De Duitse federale commissaris voor gegevensbescherming en informatievrijheid, BfDI, Prof. Dr. Louisa Specht-Riemenschneider, heeft Vodafone GmbH twee boetes opgelegd van in totaal 45 miljoen euro. De boetes zijn opgelegd wegens nalatigheid in de controle op partneragentschappen en aanhoudende beveiligingslekken in hun systemen, waardoor persoonsgegevens van klanten in gevaar kwamen.

Fraude en onvoldoende toezicht

Een boete van 15 miljoen euro werd opgelegd omdat Vodafone GmbH haar partneragentschappen, die namens het bedrijf contracten met klanten afsluiten, onvoldoende had gecontroleerd op het naleven van de privacywetgeving (Artikel 28, lid 1, eerste zin AVG). Dit leidde tot fraudegevallen waarbij medewerkers van deze bureaus valse contracten afsloten of contractwijzigingen uitvoerden ten nadele van klanten.

Daarnaast ontving Vodafone een waarschuwing wegens schending van Artikel 32, lid 1 AVG, vanwege vastgestelde kwetsbaarheden in bepaalde verkoopsystemen.

Beveiligingsproblemen bij authenticatie

Een tweede boete van 30 miljoen euro volgde wegens tekortkomingen in het authenticatieproces bij de gecombineerde aanvraag van het online portaal “MeinVodafone” en de Vodafone Hotline. Deze zwakke punten in de authenticatie maakten het onder meer mogelijk voor onbevoegde derden om eSIM-profielen op te vragen, wat een aanzienlijk risico vormde voor de privacy van klanten.

Vodafone heeft maatregelen genomen

Vodafone GmbH heeft inmiddels haar processen en systemen verbeterd en gedeeltelijk vervangen om dergelijke risico’s in de toekomst uit te sluiten. Ook zijn de procedures voor de selectie en auditing van partneragentschappen herzien, en heeft het bedrijf afscheid genomen van partners waar fraudegevallen zijn geconstateerd. De BfDI zal de effectiviteit van de genomen maatregelen in een vervolgcontrole beoordelen.

Deze versturen we 3-4x per jaar.