法国电信运营商VPN认证机制不健全+未对数据分级加密存储导致2400万用户合同数据泄露被罚4200万欧元案

【案件背景】
2026年1月13日，法国国家信息与自由委员会（CNIL）对某移动通信公司和某电信服务提供商分别处以2700万欧元和1500万欧元的罚款，合计4200万欧元，成为法国数据保护史上最大规模的联合处罚之一。2024年10月，攻击者成功入侵了两家公司的信息系统，获取了2400万份用户合同的个人数据，其中包括同时是两家公司客户的用户的国际银行账号（IBAN）——这是金融级别的高度敏感数据，一旦被滥用可能导致直接的财产损失。

【违法事实】
CNIL调查发现，两家公司在确保用户数据安全方面存在多项系统性违规：一是未能充分履行GDPR第32条规定的数据安全保障义务——VPN连接认证程序不够健壮，攻击者能够通过弱认证机制获得内部网络访问权限；二是信息系统异常行为检测措施失效——公司在攻击发生后的相当长时间内未能发现异常活动，缺乏有效的安全监控体系；三是违反GDPR第34条——在数据泄露发生后，未能向受影响的个人提供全面、必要的信息告知，包括泄露数据的具体类型、潜在风险以及可采取的保护措施；四是某移动通信公司还违反了GDPR第5条第1款e项规定的数据保留期限限制义务——未经正当理由长期保留了数百万前用户的个人数据，这本质上是对数据未进行分级清理和生命周期管理的后果。

【处罚决定】
CNIL对移动通信公司罚款2700万欧元，对电信服务提供商罚款1500万欧元，合计4200万欧元。同时责令两家公司在规定期限内完成安全措施的强化和历史数据的全面清理工作。

【典型意义】
本案是电信行业GDPR安全义务违规的标志性案例，其典型意义体现在多个层面。一是数据的分级保护义务——IBAN银行账号属于高风险金融数据，按照GDPR的风险导向方法，对此类数据应当实施最高级别的安全保护（包括加密存储、强认证访问、实时异常监控），而本案中企业未对不同级别数据实施差异化保护。二是'数据囤积'即风险的合规理念——移动通信公司长期保留数百万前用户的个人数据，违反了'存储限制'原则。深圳市政府发布的案件提示中明确指出：'企业应建立健全数据生命周期管理机制，定期对所持有的个人数据进行审查和分类，确保仅在实现特定目的所必需的期限内存储数据'。三是远程访问安全是企业安全体系的阿喀琉斯之踵——VPN认证不健全是本次攻击的突破口，警示企业必须对远程访问实施多因素认证和持续监控。