法国NS CARDS FRANCE电子支付服务未充分告知用户数据处理信息被罚10.5万欧元案（法国CNIL，2023年12月）

【案件背景】
NS CARDS FRANCE是一家运营neosurf.com网站和'Neosurf'移动应用的电子支付公司，用户注册账户后可进行在线支付。2021年底，法国CNIL对该公司进行了两次调查，发现了涉及数据保留期限、信息告知义务、数据安全措施以及cookies追踪器存放方式的四项违规行为。本案作为电子支付领域的告知义务典型案例，对金融科技行业具有示范意义。

【违法事实】
CNIL认定的告知义务相关违规包括：（1）违反GDPR第12条和第13条——公司在收集用户注册信息时提供的隐私政策未完整涵盖GDPR第13条要求的所有法定告知事项，包括未明确告知个人数据的保留期限（仅笼统声明'在账户存续期间保留'），未逐一列明与哪些类别的第三方共享用户数据，未说明数据是否被跨境传输及传输的保障措施；（2）隐私政策使用复杂的法务用语和被动语态，而非GDPR第12条要求的'简洁、透明、易懂和易于获取的方式，使用清晰简明的语言'（concise, transparent, intelligible and easily accessible form, using clear and plain language），使普通消费者难以理解其数据处理实践的全貌；（3）违反GDPR第5条第1款e项——数据保留期限超过实现处理目的所必需的时间。此外还认定了安全措施不足（第32条）和cookies合规违规（法国数据保护法第82条）。

【处罚决定】
2023年12月29日，CNIL对NS CARDS FRANCE处以10.5万欧元行政罚款。此案为跨国案件，法国CNIL作为牵头监管机构，其他16个欧盟/欧洲经济区成员国的监管机构参与了合作审查。NS CARDS FRANCE须在指定期限内完成整改并向CNIL提交合规证明。

【典型意义】
本案对金融科技和电子支付行业的启示包括：一是'轻量级'App和小微企业的告知义务标准不会因规模而降低——即使是一个相对简单的电子支付服务，也须按照GDPR第13条法定清单逐项告知；二是'在账户存续期间保留'这类模糊表述不构成有效的数据保留期限告知，企业须说明具体的保留时长或确定保留期限的具体标准；三是多CSAs参与的跨国案件表明告知义务违规不存在'监管洼地'——无论企业注册于哪个欧盟成员国，均面临一致的审查标准。