Directly from the law, «Les données mentionnées aux 3° et 4° ne doivent être conservées que dans la mesure où les personnes les collectent habituellement.» The

Directly from the law, «Les données mentionnées aux 3° et 4° ne doivent être conservées que dans la mesure où les personnes les collectent habituellement.» The password (as well as full name, postal address, pseudonym, phone number) only needs to be kept if it is collected. So you must keep the password (and be able to give it upon request) only in the case you already store it.