De Duitse provider 1 & 1 Telecom heeft een boete van 9,5 miljoen euro gekregen voor het overtreden van de privacywet. Klanten hoefden alleen hun naam en geboortedatum te geven aan de klantenservice, wat volgens de toezichthouder niet voldoende authenticatie was.
Duitse Federale Commissie voor Databescherming en Informatievrijheid, de privacytoezichthouder van het land, deelde de boete uit. Het gaat om een boete van 9,55 miljoen euro. Klanten die belden met de klantenservice van 1 & 1 Telecom moesten hun naam en geboortedatum opgeven om zichzelf te verifiëren aan de telefoon. De BfDI vond dat niet genoeg. Het bedrijf zou daarmee Artikel 32 van de AVG overtreden. Dat stelt dat bedrijven 'voldoende technische en organisatorische maatregelen moet nemen' om gegevens te verwerken. De waakhond zegt daarmee feitelijk dat het bedrijf méér informatie moet vragen om te verifiëren of een klant is wie hij zegt.
De BfDI legde de boete op zonder waarschuwing. In veel gevallen, en zeker in Nederland, legt de toezichthouder doorgaans eerst een last onder dwangsom op. Zulke voorwaardelijke boetes moeten bedrijven motiveren zaken sneller te veranderen. "Het was nodig deze boete op te leggen", schrijft de toezichthouder. "De inbreuk ging niet over een klein gedeelte van klanten, maar was een risico voor iedere klant van het bedrijf." Volgens de toezichthouder was het bedrijf begripvol en hielp het mee in het onderzoek. "Bij het vaststellen van de hoogte van de boete is de BfDI aan de lage kant gebleven vanwege het coöperatieve gedrag van 1 & 1 Telecom." Het bedrijf zou inmiddels werken aan nieuwe authenticatieprocessen die wel aan de eisen zouden voldoen.
De boete is hoog voor een AVG-overtreding. Onder de Algemene Verordening Gegevensbescherming kunnen bedrijven een boete van twintig miljoen euro of vier procent van hun jaaromzet krijgen. Dat is wel alleen het geval als er sprake is van nalatigheid bij het verwerken van persoonsgegevens. In Nederland zijn tot nu toe nog maar een handvol AVG-boetes uitgedeeld. De hoogste daarvan was 460.000 euro. Die kwam voor rekening van het Haagse Haga Ziekenhuis, dat authenticatieprotocollen voor toegang tot medische dossiers niet op orde had.