Cookies : Violation de données : sanction de 180 000 euros à l’encontre de la société SLIMPAY
Le 28 décembre 2021, la formation restreinte de la CNIL a sanctionné la société SLIMPAY d’une amende de 180 000 euros notamment pour avoir insuffisamment protégé les données personnelles des utilisateurs et ne pas les avoir informés d’une violation de données.
La société SLIMPAY est un établissement de paiement agréé qui propose des solutions de paiement. En 2015 elle a effectué un projet de recherche interne lors duquel elle a utilisé les données personnelles contenues dans ses bases de données. A la fin du projet les données sont restées stockées sur un serveur qui ne faisait pas l’objet d’une sécurité particulière et était librement accessible sur internet. SLIMPAY alertée par un de ses clients a notifié à la CNIL en février 2020 la faille qui a concerné 12 millions de personnes.
La formation restreinte de la CNIL a constaté un manquement à l’obligation d’encadrer, par un acte juridique formalisé, les traitements effectués par un sous-traitant (article 28 du RGPD) puisque les contrats de la société ne contenaient pas de clauses permettant de s’assurer que ces sous-traitants s’engagent à traiter les données personnelles en conformité avec le RGPD.
Elle constate également un manquement à l’obligation d’assurer la sécurité des données personnelles (article 32 du RGPD) puisque l’accès au serveur en question ne faisait l’objet d’aucune mesure de sécurité, peu importe qu’il ne soit pas établi de préjudice avéré pour les personnes concernées.
Enfin, elle constate un manquement à l’obligation d’information d’une violation de données personnelles aux personnes concernées (article 34 du RGPD). En effet, le risque associé à la violation devait être considéré comme élevé (compte tenu de la nature des données, du nombre de personnes touchées et des conséquences possibles), si bien que la société aurait dû informer toutes les personnes concernées.
De ce fait, la formation restreinte a prononcé une amende de 180 000 euros et a décidé de rendre publique sa décision.
Délibération SAN-2021-020 du 28 décembre 2021.
