De Franse privacytoezichthouder CNIL heeft meerdere organisaties en websites beboet voor het gebruik van het SHA-1-algoritme en encryptieprotocollen TLS 1.0 en 1.1. Volgens CNIL is het gebruik van SHA-1 niet meer veilig en heeft het Franse cyberagentschap het gebruik van TLS 1.0 en TLS 1.1 ten strengste afgeraden. Het TLS-protocol wordt onder andere gebruikt voor het opzetten van een beveiligde verbinding tussen websites en bezoekers. TLS 1.0 en 1.1 zijn kwetsbaar voor verschillende aanvallen zoals BEAST, CRIME en POODLE.

Het secure hash algorithm (SHA) is een hashfunctie die van data een unieke hashcode maakt. Een hashingalgoritme wordt als veilig beschouwd als het voor elke willekeurige invoer een unieke uitvoer heeft en dat die uitvoer niet is terug te draaien zodat de invoer achterhaald kan worden. Doordat de uitvoer niet is te manipuleren worden hashes gebruikt om bijvoorbeeld de geldigheid van certificaten en bestanden aan te tonen en het gehasht opslaan van wachtwoorden.

Er zijn verschillende SHA-versies in omloop. Sinds 2005 zijn er collision-aanvallen op het SHA-1-algoritme bekend waar verschillende invoer dezelfde uitvoer geeft. Al sinds 2011 wordt daarom aangeraden SHA-1 uit te faseren. Volgens het CNIL is bij het gebruik van SHA-1, TLS 1.0 en TLS 1.1 persoonlijke data niet goed beveiligd. Uit onderzoek van de toezichthouder bleek dat meerdere organisaties en websites er toch gebruik van maakten. Deze organisaties kregen een formele waarschuwing om de situatie voor een bepaalde datum te verhelpen.

Na deze datum bleken verschillende organisaties en websites nog steeds niet compliant te zijn, waarop CNIL boetes uitdeelde. Dit werd gedaan via een 'vereenvoudigde procedure'. Daarbij kunnen organisaties een boete van maximaal 20.000 euro krijgen en wordt hun naam niet bekendgemaakt. Naast het gebruik van SHA-1, TLS 1.0 en TLS 1.1 wordt de vereenvoudigde procedure ook toepast wanneer organisaties niet goed samenwerken met CNIL, niet goed omgaan met AVG-rechten van burgers zoals het recht op inzage en verschillende andere zaken.

In totaal kwam de Franse privacytoezichthouder voor dergelijke overtredingen in alleen januari tot vijftien sancties, met een totaal boetebedrag van bijna 100.000 euro. Voor heel 2023 werden in totaal 24 van dergelijke sancties opgelegd.