Slimpay a laissé un serveur de recherche antifraude ouvert pendant des années ; la CNIL l'a condamnée à une amende de 180 000 EUR

Slimpay, un établissement de paiement français spécialisé dans les paiements SEPA récurrents, a réutilisé de vraies données de débiteurs en 2015 pour un projet interne de recherche antifraude. À la fin du projet en juillet 2016, les données copiées sont restées sur un serveur sans contrôles d'accès et accessible depuis internet.

Un client commerçant a alerté Slimpay le 14 février 2020. La décision de la CNIL indique que les enregistrements exposés concernaient environ 12 millions de débiteurs uniques et comprenaient des noms, des coordonnées, des BIC et des IBAN. L'autorité a également constaté une journalisation insuffisante et des contrats inadéquats avec certains sous-traitants ultérieurs.

Le 28 décembre 2021, la CNIL a infligé une amende de 180 000 EUR pour des manquements liés aux contrats de sous-traitance, à la sécurité des données et à la communication d'une violation aux personnes concernées. L'erreur ne tenait pas à l'idée de recherche elle-même ; elle consistait à laisser une expérimentation temporaire devenir un stockage de données public non géré.

La CNIL a infligé une amende de 180 000 EUR après que les données d'environ 12 millions de débiteurs uniques, y compris des données IBAN et BIC, ont été laissées accessibles.

Le projet antifraude utilisait de vraies données de paiement plutôt qu'un jeu de données minimisé ou anonymisé.

Le serveur n'a pas été mis hors service à la fin des travaux de recherche, de sorte que le risque a persisté pendant des années.

L'accès au serveur n'était pas soumis à des restrictions satisfaisantes, et la CNIL n'a constaté aucune journalisation adéquate des accès.

La supervision des sous-traitants était incomplète, certains contrats ne comportant pas les clauses obligatoires du RGPD.

Les données de test ont besoin d'un responsable et d'une date de fin. Un serveur de recherche qui utilise des données de production constitue un risque de production, même après la fin du projet.

Slimpay a isolé le serveur après l'alerte de février 2020 et a notifié la CNIL. La décision publique de la CNIL a ensuite été anonymisée, mais le tableau des sanctions de la CNIL recense toujours l'affaire du 28 décembre 2021 concernant un établissement de paiement et la sanction de 180 000 EUR ; GDPR Enforcement Tracker identifie l'entreprise comme Slimpay.