Toute déclaration de base de données doit être faite à la CNIL qui n'accèpte pas ce stockage.
L'article parle bien d'usurpation de site.

J'ai des exemples qui me sidère sur certaines pratiques de commerçants. Beaucoup d'hotels acceptent les réservations si le client donne son n° de la carte, nom et CVV (c'est à dire tout). Beaucoup de clients acceptent, beaucoup communiquent par telephone ou par email ces informations. Tout ça je pense est plus grave que de remettre en cause le chiffrement HTTPS ou encore les site de confiance.