1&1のコールセンターは本人確認に氏名と生年月日を採用——GDPR違反で955万ユーロの制裁金、90万ユーロに減額

2018年、ある女性が1&1 Telecom GmbHのカスタマーホットラインに電話をかけ、元夫の氏名と生年月日を伝えたところ、コールセンターの担当者は元夫の新しい携帯電話番号を読み上げた。これは一度限りの失態ではなかった。連邦データ保護委員（BfDI）は、通常のケースにおいて、1&1のコールセンターが、明らかに第三者が顧客のために電話をかけている状況であっても、氏名と生年月日を十分な本人確認として受け入れていたことを認定した。

2019年12月9日、電気通信データ保護の連邦監督機関であるBfDIは、GDPR第32条に基づき1&1に955万ユーロの制裁金を科した。この金額は、グループ売上高に連動するドイツの規制当局の制裁金算定式から導かれ、1&1が協力的であったため範囲の下限に位置し、BfDIが顧客基盤全体に関わると評価した脆弱性を反映したものだった。1&1は支払いを拒否し、制裁金は均衡を欠くと主張した——きっかけは2018年の単一の問い合わせであり、氏名と生年月日による確認は業界標準だった——そして提訴すると発表した。数日後、同社は2019年12月16日から必須となる5桁のサービスPINを導入した。

ボン地方裁判所（LG Bonn、29 OWi 1/20、2020年11月11日）——GDPRの100万ユーロ制裁金に関するドイツ初の判決——は、違反を確認した。1&1のコールセンターは日常的に氏名と生年月日を認証として通用させていた。しかし同裁判所は制裁金を90万ユーロに減額した。大量の開示を伴わない軽微な違反であり、これまでいかなる規制当局も批判したことのない慣行であり、コールセンターの認証に関する拘束力のある法的基準が存在しなかったためである。同裁判所はまた、経営者が個人的に過失を犯したことを証明しなくても企業に制裁金を科すことは可能であると判示した。

BfDIによる955万ユーロの制裁金——ドイツで2件目のGDPRの100万ユーロ制裁金。裁判所がこれを90万ユーロに減額し、GDPR制裁金に関する同国初の判決となった

認証の秘密は、攻撃者がすでに持っているデータだった。氏名と生年月日は公開されているか、推測可能か、あるいはすべてのストーカー、債務者、疎遠になった親族が知っているものである。

プロセスはまさに重要な場面で破綻した——発信者が明らかに顧客本人でない場合でも、担当者がデータを開示した。

リスクの責任者は誰もいなかった。この慣行は、ある被害者の事例が連邦規制当局に届くまで、測定も異議もなく何年も続いた。

1&1は脅威ではなく市場（「当時の標準慣行」）を基準にしていた——規制当局が決して受け入れない類の話である。

公開されているか推測可能な事実に基づく認証は誰も守らない。氏名と生年月日は人を特定するが、発信者を検証しない。「業界標準」はセキュリティレベルではない。

1&1は2019年12月に電話サポート用の5桁のサービスPINに移行した。LG Bonnの判決は制裁金を90万ユーロに減額し、GDPR制裁金に関するドイツ初の基準となった。企業は個別の帰責なしに制裁金を科され得るが、売上高に基づく金額は実際の違反に対して均衡を保たなければならない。BfDIは、同じ認証の脆弱性について他の電気通信事業者を調査していると述べた。