Stručně: Kdo musí nebo chce zákazníky po úniku dat informovat, rozhodne nejdřív s pověřencem pro ochranu osobních údajů a právníkem, zda existuje povinnost podle čl. 34 GDPR, a ujasní, zda jsou firemní zákazníci sami správci. Poté následují skupiny zákazníků, bezpečné kanály, připravený zákaznický servis a závěrečná zpráva. Zprávy neobsahují odkazy na přihlášení, aby se nestaly předlohou pro phishing. Tato stránka je obecná informace a není právním poradenstvím.
E-mail, kterého se všichni bojí
Server je vyčištěn, zranitelnost uzavřena, forenzní analýza má první výsledky. Nyní na stole leží otázka, které by se mnoho jednatelů raději vyhnulo: Musíme to říct zákazníkům? A pokud ano, jak, aniž bychom napáchali víc škody než samotný incident?
Situace kolem PHP2Shell tuto otázku pro mnoho firem nově vyvolala, i bez průniku. Weby byly preventivně offline, zákazníci se ptali a podvodníci takové situace podle zkušeností využívají pro falešné zprávy. Jak je krizová komunikace v zásadě postavena, v jakém pořadí a s jakým obsahem, popisuje Krizová komunikace po útoku. Tento příspěvek jde o krok hlouběji: rozhodnutí, skupiny zákazníků a praktické provedení.
Informování zákazníků po úniku dat: povinnost, nebo rozhodnutí?
Čl. 34 GDPR vyžaduje bez zbytečného odkladu uvědomit dotčené osoby, pokud porušení zabezpečení osobních údajů pravděpodobně povede k vysokému riziku pro jejich práva a svobody. Oznámení popisuje povahu porušení jasným a jednoduchým jazykem a obsahuje alespoň kontaktní osobu, pravděpodobné důsledky a přijatá nebo plánovaná opatření.
Čl. 34 odst. 3 uvádí výjimky: pokud jsou údaje například šifrováním pro neoprávněné osoby nepřístupné, pokud následná opatření vysoké riziko pravděpodobně odstraní, nebo pokud by oznámení znamenalo nepřiměřené úsilí; pak nastoupí veřejné oznámení. Zda některá z těchto výjimek platí, je právní posouzení v konkrétním případě. Patří pověřenci pro ochranu osobních údajů a právníkovi, stejně jako oznámení dozorovému úřadu, viz Oznamovací povinnost podle GDPR: 72 hodin po incidentu.
I bez povinnosti může být informace užitečná. Zákazníci, kteří se o incidentu dozvědí z jiného zdroje, ztrácejí důvěru rychleji než ti, kteří to uslyší od vás.
Zůstává otázka načasování. Kdo informuje příliš brzy, musí svá tvrzení možná opravovat. Kdo čeká příliš dlouho, riskuje, že zákazníci mezitím utrpí škodu, například phishingem s uniklými adresami. Osvědčený kompromis: sdělit brzy, co je jisté a co mohou zákazníci sami udělat, a výslovně ohlásit, že další informace budou následovat. „Bez zbytečného odkladu“ ve smyslu čl. 34 neznamená čekat na konec vyšetřování.
Které zákazníky jak oslovit
Ne všichni zákazníci potřebují stejnou zprávu. Rozlišujte alespoň tři skupiny:
| Skupina zákazníků | Vaše role | Co to znamená pro informování |
|---|---|---|
| Soukromí zákazníci s účtem nebo objednávkou | většinou správce | posoudit oznámení podle čl. 34, srozumitelný jazyk, konkrétní doporučení |
| Firemní zákazníci, jejichž údaje používáte pro vlastní účely | většinou správce | věcná informace určeným kontaktním osobám, zařazení pro jejich vlastní povinnosti |
| Firemní zákazníci, pro které údaje zpracováváte jejich jménem | zpracovatel | informace bez zbytečného odkladu podle čl. 33 odst. 2, podpora při jejich oznámeních |
Třetí skupina se často přehlíží. Pokud například provozujete e-shopy nebo portály pro zákazníky, jsou tito zpravidla sami správci a musí plnit vlastní oznamovací povinnosti. K tomu potřebují vaše informace rychle a úplně.
Volit kanály tak, aby nepodporovaly phishing
Nejbezpečnějším kanálem je ten, který už zákazníci znají. Osvědčily se:
- E-mail z obvyklé adresy odesílatele, bez odkazů na přihlášení a bez příloh, s upozorněním, aby si web otevřeli sami.
