Slimpay deixou um servidor de pesquisa antifraude aberto por anos; CNIL aplicou multa de 180 mil euros

A Slimpay, uma instituição de pagamento francesa para pagamentos SEPA recorrentes, reutilizou dados reais de devedores em 2015 para um projeto interno de pesquisa antifraude. Quando o projeto terminou, em julho de 2016, os dados copiados permaneceram em um servidor sem controles de acesso e podiam ser alcançados pela internet.

Um cliente comerciante alertou a Slimpay em 14 de fevereiro de 2020. A decisão da CNIL afirma que os registros expostos abrangiam cerca de 12 milhões de devedores únicos e incluíam nomes, dados de contato, BICs e IBANs. A autoridade também constatou registro de logs deficiente e contratos inadequados com alguns processadores downstream.

Em 28 de dezembro de 2021, a CNIL impôs uma multa de 180 mil euros por falhas relacionadas a contratos com processadores, segurança de dados e comunicação de uma violação às pessoas. O erro não foi a ideia de pesquisa em si; foi permitir que um experimento temporário se tornasse um armazenamento público de dados sem gestão.

A CNIL impôs uma multa de 180 mil euros depois que dados de cerca de 12 milhões de devedores únicos, incluindo dados de IBAN e BIC, ficaram acessíveis.

O projeto antifraude usou dados reais de pagamento em vez de um conjunto de dados minimizado ou anonimizado.

O servidor não foi desativado quando o trabalho de pesquisa terminou, então o risco persistiu por anos.

O acesso ao servidor não estava sujeito a restrições satisfatórias, e a CNIL não encontrou registro de acesso adequado.

A supervisão dos processadores era incompleta, com alguns contratos sem as cláusulas obrigatórias do GDPR.

Dados de teste precisam de um responsável e de uma data de término. Um servidor de pesquisa que usa dados de produção é risco de produção, mesmo depois que o projeto termina.

A Slimpay isolou o servidor após o alerta de fevereiro de 2020 e notificou a CNIL. A decisão pública da CNIL foi posteriormente anonimizada, mas a tabela de sanções da CNIL ainda registra o caso de instituição de pagamento de 28 de dezembro de 2021 e a penalidade de 180 mil euros; o GDPR Enforcement Tracker identifica a empresa como Slimpay.