais seulement les 5 premiers caractères de celui-ci, HIBP renvoie alors tous les matches trouvés (sans les 5 premiers caractères) et c’est à toi de vérifier si le hash du mot de passe que tu testes est finalement dans ceux renvoyés.

https://haveibeenpwned.com/API/v3#SearchingPwnedPasswordsByRange

Les mots de passe ne sont quasi jamais aléatoires, il suffit de voir le top.



Un mot de passe peut être identifiant pour deux raisons :

• beaucoup de gens mettent des données personnelles dedans, comme leur date de naissance
  


• beaucoup de gens réutilisent le même mot de passe sur différents comptes, ce qui en fait une donnée identifiante partagée entre différents systèmes
  
  
  
  Je ne dis pas qu’un mot de passe est systématiquement une donnée personnelle, mais il peut.
  
  
  
  Un mot de passe peut être retrouvé via bruteforce, ce dernier étant plus ou moins faisable. Dans certains cas il ne dépend pas de la chance cela dit, et contient une donnée personnelle, notamment lorsque la plateforme permet à l’utilisateur d’entrer un indice (question secrète) qui lui sera ensuite restitué au besoin pour l’aider à se souvenir de son mot de passe.
  
  Or en général les questions secrètes portent sur des données personnelles, et font partie de la fuite avec les hashes.

La question de si un post sur un réseau social est une donnée personnelle ou pas sera éternelle tant que la jurisprudence n’aura pas tranché.



Intéressons-nous plutôt à la définition de la CNIL : “C’est toute information relative à une personne physique susceptible d’être identifiée, directement ou indirectement.”



Ajoute à ça “s’il est possible par recoupement de plusieurs informations (âge, sexe, ville, diplôme, etc.) ou par l’utilisation de moyens techniques divers, d’identifier une personne, les données sont toujours considérées comme personnelles.”



Cela signifie qu’au final à peu près tout peut être considéré comme une donnée personnelle, car l’on peut quasi toujours remonter à quelqu’un en recoupant les données à notre disposition avec d’autres.

Apparemment c’est même possible de “dé-anonymiser” des données, donc aucune donnée n’est à l’abri d’être qualifiée de donnée personnelle.



Et je maintiens, pour les deux raisons que j’ai exposées dans mon précédent post : un mot de passe peut permettre d’identifier un individu. Soit directement (donnée personnelle dans le mdp), soit indirectement (mdp réutilisé sur plusieurs plateformes et pouvant permettre par recoupement entre les autres données du compte sur chacune de ces plateformes d’identifier l’individu détenteur de ces comptes)



Oui j’ai fait un raccourci entre indice et question secrète, mais peu importe, mon argument tient toujours : l’indice (qui lui aussi est une fausse bonne idée) peut permettre de savoir que le mot de passe contient une donnée personnelle (par ex si l’indice est “la date de mon mariage”)