1&1呼叫中心仅凭姓名和出生日期作为身份验证——GDPR罚款955万欧元，后减至90万欧元

2018年，一名女子致电1&1 Telecom GmbH的客户热线，报出前夫的姓名和出生日期——呼叫中心坐席随即读出了他的新手机号码。这并非一次偶发失误：德国联邦数据保护专员（BfDI）认定，在通常情况下，1&1的呼叫中心接受姓名和出生日期作为充分身份验证，即使明显是第三方在为该客户致电。

2019年12月9日，作为电信数据保护的联邦监管机构，BfDI依据GDPR第32条对1&1处以955万欧元罚款。该金额来自德国监管机构与集团营收挂钩的罚款公式，因1&1配合调查而处于区间低端，并反映了BfDI认定涉及全部客户群的薄弱环节。1&1拒绝支付，称罚款不成比例——触发事由仅是2018年的一次查询，且姓名加出生日期的核验是行业标准——并宣布将提起诉讼。数日后，该公司推出了五位数的服务PIN码，自2019年12月16日起强制使用。

波恩地区法院（LG Bonn, 29 OWi 1/20，2020年11月11日）——德国首份关于GDPR百万欧元罚款的判决——确认了违规行为：1&1的呼叫中心通常允许以姓名和出生日期作为身份验证。但法院将罚款减至90万欧元：属轻微违规，未发生大规模数据泄露，该做法此前从未受到任何监管机构批评，且呼叫中心身份验证没有具有约束力的法律标准。法院还裁定，公司可在未证明管理者个人过失的情况下被处以罚款。

BfDI处以955万欧元罚款——德国第二笔GDPR百万欧元罚款；法院将其减至90万欧元，成为该国首份关于GDPR罚款的判决

身份验证所依赖的秘密信息是攻击者本就掌握的数据：姓名和出生日期是公开的、可猜测的，或为每个跟踪者、债务人和关系疏远的亲属所知。

流程恰恰在关键环节失效——即使来电者明显不是客户本人，坐席仍披露了数据。

无人对风险负责：该做法持续多年，未经衡量或质疑，直到一名受害者的案件提交至联邦监管机构。

1&1以市场为基准（“当时的行业标准”），而非以威胁为基准——这是监管机构从不接受的叙事版本。

建立在公开或可猜测事实之上的身份验证保护不了任何人：姓名和出生日期能识别一个人，但不能验证来电者身份。“行业标准”不是安全等级。

1&1于2019年12月对电话支持改用五位数服务PIN码。LG Bonn的判决将罚款减至90万欧元，并成为德国GDPR罚款的首个基准：公司可在无个人归责的情况下被罚款，但基于营收的金额必须与实际违规行为保持相称。BfDI表示正在检查其他电信提供商是否存在相同的身份验证薄弱环节。