Slimpay ließ jahrelang einen Server für Betrugsforschung offen; die CNIL verhängte ein Bußgeld von 180.000 EUR

Slimpay, ein französisches Zahlungsinstitut für wiederkehrende SEPA-Zahlungen, verwendete 2015 echte Schuldnerdaten für ein internes Forschungsprojekt zur Betrugsbekämpfung erneut. Als das Projekt im Juli 2016 endete, blieben die kopierten Daten auf einem Server ohne Zugriffskontrollen und waren aus dem Internet erreichbar.

Ein Händlerkunde informierte Slimpay am 14. Februar 2020. Der Entscheidung der CNIL zufolge umfassten die offengelegten Datensätze etwa 12 Millionen eindeutige Schuldner und enthielten Namen, Kontaktdaten, BICs und IBANs. Die Behörde stellte außerdem eine schwache Protokollierung und unzureichende Verträge mit einigen nachgelagerten Auftragsverarbeitern fest.

Am 28. Dezember 2021 verhängte die CNIL ein Bußgeld von 180.000 EUR wegen Mängeln bei Auftragsverarbeiterverträgen, der Datensicherheit und der Mitteilung einer Datenschutzverletzung an die Betroffenen. Der Fehler lag nicht in der Forschungsidee selbst; er bestand darin, ein vorübergehendes Experiment zu einem unverwalteten öffentlichen Datenspeicher werden zu lassen.

Die CNIL verhängte ein Bußgeld von 180.000 EUR, nachdem Daten von etwa 12 Millionen eindeutigen Schuldnern, darunter IBAN- und BIC-Daten, zugänglich geblieben waren.

Das Anti-Betrugs-Projekt verwendete echte Zahlungsdaten statt eines minimierten oder anonymisierten Datensatzes.

Der Server wurde nach dem Ende der Forschungsarbeit nicht außer Betrieb genommen, sodass das Risiko jahrelang fortbestand.

Der Zugriff auf den Server unterlag keinen zufriedenstellenden Beschränkungen, und die CNIL stellte keine angemessene Zugriffsprotokollierung fest.

Die Aufsicht über die Auftragsverarbeiter war unvollständig, da in einigen Verträgen die obligatorischen DSGVO-Klauseln fehlten.

Testdaten brauchen einen Verantwortlichen und ein Enddatum. Ein Forschungsserver, der Produktionsdaten verwendet, stellt ein Produktionsrisiko dar, auch nachdem das Projekt beendet ist.

Slimpay isolierte den Server nach dem Alarm vom Februar 2020 und benachrichtigte die CNIL. Die öffentliche Entscheidung der CNIL wurde später anonymisiert, doch die Sanktionstabelle der CNIL verzeichnet weiterhin den Fall des Zahlungsinstituts vom 28. Dezember 2021 und das Bußgeld von 180.000 EUR; der GDPR Enforcement Tracker identifiziert das Unternehmen als Slimpay.