1&1 콜센터, 이름과 생년월일을 신원 확인으로 사용 — GDPR 과징금 955만 유로, 90만 유로로 감액

2018년, 한 여성이 1&1 Telecom GmbH의 고객 핫라인에 전화해 전 남편의 이름과 생년월일을 말했고, 콜센터 상담원은 그의 새 휴대전화 번호를 읽어주었다. 이는 일회성 실수가 아니었다. 연방데이터보호감독관(BfDI)은 통상적인 경우 1&1의 콜센터가 제3자가 고객을 대신해 전화하고 있음이 명백한 경우에도 이름과 생년월일을 충분한 신원 확인으로 받아들였다고 판단했다.

2019년 12월 9일, 통신 데이터 보호의 연방 감독 기관인 BfDI는 GDPR 제32조에 따라 1&1에 955만 유로의 과징금을 부과했다. 이 금액은 그룹 매출에 연동된 독일 규제 당국의 과징금 산정 공식에서 나온 것으로, 1&1이 협조했기 때문에 해당 범위의 하한선에 해당했으며, BfDI가 전체 고객 기반에 영향을 미치는 것으로 평가한 취약점을 반영했다. 1&1은 과징금이 불균형하다며 지불을 거부했다. 발단은 2018년의 단 한 건의 문의였고 이름과 생년월일 확인은 업계 표준이었다는 것이다. 그리고 소송을 제기하겠다고 발표했다. 며칠 후 1&1은 2019년 12월 16일부터 의무화되는 5자리 서비스 PIN을 도입했다.

본(Bonn) 지역법원(LG Bonn, 29 OWi 1/20, 2020년 11월 11일)은 GDPR 백만 유로 과징금에 관한 최초의 독일 판결에서 위반 사실을 확인했다. 1&1의 콜센터가 일상적으로 이름과 생년월일을 인증 수단으로 인정했다는 것이다. 그러나 과징금을 90만 유로로 감액했다. 대규모 유출이 없는 경미한 위반이고, 어떤 규제 당국도 이전에 비판한 적 없는 관행이며, 콜센터 인증에 관한 구속력 있는 법적 기준이 없다는 점을 이유로 들었다. 법원은 또한 경영진이 개인적으로 잘못했다는 점을 입증하지 않고도 회사에 과징금을 부과할 수 있다고 판결했다.

BfDI의 955만 유로 과징금 — 독일에서 두 번째 GDPR 백만 유로 과징금; 법원이 이를 90만 유로로 감액한, GDPR 과징금에 관한 독일 최초의 판결

인증 비밀은 공격자가 이미 가지고 있는 데이터였다. 이름과 생년월일은 공개되어 있거나 추측 가능하거나, 모든 스토커, 채무자, 소원해진 친척이 알고 있는 정보다.

프로세스는 정확히 중요한 지점에서 실패했다. 상담원은 발신자가 명백히 고객이 아닌 경우에도 데이터를 공개했다.

위험의 책임자가 없었다. 이 관행은 한 피해자의 사건이 연방 규제 당국에 도달할 때까지 측정이나 이의 제기 없이 수년간 지속되었다.

1&1은 위협이 아니라 시장('당시의 표준 관행')을 기준으로 삼았다. 규제 당국이 결코 받아들이지 않는 이야기 방식이다.

공개되어 있거나 추측 가능한 사실에 기반한 인증은 누구도 보호하지 못한다. 이름과 생년월일은 사람을 식별하지만 발신자를 검증하지는 않는다. '업계 표준'은 보안 수준이 아니다.

1&1은 2019년 12월 전화 지원에 5자리 서비스 PIN을 도입했다. LG Bonn의 판결은 과징금을 90만 유로로 감액했고 GDPR 과징금에 관한 독일 최초의 기준이 되었다. 회사는 개별 귀책 입증 없이도 과징금을 부과받을 수 있지만, 매출 기반 금액은 실제 위반에 비례해야 한다는 것이다. BfDI는 동일한 인증 취약점에 대해 다른 통신 사업자들을 점검하고 있다고 밝혔다.