Slimpay 讓一台詐欺研究伺服器對外開放多年；CNIL 對其處以 18 萬歐元罰款

Slimpay 是一家法國支付機構，專門處理週期性的 SEPA 付款；該公司於 2015 年將真實的債務人資料重複使用於一項內部反詐欺研究專案。該專案於 2016 年 7 月結束後，這些複製的資料仍留在一台沒有存取控管的伺服器上，且可從網際網路存取。

一名商戶客戶於 2020 年 2 月 14 日通知 Slimpay。CNIL 的裁決指出，外洩紀錄涵蓋約 1,200 萬名不重複的債務人，包含姓名、聯絡方式、BIC 與 IBAN。主管機關亦認定其日誌記錄薄弱，且與部分下游處理者之間的合約不完善。

2021 年 12 月 28 日，CNIL 就處理者合約、資料安全及向個人通報資料外洩等方面的缺失，處以 18 萬歐元罰款。錯誤不在於研究構想本身，而在於讓一項臨時實驗變成無人管理的公開資料儲存庫。

在約 1,200 萬名不重複債務人的資料（包含 IBAN 與 BIC 資料）遭留置於可存取狀態後，CNIL 處以 18 萬歐元罰款。

該反詐欺專案使用了真實的付款資料，而非經最小化或匿名化的資料集。

研究工作結束時，該伺服器並未退役，因此風險持續多年。

該伺服器的存取未受到令人滿意的限制，且 CNIL 認定其缺乏適當的存取日誌記錄。

對處理者的監督不完整，部分合約缺少 GDPR 的強制條款。

測試資料需要有負責人與終止日期。使用生產資料的研究伺服器就是生產風險，即使專案結束後亦然。

Slimpay 在 2020 年 2 月的警示後隔離了該伺服器，並通知 CNIL。CNIL 的公開裁決後來經過匿名化處理，但 CNIL 的制裁表仍記錄了 2021 年 12 月 28 日的支付機構案件及 18 萬歐元罰款；GDPR Enforcement Tracker 指認該公司為 Slimpay。