CNIL verhängt gegen NEXPUBLICA FRANCE eine Geldstrafe von 1,7 Millionen EUR wegen unzureichender Datensicherheitsmaßnahmen, die zu einer Datenschutzverletzung führten
Die CNIL verhängte am 22. Dezember 2025 gegen NEXPUBLICA FRANCE eine Geldstrafe von 1,7 Millionen EUR wegen unzureichender Datensicherheitsmaßnahmen, die zu einer Datenschutzverletzung führten. Diese Entscheidung macht das Unternehmen für weit verbreitete Schwachstellen in seinem Informationssystem und Fahrlässigkeit bei der Duldung struktureller Sicherheitsprobleme verantwortlich.
Die französische Datenschutzbehörde, die CNIL, verhängte gegen NEXPUBLICA FRANCE eine Verwaltungsstrafe von 1,7 Millionen EUR nach Untersuchungen einer Datenschutzverletzung. Die im November 2022 von Kunden gemeldete Verletzung ermöglichte den Zugriff auf Dokumente Dritter über die PCRM Software des Unternehmens, die in der Sozialarbeit, insbesondere von den Abteilungsstellen für Menschen mit Behinderungen (MDPH), verwendet wird. Der eingeschränkte Ausschuss der CNIL stellte fest, dass NEXPUBLICA FRANCE die Anforderungen von Artikel 32 der DSGVO nicht erfüllte, und führte weit verbreitete Schwachstellen im Informationssystem sowie Fahrlässigkeit bei der Behebung anhaltender Sicherheitsprobleme an. Die Entscheidung, die Geldstrafe öffentlich zu machen, berücksichtigte auch die Finanzkraft des Unternehmens, dessen Versäumnis, grundlegende Sicherheitsprinzipien einzuhalten, die Anzahl der betroffenen Personen und die Sensibilität der verarbeiteten Daten, die Informationen über Behinderungen enthielten.
Datensicherheitsmängel bleiben eine anhaltende Herausforderung, wobei Artikel 32 der DSGVO häufig in Durchsetzungsmaßnahmen zitiert wird.
Article 32 GDPR
- Wen das bindet
- Organisationen, die personenbezogene Daten verarbeiten, insbesondere solche, die Software für sensible Bereiche wie die Sozialarbeit entwickeln und implementieren, müssen eine robuste Datensicherheit gewährleisten.
- Was sich geändert hat
- Die Entscheidung der CNIL vom 22. Dezember 2025 stellt klar, dass weit verbreitete Schwachstellen im Informationssystem und Fahrlässigkeit bei der Behebung struktureller Sicherheitsprobleme einen Verstoß gegen Artikel 32 DSGVO darstellen.
- Was zu prüfen ist
- Organisationen sollten ihre technischen und organisatorischen Maßnahmen zur Datensicherheit, insbesondere für Software, die sensible Daten verarbeitet, anhand der Anforderungen von Artikel 32 DSGVO überprüfen.
- Was das nicht bedeutet
- Diese Entscheidung bedeutet nicht, dass alle Datenschutzverletzungen automatisch zu einer Geldstrafe von 1,7 Millionen EUR führen, da der Betrag durch spezifische Faktoren wie die Finanzkraft und die Datensensibilität bestimmt wurde.
An Ihr Team weiterleiten
Die CNIL verhängte am 22. Dezember 2025 gegen NEXPUBLICA FRANCE eine Geldstrafe von 1,7 Millionen EUR, weil das Unternehmen keine ausreichenden Datensicherheitsmaßnahmen gemäß Artikel 32 DSGVO implementiert hatte, was Organisationen betrifft, die sensible personenbezogene Daten verarbeiten.