1&1 客服中心僅以姓名和生日作為身分驗證——GDPR 罰款 955 萬歐元，後減至 90 萬歐元

2018 年，一名女子致電 1&1 Telecom GmbH 的客戶熱線，提供了前夫的姓名和出生日期——客服人員便讀出他的新手機號碼。這並非單一疏失：聯邦資料保護專員（BfDI）認定，在一般情況下，1&1 的客服中心接受姓名和出生日期作為充分的身分識別，即使明顯可見是第三方代客戶來電亦然。

2019 年 12 月 9 日，BfDI——電信資料保護的聯邦監管機關——依 GDPR 第 32 條對 1&1 開罰 955 萬歐元。該金額來自德國監管機關與集團營收掛鉤的罰款公式，因 1&1 配合調查而落在區間低端，並反映 BfDI 認定為影響全體客戶基礎的弱點。1&1 拒絕支付，稱罰款不成比例——觸發事由是 2018 年的一次單一查詢，且姓名加出生日期的查核是業界標準——並宣布將提起訴訟。數日後，該公司推出五位數服務 PIN，自 2019 年 12 月 16 日起強制適用。

波昂地方法院（LG Bonn, 29 OWi 1/20，2020 年 11 月 11 日）——德國首件關於 GDPR 百萬歐元罰款的判決——確認違規事實：1&1 的客服中心慣常讓姓名和出生日期充作身分驗證。但法院將罰款減至 90 萬歐元：屬輕微違規、無大規模揭露、該做法此前從未受任何監管機關批評，且客服中心身分驗證並無具拘束力的法律標準。法院亦裁定，公司可在未證明經理人個人有過失的情況下被處罰。

BfDI 開罰 955 萬歐元——德國第二筆 GDPR 百萬歐元罰款；法院將其減至 90 萬歐元，成為該國首件關於 GDPR 罰款的判決

身分驗證所依賴的祕密，是攻擊者早已掌握的資料：姓名和出生日期是公開的、可猜測的，或為每個跟蹤者、債務人和疏遠親屬所知。

流程恰好在最關鍵之處失效——即使來電者明顯不是客戶本人，客服人員仍揭露資料。

無人承擔此風險：該做法持續多年，未經衡量或質疑，直到一名受害者的案件送達聯邦監管機關。

1&1 以市場（「當時的標準做法」）為標竿，而非以威脅為標竿——這是監管機關從不接受的那種說法。

建立在公開或可猜測事實上的身分驗證保護不了任何人：姓名和出生日期能識別一個人，卻無法驗證來電者。「業界標準」不是安全等級。

1&1 於 2019 年 12 月改為電話支援使用五位數服務 PIN。LG Bonn 的判決將罰款減至 90 萬歐元，並成為德國 GDPR 罰款的首個基準：公司可在無個人歸責的情況下被處罰，但以營收為基礎的金額必須與實際違規保持比例。BfDI 表示正在檢查其他電信業者是否有相同的身分驗證弱點。