Kort sagt: Den, der skal eller vil underrette kunder efter et databrud, afgør først sammen med databeskyttelsesrådgiveren og en advokat, om der består en pligt efter art. 34 GDPR, og afklarer, om erhvervskunder selv er dataansvarlige. Derefter følger kundegrupper, sikre kanaler, en forberedt kundeservice og en afsluttende besked. Meddelelser indeholder ingen loginlinks, så de ikke bliver en skabelon for phishing. Denne side er generel information og ikke juridisk rådgivning.
Mailen, som alle frygter
Serveren er ryddet op, sårbarheden lukket, forensikken har første resultater. Nu ligger et spørgsmål på bordet, som mange direktører helst ville undgå: Skal vi sige det til vores kunder? Og hvis ja, hvordan, uden at gøre mere skade end selve hændelsen?
Situationen omkring PHP2Shell har stillet dette spørgsmål på ny for mange virksomheder, også uden indbrud. Websites var forebyggende offline, kunder spurgte, og svindlere bruger erfaringsmæssigt sådanne situationer til falske beskeder. Hvordan krisekommunikation grundlæggende er opbygget, i hvilken rækkefølge og med hvilket indhold, beskriver Krisekommunikation efter et angreb. Dette indlæg går et skridt dybere: beslutningen, kundegrupperne og den praktiske gennemførelse.
Underret kunder efter et databrud: Pligt eller beslutning?
Art. 34 GDPR kræver, at de berørte underrettes uden unødig forsinkelse, hvis et brud på sikkerheden for personoplysninger sandsynligvis indebærer en høj risiko for deres rettigheder og frihedsrettigheder. Underretningen beskriver bruddets art i et klart og enkelt sprog og indeholder mindst en kontaktperson, de sandsynlige følger og de trufne eller planlagte foranstaltninger.
Art. 34, stk. 3, nævner undtagelser: hvis dataene f.eks. er gjort uforståelige for uvedkommende ved kryptering, hvis efterfølgende foranstaltninger sandsynligvis fjerner den høje risiko, eller hvis underretningen ville kræve en uforholdsmæssig indsats; så træder en offentlig bekendtgørelse i stedet. Om en af disse undtagelser finder anvendelse, er en juridisk vurdering i det enkelte tilfælde. Den hører hjemme hos databeskyttelsesrådgiveren og advokaten, ligesom anmeldelsen til tilsynsmyndigheden, se GDPR-anmeldelsespligt: 72 timer efter hændelsen.
Også uden pligt kan en information være fornuftig. Kunder, der hører om hændelsen fra en anden kilde, mister hurtigere tilliden end dem, der hører det fra jer.
Tilbage er spørgsmålet om tidspunktet. Den, der informerer for tidligt, må måske rette udsagn. Den, der venter for længe, risikerer, at kunder i mellemtiden lider skade, f.eks. gennem phishing med udsmuglede adresser. En gennemprøvet middelvej: meddel tidligt, hvad der er sikkert, og hvad kunderne selv kan gøre, og varsl udtrykkeligt, at yderligere oplysninger følger. "Uden unødig forsinkelse" i henhold til art. 34 betyder ikke at vente til undersøgelsens afslutning.
Hvilke kunder I når hvordan
Ikke alle kunder har brug for den samme besked. Skeln mindst mellem tre grupper:
| Kundegruppe | Jeres rolle | Hvad det betyder for informationen |
|---|---|---|
| Privatkunder med konto eller bestilling | som regel dataansvarlig | vurdér underretning efter art. 34, forståeligt sprog, konkrete anbefalinger |
| Erhvervskunder, hvis data I bruger til egne formål | som regel dataansvarlig | saglig information til udpegede kontaktpersoner, vurdering af deres egne pligter |
| Erhvervskunder, for hvem I behandler data på deres vegne | databehandler | underretning uden unødig forsinkelse efter art. 33, stk. 2, støtte til deres anmeldelser |
Den tredje gruppe overses ofte. Driver I f.eks. shops eller portaler for kunder, er disse som regel selv dataansvarlige og skal opfylde deres egne anmeldelsespligter. Dertil har de brug for jeres oplysninger hurtigt og fuldstændigt.
Vælg kanaler uden at fremme phishing
Den sikreste kanal er den, kunderne allerede kender. Gennemprøvet har:
- E-mail fra den vante afsenderadresse, uden loginlinks og uden vedhæftede filer, med henvisning til selv at åbne websitet.
