Les centres d'appel de 1&1 prenaient un nom et une date de naissance comme pièce d'identité — amende RGPD de 9,55 M€, réduite à 900 K€

En 2018, une femme a appelé la hotline client de 1&1 Telecom GmbH, a donné le nom et la date de naissance de son ex-mari — et l'agent du centre d'appel lui a lu son nouveau numéro de portable. Il ne s'agissait pas d'un incident isolé : le Commissaire fédéral à la protection des données (BfDI) a constaté que, dans le cas habituel, les centres d'appel de 1&1 acceptaient un nom et une date de naissance comme identification suffisante, même lorsqu'il était manifeste qu'un tiers appelait pour le client.

Le 9 décembre 2019, le BfDI, autorité fédérale de supervision de la protection des données des télécommunications, a infligé à 1&1 une amende de 9,55 millions d'euros au titre de l'article 32 du RGPD. Le montant découlait de la formule d'amende des régulateurs allemands liée au chiffre d'affaires du groupe, se situait dans le bas de la fourchette parce que 1&1 avait coopéré, et reflétait une faiblesse que le BfDI jugeait comme touchant l'ensemble de la base clients. 1&1 a refusé de payer, qualifiant l'amende de disproportionnée — le déclencheur était une seule demande en 2018 et les vérifications nom-et-date de naissance étaient la norme du secteur — et a annoncé qu'elle intenterait une action en justice. Quelques jours plus tard, elle a déployé un code PIN de service à cinq chiffres, obligatoire à partir du 16 décembre 2019.

Le tribunal régional de Bonn (LG Bonn, 29 OWi 1/20, 11 novembre 2020) — premier jugement allemand sur une amende RGPD de plusieurs millions d'euros — a confirmé la violation : les centres d'appel de 1&1 laissaient régulièrement un nom et une date de naissance faire office d'authentification. Mais il a réduit l'amende à 900 000 € : une violation mineure sans divulgation de masse, une pratique jamais critiquée auparavant par aucun régulateur, et aucune norme juridique contraignante pour l'authentification en centre d'appel. Le tribunal a également jugé qu'une entreprise peut être sanctionnée sans qu'il soit prouvé qu'un dirigeant a personnellement commis une faute.

Amende de 9,55 M€ infligée par le BfDI — deuxième amende RGPD de plusieurs millions d'euros en Allemagne ; un tribunal l'a réduite à 900 000 € dans le premier jugement du pays sur une amende RGPD

Le secret d'authentification était une donnée que l'attaquant possède déjà : le nom et la date de naissance sont publics, devinables, ou connus de tout harceleur, débiteur et parent éloigné.

Le processus a échoué précisément là où cela comptait — les agents ont divulgué des données même lorsque l'appelant n'était visiblement pas le client.

Personne n'était responsable du risque : la pratique a duré des années sans mesure ni remise en question jusqu'à ce que le cas d'une victime parvienne au régulateur fédéral.

1&1 s'est comparée au marché (« pratique standard de l'époque ») plutôt qu'à la menace — la version de l'histoire que les régulateurs n'acceptent jamais.

Une authentification fondée sur des faits publics ou devinables ne protège personne : un nom et une date de naissance identifient une personne mais ne vérifient pas un appelant. « Norme du secteur » n'est pas un niveau de sécurité.

1&1 est passée à un code PIN de service à cinq chiffres pour le support téléphonique en décembre 2019. Le jugement du LG Bonn a réduit l'amende à 900 000 € et est devenu la première référence allemande pour les amendes RGPD : les entreprises peuvent être sanctionnées sans imputation individuelle, mais les montants fondés sur le chiffre d'affaires doivent rester proportionnés à la violation réelle. Le BfDI a déclaré qu'il vérifiait d'autres fournisseurs de télécommunications pour la même faiblesse d'authentification.