Edição

Esta é uma edição permanente. Ela traz o briefing exatamente como foi publicado nesta data e não muda.

CNIL Multa NEXPUBLICA FRANCE em EUR 1,7 Milhão por Medidas Insuficientes de Segurança de Dados Levando a Violação

A CNIL, em 22 de dezembro de 2025, multou a NEXPUBLICA FRANCE em EUR 1,7 milhão por medidas insuficientes de segurança de dados que levaram a uma violação de dados. Esta decisão responsabiliza a empresa por fraquezas generalizadas em seu sistema de informação e negligência em permitir que problemas estruturais de segurança persistissem.

A autoridade francesa de proteção de dados, a CNIL, impôs uma multa administrativa de EUR 1,7 milhão à NEXPUBLICA FRANCE após investigações sobre uma violação de dados. A violação, notificada em novembro de 2022 por clientes, permitiu o acesso a documentos de terceiros através do software PCRM da empresa, que é utilizado na ação social, particularmente por casas departamentais para pessoas com deficiência (MDPH). O comitê restrito da CNIL constatou que a NEXPUBLICA FRANCE não cumpriu os requisitos do Artigo 32 do GDPR, citando fraquezas generalizadas no sistema de informação e negligência em abordar problemas de segurança persistentes. A decisão de tornar a multa pública também considerou a capacidade financeira da empresa, sua falha em aderir aos princípios básicos de segurança, o número de indivíduos afetados e a sensibilidade dos dados processados, que incluíam informações reveladoras de deficiências.

Falhas na segurança de dados permanecem um desafio persistente, com o Artigo 32 do GDPR frequentemente citado em ações de fiscalização.

Article 32 GDPR

Quem isso vincula
Organizações que processam dados pessoais, particularmente aquelas que desenvolvem e implementam software para setores sensíveis como a ação social, devem garantir uma segurança de dados robusta.
O que mudou
A decisão da CNIL de 22 de dezembro de 2025 esclarece que fraquezas generalizadas no sistema de informação e negligência em abordar problemas estruturais de segurança constituem uma violação do Artigo 32 do GDPR.
O que verificar
As organizações devem revisar suas medidas técnicas e organizacionais para a segurança de dados, especialmente para software que lida com dados sensíveis, em relação aos requisitos do Artigo 32 do GDPR.
O que isso não significa
Esta decisão não significa que todas as violações de dados resultam automaticamente em uma multa de EUR 1,7 milhão, pois o valor foi determinado por fatores específicos, incluindo capacidade financeira e sensibilidade dos dados.

Envie isto para sua equipe

A CNIL multou a NEXPUBLICA FRANCE em EUR 1,7 milhão em 22 de dezembro de 2025 por não implementar medidas suficientes de segurança de dados sob o Artigo 32 do GDPR, afetando organizações que processam dados pessoais sensíveis.

A questão de hoje

Uma empresa de telecomunicações na França sofre uma violação de dados onde um invasor obtém acesso a 24 milhões de contratos de assinantes, incluindo IBANs. A CNIL investiga e constata medidas de segurança insuficientes e notificação tardia aos titulares dos dados. Quais artigos do GDPR são mais prováveis de serem citados na ação de fiscalização resultante?

  1. Artigo 5(1)(a) (Licitude, lealdade e transparência) e Artigo 6 (Licitude do tratamento)
  2. Artigo 32 (Segurança do tratamento) e Artigo 34 (Comunicação de uma violação de dados pessoais ao titular dos dados)
  3. Artigo 17 (Direito ao apagamento) e Artigo 21 (Direito de oposição)
  4. Artigo 28 (Subcontratante) e Artigo 30 (Registos das atividades de tratamento)

Responder a esta questão no site

Também vale saber

  1. ICO Realiza Auditoria de Proteção de Dados do Serviço de Tribunais e Cortes Escocesas

    Órgãos do setor público, particularmente dentro do sistema de justiça criminal, devem antecipar e se preparar para auditorias de proteção de dados do ICO para garantir a conformidade contínua com o UK GDPR.

  2. DPA Holandesa Aconselha Usuários do Twitch a Desativar o Compartilhamento de Dados com a Amazon AI

    O conselho da Autoridade Holandesa de Proteção de Dados aos usuários do Twitch para desativar o compartilhamento de dados com a Amazon AI sinaliza um crescente escrutínio regulatório sobre como as plataformas de streaming usam conteúdo gerado pelo usuário para o treinamento de modelos de inteligência artificial.

  3. Connecticut Diz que Dados de 41.000 Membros do Medicaid Expostos em Violação de Portal; o Segundo Incidente de Portal Este Ano

    As repetidas violações de portal afetando membros do Medicaid de Connecticut sinalizam que organizações do setor público que gerenciam dados de saúde podem enfrentar vulnerabilidades sistêmicas que exigem supervisão aprimorada de fornecedores.

  4. Notas da IAPP Canadá: Quando Excluir Dados Cedo Demais se Torna o Risco de Privacidade

    Profissionais de privacidade no Canadá devem entender que a minimização de dados envolve políticas cuidadosas de retenção de dados, onde a exclusão prematura pode, por si só, criar riscos de privacidade, conforme observado pelo Comissário de Newfoundland e Labrador.

Compilado naquela manhã a partir de fontes reguladoras, judiciais e oficiais. As fontes primárias estão vinculadas em cada notícia.