- Meddelelse efter login i kundekontoen, så snart systemet igen kører sikkert.
- Meddelelse på websitet, som offentligt supplement eller, hvor art. 34, stk. 3, foreskriver det, som offentlig bekendtgørelse.
- Brev til kunder uden aktuel mailadresse eller ved særligt følsomme data.
- Telefon og kundeservice som kontaktpunkt til opfølgende spørgsmål, med et nummer, som kunderne allerede kender fra jeres website eller faktura.
Nævn i hver meddelelse udtrykkeligt, at I aldrig spørger efter adgangskoder, koder eller betalingsdata pr. mail eller telefon. Svindlere sender efter kendte hændelser gerne beskeder, der ligner jeres.
Fra beslutningen til den afsluttende besked
Sådan kan forløbet se ud i praksis:
- Fastholde fakta: hvad der er dokumenteret, hvad der er sandsynligt, hvad der er ukendt. Kun det dokumenterede går udadtil.
- Indhente juridisk vurdering: pligt efter art. 34, rolle over for erhvervskunder, afstemning med anmeldelsen til myndigheden.
- Fastlægge kundegrupper og kanaler, træk distributionslisten fra eget system, ikke fra en muligvis manipuleret kopi.
- Forberede kundeservice: interne spørgsmål og svar, klar sprogregulering, videreførelse af vanskelige sager til en udpeget stilling.
- Formulere anbefalinger til kunder: f.eks. skifte adgangskode, hvis loginoplysninger kan være berørt, og være opmærksom på mistænkelige beskeder.
- Sende og dokumentere: hvem der blev informeret hvornår via hvilken kanal.
- Følge op: meddele nye erkendelser og sende en afsluttende besked, når undersøgelsen er afsluttet.
Den, der har fastlagt kontaktvejene internt på forhånd, sparer meget tid her, se Nødkontakter: Hvem skal informeres hvornår?. Tekniske skridt, der bør gå forud for informationen, opsummerer Tjeklisten efter et hack.
Hvordan hjælper PHP SOS konkret?
- Vi leverer de tekniske fakta om hændelsen opbereddet således, at databeskyttelsesrådgiver og advokat kan vurdere pligterne.
- Vi gennemgår jeres kundemeddelelser for teknisk rigtighed og for, at de ikke giver angribere nogen anvisninger.
- Vi sikrer, at distributionslister og kundekonti stammer fra et ryddet system, før I sender.
- Via Incident Response leverer vi erkendelserne til opfølgende og afsluttende meddelelser i den aftalte takt.
Konklusion: En god kundeinformation er juridisk gennemgået, opdelt efter grupper, sendt via sikre kanaler og føres til ende. Denne side er generel information og ikke juridisk rådgivning; beslutningen i det enkelte tilfælde træffer I sammen med databeskyttelsesrådgiveren og en advokat.
Ofte stillede spørgsmål
Hvornår skal jeg underrette kunder efter et databrud?
Efter art. 34 GDPR, hvis bruddet sandsynligvis indebærer en høj risiko for de berørtes rettigheder og frihedsrettigheder. Der findes undtagelser, f.eks. ved effektiv kryptering af dataene. Vurderingen foretager I sammen med databeskyttelsesrådgiveren og en advokat; denne side er ikke juridisk rådgivning.
Hvad gælder, hvis jeg behandler data på vegne af mine erhvervskunder?
Så er jeres kunder som regel selv dataansvarlige. Efter art. 33, stk. 2, GDPR underretter databehandleren den dataansvarlige uden unødig forsinkelse, efter at denne er blevet bekendt med et databrud. Anmeldelsen til myndigheden og de berørte forbliver jeres kundes sag.
Må jeg underrette kunder, selv om der ikke er pligt til det?
Ja. En frivillig information kan være fornuftig, f.eks. hvis websitet på grund af PHP2Shell forebyggende var offline, eller kunder stiller spørgsmål. Det vigtige er kun at nævne sikre fakta og ikke give en forhastet fuld afklaring.
Hvordan forhindrer jeg, at svindlere efterligner min meddelelse?
Undlad links til login og vedhæftede filer i meddelelsen, henvis til jeres kendte website, og nævn udtrykkeligt, ad hvilke veje I aldrig spørger efter adgangskoder eller betalingsdata.