Call centers da 1&1 aceitavam nome e data de nascimento como identificação — multa de €9,55 mi pelo RGPD, reduzida para €900 mil

Em 2018, uma mulher ligou para a central de atendimento ao cliente da 1&1 Telecom GmbH, informou o nome e a data de nascimento do ex-marido — e o atendente leu em voz alta o novo número de celular dele. Não foi uma falha isolada: o Comissário Federal para a Proteção de Dados (BfDI) constatou que, no caso usual, as centrais de atendimento da 1&1 aceitavam nome e data de nascimento como identificação suficiente, mesmo quando era evidente que um terceiro ligava em nome do cliente.

Em 9 de dezembro de 2019, a BfDI, autoridade federal de supervisão da proteção de dados no setor de telecomunicações, aplicou à 1&1 multa de €9,55 milhões com base no Artigo 32 do RGPD. O valor decorreu da fórmula de multas dos reguladores alemães vinculada ao faturamento do grupo, ficou na faixa inferior do intervalo porque a 1&1 cooperou, e refletiu uma fragilidade que a BfDI classificou como afetando toda a base de clientes. A 1&1 recusou-se a pagar, alegando que a multa era desproporcional — o gatilho foi uma única consulta de 2018 e a verificação por nome e data de nascimento era padrão do setor — e anunciou que iria à Justiça. Dias depois, lançou um PIN de serviço de cinco dígitos, obrigatório a partir de 16 de dezembro de 2019.

O tribunal regional de Bonn (LG Bonn, 29 OWi 1/20, 11 de novembro de 2020) — a primeira decisão judicial alemã sobre uma multa milionária do RGPD — confirmou a violação: as centrais de atendimento da 1&1 rotineiramente aceitavam nome e data de nascimento como autenticação. Mas reduziu a multa para €900.000: uma infração leve, sem divulgação em massa, uma prática nunca antes criticada por nenhum regulador e sem padrão jurídico vinculante para autenticação em centrais de atendimento. O tribunal também decidiu que uma empresa pode ser multada sem que se prove erro pessoal de um gestor.

Multa de €9,55 mi aplicada pela BfDI — a segunda multa milionária do RGPD na Alemanha; um tribunal a reduziu para €900.000 na primeira decisão judicial do país sobre uma multa do RGPD

O segredo de autenticação era um dado que um atacante já possui: nome e data de nascimento são públicos, adivinháveis ou conhecidos por qualquer perseguidor, devedor ou parente distante.

O processo falhou exatamente onde importava — os atendentes divulgaram dados mesmo quando o interlocutor visivelmente não era o cliente.

Ninguém era responsável pelo risco: a prática durou anos sem medição ou contestação até que o caso de uma vítima chegasse ao regulador federal.

A 1&1 comparou-se com o mercado ('prática padrão da época') em vez de se comparar com a ameaça — a versão da história que os reguladores nunca aceitam.

Autenticação baseada em fatos públicos ou adivinháveis não protege ninguém: um nome e uma data de nascimento identificam uma pessoa, mas não verificam quem está ligando. 'Padrão do setor' não é um nível de segurança.

A 1&1 passou a usar um PIN de serviço de cinco dígitos para o suporte telefônico em dezembro de 2019. A decisão do LG Bonn reduziu a multa para €900.000 e tornou-se a primeira referência alemã para multas do RGPD: empresas podem ser multadas sem atribuição individual, mas valores baseados no faturamento devem permanecer proporcionais à infração efetiva. A BfDI declarou que estava verificando outros provedores de telecomunicações quanto à mesma fragilidade de autenticação.