La CNIL ha recentemente ingiunto una sanzione amministrativa di oltre 100 mila euro nei confronti della società NS Cards France, azienda di pagamenti online. Tra le violazioni GDPR contestate rientrano quelle inerenti alla normativa sui cookie e tracker e al periodo di conservazione dei dati.
La vicenda
NS Cards France pubblica il sito “neosurf.com” e, conseguentemente, l’app mobile Neosurf, al fine di effettuare pagamenti online previa registrazione al sistema. In particolare, Neosurf consente agli utenti di acquistare voucher prepagati per svolgere transazioni online su siti partner. Inoltre, il servizio permette di creare, in maniera combinata, un portafoglio elettronico attraverso la creazione di un account sul sito web di riferimento.
A seguito di due ispezioni da parte della CNIL (Autorità Garante Privacy francese) sono emerse diverse violazioni nei confronti della società, tra cui:
- Conservazione dei dati: successivamente all’indagine condotta, i dati risultano ancora disponibili, nonostante il periodo di conservazione accordato dalla società di massimo dieci anni. È evidente la violazione all’art 5.1. e del GDPR.
- Informativa: l’informativa presente sul sito web e sull’app mobile non è conforme agli standard dell’art. 12 e 13 del GDPR. In particolare, essa risulta obsoleta poiché le informazioni all’interno non risultano aggiornate.
- Cookie e tracker: la CNIL ha notato l’inserimento di cookie di Google Analytics sul terminale dell’utente senza consenso, colpendo ogni visitatore del sito web. Pertanto, è chiaro il mancato rispetto degli obblighi relativi all’uso di cookie di tracciamento (articolo 82 della legge francese sulla protezione dei dati).
- Misure di sicurezza: le misure di sicurezza risultano non conformi: le password risultano essere conservate senza l’applicazione di alcuna misura di sicurezza, violando l’art. 32 del GDPR.
Pertanto, a seguito di queste violazioni, il 29 dicembre 2023, la CNIL ha emesso una sanzione di 105 mila euro verso la società NS Cards France per il mancato rispetto delle norme sui cookie, della durata della conservazione dei dati e circa la mancata protezione delle informazioni delle persone e la sicurezza dei dati.
Conclusioni
Il caso precedentemente descritto dimostra la necessità di impiegare delle informative corrette, delle politiche di creazione delle password e della loro corretta conservazione e, infine, dei controlli di sicurezza adeguati.
Il Regolamento sottolinea l’importanza circa l’adozione di comportamenti proattivi e tali da dimostrare la concreta adozione di misure finalizzate ad assicurare l’applicazione del regolamento.
