Los centros de llamadas de 1&1 aceptaban nombre y fecha de nacimiento como identificación — multa GDPR de 9,55 M€, reducida a 900 K€

En 2018, una mujer llamó a la línea de atención al cliente de 1&1 Telecom GmbH, dio el nombre y la fecha de nacimiento de su exmarido — y el agente del centro de llamadas le leyó su nuevo número de móvil. No fue un fallo aislado: el Comisionado Federal de Protección de Datos (BfDI) determinó que, en el caso habitual, los centros de llamadas de 1&1 aceptaban un nombre y una fecha de nacimiento como identificación suficiente, incluso cuando era evidente que un tercero llamaba en nombre del cliente.

El 9 de diciembre de 2019, la BfDI, la autoridad federal de supervisión de la protección de datos de telecomunicaciones, multó a 1&1 con 9,55 millones de euros en virtud del artículo 32 del GDPR. El importe provenía de la fórmula de multas de los reguladores alemanes vinculada a los ingresos del grupo, se situó en el extremo inferior del rango porque 1&1 cooperó, y reflejaba una debilidad que la BfDI calificó como que afectaba a toda la base de clientes. 1&1 se negó a pagar, calificando la multa de desproporcionada — el detonante fue una única consulta de 2018 y las comprobaciones de nombre y fecha de nacimiento eran estándar en el sector — y anunció que demandaría. Días después lanzó un PIN de servicio de cinco dígitos, obligatorio desde el 16 de diciembre de 2019.

El tribunal regional de Bonn (LG Bonn, 29 OWi 1/20, 11 de noviembre de 2020) — la primera sentencia alemana sobre una multa GDPR de millones de euros — confirmó la infracción: los centros de llamadas de 1&1 permitían habitualmente que un nombre y una fecha de nacimiento sirvieran como autenticación. Pero redujo la multa a 900.000 €: una infracción menor sin divulgación masiva, una práctica nunca antes criticada por ningún regulador, y ningún estándar legal vinculante para la autenticación en centros de llamadas. El tribunal también dictaminó que una empresa puede ser multada sin probar que un directivo cometió un error personalmente.

Multa de 9,55 M€ de la BfDI — la segunda multa GDPR de millones de euros en Alemania; un tribunal la redujo a 900.000 € en la primera sentencia del país sobre una multa GDPR

El secreto de autenticación era un dato que un atacante ya tiene: el nombre y la fecha de nacimiento son públicos, adivinables o conocidos por cualquier acosador, deudor o pariente distanciado.

El proceso falló precisamente donde importaba — los agentes divulgaron datos incluso cuando quien llamaba visiblemente no era el cliente.

Nadie asumió el riesgo: la práctica se mantuvo durante años sin medición ni cuestionamiento hasta que el caso de una víctima llegó al regulador federal.

1&1 se comparó con el mercado ('práctica estándar en aquel momento') en lugar de con la amenaza — la versión de la historia que los reguladores nunca aceptan.

La autenticación basada en datos que son públicos o adivinables no protege a nadie: un nombre y una fecha de nacimiento identifican a una persona pero no verifican a quien llama. 'Estándar del sector' no es un nivel de seguridad.

1&1 pasó a un PIN de servicio de cinco dígitos para el soporte telefónico en diciembre de 2019. La sentencia del LG Bonn redujo la multa a 900.000 € y se convirtió en la primera referencia alemana para las multas GDPR: las empresas pueden ser multadas sin atribución individual, pero los importes basados en ingresos deben mantenerse proporcionados a la infracción real. La BfDI dijo que estaba comprobando a otros proveedores de telecomunicaciones por la misma debilidad de autenticación.