- Upozornění po přihlášení v zákaznickém účtu, jakmile systém opět běží bezpečně.
- Upozornění na webu, jako veřejný doplněk nebo, kde to čl. 34 odst. 3 předvídá, jako veřejné oznámení.
- Dopis pro zákazníky bez aktuální e-mailové adresy nebo u zvlášť citlivých údajů.
- Telefon a zákaznický servis jako kontaktní místo pro dotazy, s číslem, které zákazníci už znají z vašeho webu nebo faktury.
V každé zprávě výslovně uveďte, že se nikdy e-mailem ani telefonicky neptáte na hesla, kódy nebo platební údaje. Podvodníci po známých incidentech rádi rozesílají zprávy, které vypadají jako ty vaše.
Od rozhodnutí po závěrečnou zprávu
Takto může postup vypadat v praxi:
- Zaznamenat fakta: co je doloženo, co pravděpodobné, co neznámé. Navenek jde jen doložené.
- Zajistit právní posouzení: povinnost podle čl. 34, role vůči firemním zákazníkům, sladění s oznámením úřadu.
- Určit skupiny zákazníků a kanály, distribuční seznam vzít z vlastního systému, ne z možná zmanipulované kopie.
- Připravit zákaznický servis: interní otázky a odpovědi, jasné sdělení, předávání obtížných případů určenému místu.
- Formulovat doporučení pro zákazníky: například změnit heslo, pokud mohou být dotčeny přihlašovací údaje, a dávat pozor na podezřelé zprávy.
- Odeslat a zdokumentovat: kdo byl kdy informován a kterým kanálem.
- Navázat: sdělit nové poznatky a odeslat závěrečnou zprávu, až bude vyšetřování ukončeno.
Kdo má kontaktní cesty uvnitř firmy předem stanoveny, ušetří při tom hodně času, viz Nouzové kontakty: kdo musí být kdy informován?. Technické kroky, které by měly informování předcházet, shrnuje Kontrolní seznam po napadení.
Jak konkrétně pomáhá PHP SOS?
- Technická fakta o incidentu dodáváme připravená tak, aby pověřenec pro ochranu osobních údajů a právník mohli posoudit povinnosti.
- Vaše zprávy zákazníkům kontrolujeme z hlediska technické správnosti a toho, aby útočníkům nedávaly žádné vodítko.
- Zajišťujeme, aby distribuční seznamy a zákaznické účty pocházely z vyčištěného systému, než začnete odesílat.
- Prostřednictvím reakce na incidenty dodáváme poznatky pro následné a závěrečné zprávy v dohodnutém taktu.
Závěr: Dobré informování zákazníků je právně ověřené, rozdělené podle skupin, odeslané bezpečnými kanály a dotažené do konce. Tato stránka je obecná informace a není právním poradenstvím; rozhodnutí v konkrétním případě učiníte s pověřencem pro ochranu osobních údajů a právníkem.
Časté dotazy
Kdy musím zákazníky po úniku dat informovat?
Podle čl. 34 GDPR tehdy, pokud porušení pravděpodobně povede k vysokému riziku pro práva a svobody dotčených osob. Existují výjimky, například při účinném šifrování dat. Posouzení provedete s pověřencem pro ochranu osobních údajů a právníkem; tato stránka není právním poradenstvím.
Co platí, když zpracovávám údaje jménem svých firemních zákazníků?
Pak jsou vaši zákazníci většinou sami správci. Podle čl. 33 odst. 2 GDPR zpracovatel informuje správce bez zbytečného odkladu poté, co se o porušení zabezpečení dozvěděl. Oznámení úřadu a dotčeným osobám zůstává věcí vašeho zákazníka.
Smím informovat zákazníky, i když povinnost neexistuje?
Ano. Dobrovolná informace může být užitečná, například pokud byl web kvůli PHP2Shell preventivně offline nebo se zákazníci ptají. Důležité je uvádět jen ověřená fakta a nedávat předčasné uklidnění.
Jak zabráním tomu, aby podvodníci mou zprávu napodobili?
Ve zprávě nepoužívejte odkazy na přihlášení ani přílohy, odkažte na svůj známý web a výslovně uveďte, jakými cestami se nikdy neptáte na hesla nebo platební údaje.