Mon employeur peut-il mener une campagne de vérification de la complexité des mots de passe à mon insu ?

Depuis quelques mois, l’entreprise X est dirigée par une nouvelle personne, férue de sécurité informatique et
sensibilisée aux enjeux en la matière.

Connaissant les solutions de facilité que tout être humain adopte si on lui en laisse l’occasion, elle suspecte que la politique, comme la pratique, au sein de l’entreprise en matière de mot de passe laisse à désirer, ce qui fragilise la sécurité de l’information.

Elle mandate donc une entreprise de hacking éthique et la charge de vérifier le niveau de complexité des mots de passe de tous ses collaboratrices et collaborateurs.

Les trois-quarts reçoivent alors un message les informant du trop bas niveau de sécurité des mots de passe choisis.
Y compris les gestionnaires RH, qui s’offusquent de cette manière de faire et sollicitent un entretien avec la
nouvelle direction.

Lors de l’entretien, il apparaît que, si le souci de la direction est légitime, la méthode utilisée laisse à désirer
et viole les principes applicables au traitement des données personnelles.
Le test aurait pu être fait de manière conforme après en avoir averti le personnel et lui avoir donné
un délai pour modifier, cas échéant, les mots de passe dans le sens requis.