Slimpay, una entidad de pago francesa para pagos SEPA recurrentes, reutilizó datos reales de deudores en 2015 para un proyecto interno de investigación antifraude. Cuando el proyecto terminó en julio de 2016, los datos copiados permanecieron en un servidor sin controles de acceso y podían alcanzarse desde internet.
Un cliente comerciante alertó a Slimpay el 14 de febrero de 2020. La decisión de la CNIL señala que los registros expuestos abarcaban a unos 12 millones de deudores únicos e incluían nombres, datos de contacto, BIC e IBAN. La autoridad también halló un registro de actividad deficiente y contratos inadecuados con algunos encargados del tratamiento posteriores.
El 28 de diciembre de 2021, la CNIL impuso una multa de 180 000 EUR por fallos en los contratos con encargados del tratamiento, en la seguridad de los datos y en la comunicación de una brecha a las personas afectadas. El error no fue la idea de investigación en sí; fue permitir que un experimento temporal se convirtiera en un almacén de datos públicos sin gestión.
La CNIL impuso una multa de 180 000 EUR después de que los datos de unos 12 millones de deudores únicos, incluidos datos de IBAN y BIC, quedaran accesibles.
El proyecto antifraude utilizó datos de pago reales en lugar de un conjunto de datos minimizado o anonimizado.
El servidor no se retiró cuando terminó el trabajo de investigación, por lo que el riesgo persistió durante años.
El acceso al servidor no estaba sujeto a restricciones satisfactorias, y la CNIL no encontró un registro de accesos adecuado.
La supervisión de los encargados del tratamiento fue incompleta, y faltaban cláusulas obligatorias del RGPD en algunos contratos.
Los datos de prueba necesitan un responsable y una fecha de finalización. Un servidor de investigación que utiliza datos de producción es un riesgo de producción, incluso después de que termine el proyecto.
Slimpay aisló el servidor tras la alerta de febrero de 2020 y notificó a la CNIL. La decisión pública de la CNIL se anonimizó posteriormente, pero la tabla de sanciones de la CNIL sigue registrando el caso de la entidad de pago del 28 de diciembre de 2021 y la sanción de 180 000 EUR; GDPR Enforcement Tracker identifica a la empresa como Slimpay.
CONSULTA LAS PRUEBAS
Las fuentes
- Deliberation SAN-2021-020 du 28 decembre 2021 Legifrance · legifrance.gouv.fr ·
- ETid-971: GDPR fine against SLIMPAY (France, 2021) GDPR Enforcement Tracker · enforcementtracker.com ·
- Les sanctions prononcees par la CNIL CNIL · cnil.fr