CNIL bestraft Slimpay voor het vrijgeven van bankgegevens van 12 miljoen klanten gedurende 4 jaar

Als Slimpay het zelf niet heeft gemerkt, wie weet hoe lang het probleem dan duurt? De Nationale Commissie voor Informatica en Vrijheden (CNIL) werd echter gewaarschuwd (zoals vereist door de wet), zij beoordeelde en diende de rekening in door dinsdag het opstarten van Franse betalingen aan te klagen. De bankgegevens van 12 miljoen mensen langer dan 4 jaar onbeschermd laten. De Franse gendarmerie heeft persoonsgegevens Deze donderdag geplaatst Straf voor zijn locatie in deze voorwaarden:

“Op 28 december 2021 heeft de beperkte oprichting van CNIL SLIMPAY gesanctioneerd met een boete van met name 180.000 euro voor het niet adequaat beschermen van de persoonsgegevens van gebruikers en het niet informeren van een datalek.”

Gegevens gedurende 4 jaar blootgesteld

In detail leren we dat het allemaal begon met intern onderzoeksproject Uitgevoerd door Slimpay in 2015. Aan het einde van deze werkzaamheden, in juli 2016, bleven de gegevens opgeslagen op een server die geen gebruik maakte van een bepaalde beveiligingsmaatregel en die gratis toegankelijk was via internet.

“Slimpay was pas in februari 2020 op de hoogte van het datalek”, legt CNIL uit in de toelichting.

Gevoelige gegevens? Althans als het gaat om persoonsgegevens, waaronder burgerlijke staat (naam, achternaam, voornaam), post- en elektronische adressen, telefoonnummers en bankgegevens (BIC/IBAN) van bedrijfsklanten.

Tijdens haar dominantie in 2020 heeft CNIL vastgesteld dat de betrokken klanten … 12 miljoen hebben bereikt, verspreid over verschillende EU-landen.

Ter herinnering: 2015 was voor deze rijzende ster in de Franse fintech een jaar van opwinding waarin ze een cursus van 4,068% (sic) groei over vier jaar, 15 miljoen euro opgehaald om het te ontwikkelen, maar toch, Aan de ene kant ontving hij de Technology Fast50 award van Deloitte, en aan de andere kant stond hij op de ranglijst van 100 wereldleiders in FinTech Gemaakt door KPMG Corporation, Die commentaar gaf op de exploitatie als volgt:

“Er is nog steeds weinig opkomst onder FinTech-leiders, maar Frankrijk viel op in 2015: de ranglijst van dit jaar verwelkomt de meest innovatieve FinTech-categorie, SlimPay, die een snelle en veilige manier biedt om abonnementen en terugkerende aankopen te betalen. “

Inbreuk op de beveiliging van persoonsgegevens (Artikel 32 AVG)

Zes jaar later, onder de gebreken die tijdens haar controle werden geconstateerd, behield de CNIL een schending van de verplichting om de veiligheid van persoonsgegevens te waarborgen als gevolg van “Toegang tot de betreffende server was niet onderworpen aan enige beveiligingsmaatregelen”, waardoor de persoonlijke gegevens van 12 miljoen mensen vrij beschikbaar waren via internet”Tussen november 2015 en februari 2020“.

zelfs als Het bedrijf verdedigde zich door op te merken dat de gegevens mogelijk niet frauduleus zijn gebruikt. CNIL hield inbreukArtikel 32 van de Algemene Verordening Gegevensbescherming, wat wordt gerechtvaardigd door ernaar te kijken “Het gebrek aan bewijs voor de vooringenomenheid van de betrokken personen doet geen afbreuk aan het bestaan ​​van het beveiligingstekort.”

Schending informatieplicht (Artikel 34 AVG)

De CNIL schatte ook dat, rekening houdend met met name de aard van de informatie (met name het bankwezen), het “volume” van de betrokken personen (12 miljoen), maar ook rekening houdend met Mogelijkheid om de door de inbreuk getroffen personen te identificeren aan de hand van de gegevens die toegankelijk zijn en mogelijke gevolgen voor de betrokkenen (risico op phishing of identiteitsdiefstal)De risico’s die aan de inbreuk zijn verbonden, moeten als hoog worden beschouwd.”. Volgens de functionaris voor persoonsgegevens moest het betalingsbedrijf alle betrokkenen informeren, ‘Wat je niet hebt gedaan.’

Schending van de verplichting om toezicht te houden op de verwerking door een onderaannemer (Artikel 28 AVG)

De derde grote tekortkoming die door de CNIL wordt opgemerkt, is de nalatigheid bij het opstellen van enkele van de contracten die Slimpay heeft met zijn onderaannemers. Sommige van de decennia die de CNIL heeft kunnen bestuderen, “Het bevat niet alle clausules die het mogelijk maken om ervoor te zorgen dat deze leveranciers zich verplichten om persoonsgegevens te verwerken in overeenstemming met de AVG.” Erger nog, zegt CNIL, sommige contracten bevatten geen van deze signalen. Artikel 28-3 van de AVG is echter heel duidelijk over deze kwestie van de verplichtingen die in contracten moeten staan.

| Lees bestand Europese verordening gegevensbescherming: een gids om gegevensverwerkers te ondersteunen (op de CNIL-website)

Slimpay is opgericht in 2010 en ontwikkelt een oplossing waarmee winkeliers hun klanten de mogelijkheid kunnen bieden om gespreid, per kaart of via automatische incasso te betalen.

| Lees ook: SlimPay rijdt de abonnementseconomie