Slimpay 一台欺诈研究服务器开放多年；CNIL 对其处以 18 万欧元罚款

Slimpay 是一家为周期性 SEPA 付款提供服务的法国支付机构，2015 年它在一个内部反欺诈研究项目中复用了真实的债务人数据。该项目于 2016 年 7 月结束后，被复制的数据仍留在一台没有访问控制的服务器上，并且可以从互联网访问。

2020 年 2 月 14 日，一家商户客户向 Slimpay 发出提醒。CNIL 的决定称，泄露的记录涉及约 1200 万名唯一债务人，包含姓名、联系方式、BIC 和 IBAN。该监管机构还认定日志记录薄弱，且与部分下游处理者的合同不充分。

2021 年 12 月 28 日，CNIL 因处理者合同、数据安全以及向个人通报数据泄露方面的失职，对其处以 18 万欧元罚款。错误不在于研究想法本身，而在于让一项临时实验变成了无人管理的公开数据存储。

在约 1200 万名唯一债务人的数据（包括 IBAN 和 BIC 数据）被置于可访问状态后，CNIL 处以 18 万欧元罚款。

该反欺诈项目使用的是真实支付数据，而非经过最小化或匿名化的数据集。

研究工作结束后，服务器未被停用，因此风险持续了数年。

该服务器的访问未受到令人满意的限制，CNIL 也未发现充分的访问日志记录。

对处理者的监督不完整，部分合同缺少 GDPR 强制条款。

测试数据需要有责任人和终止日期。使用生产数据的研究服务器就是生产风险，即使项目已经结束也是如此。

在 2020 年 2 月的警报之后，Slimpay 隔离了该服务器并通知了 CNIL。公开的 CNIL 决定后来经过匿名化处理，但 CNIL 的处罚表仍记录着这起 2021 年 12 月 28 日的支付机构案件和 18 万欧元罚款；GDPR Enforcement Tracker 确认该公司为 Slimpay。