Ukratko: Tko mora ili želi obavijestiti klijente nakon povrede podataka, najprije sa službenikom za zaštitu podataka i odvjetnikom odlučuje postoji li obveza prema čl. 34. GDPR-a te razjašnjava jesu li poslovni klijenti sami voditelji obrade. Zatim slijede skupine klijenata, sigurni kanali, pripremljena korisnička služba i završna poruka. Obavijesti ne sadrže poveznice za prijavu kako ne bi postale predložak za phishing. Ova stranica je opća informacija i nije pravni savjet.
E-pošta koje se svi boje
Poslužitelj je očišćen, ranjivost zatvorena, forenzika ima prve rezultate. Sada na stolu leži pitanje koje bi mnogi direktori radije izbjegli: Moramo li to reći svojim klijentima? A ako da, kako, a da ne napravimo veću štetu od samog incidenta?
Situacija oko PHP2Shella to je pitanje iznova postavila mnogim tvrtkama, i bez provale. Web-stranice su preventivno bile izvan mreže, klijenti su se raspitivali, a prevaranti takve situacije prema iskustvu koriste za lažne poruke. Kako je krizna komunikacija u osnovi građena, kojim redoslijedom i s kojim sadržajima, opisuje Krizna komunikacija nakon napada. Ovaj članak ide korak dublje: odluka, skupine klijenata i praktična provedba.
Obavijest klijenata nakon povrede podataka: obveza ili odluka?
Čl. 34. GDPR-a zahtijeva da se pogođene osobe bez nepotrebne odgode obavijeste kad povreda zaštite osobnih podataka vjerojatno ima za posljedicu visok rizik za njihova prava i slobode. Obavijest jasnim i jednostavnim jezikom opisuje prirodu povrede i sadrži najmanje kontakt osobu, vjerojatne posljedice te poduzete ili planirane mjere.
Čl. 34. st. 3. navodi iznimke: kad su podaci primjerice šifriranjem nepristupačni neovlaštenim osobama, kad naknadne mjere vjerojatno uklanjaju visok rizik ili kad bi obavijest zahtijevala nerazmjeran napor; tada umjesto nje dolazi javna objava. Primjenjuje li se neka od tih iznimki, pravna je procjena u pojedinačnom slučaju. Ona pripada službeniku za zaštitu podataka i odvjetniku, kao i prijava nadzornom tijelu, vidi Obveza prijave prema GDPR-u: 72 sata nakon incidenta.
I bez obveze obavijest može biti smislena. Klijenti koji za incident saznaju iz drugog izvora brže gube povjerenje od onih koji to čuju od Vas.
Ostaje pitanje trenutka. Tko obavijesti prerano, možda će morati ispravljati izjave. Tko čeka predugo, riskira da klijenti u međuvremenu pretrpe štetu, primjerice phishingom s procurjelim adresama. Provjeren srednji put: obavijestiti rano o tome što je utvrđeno i što klijenti mogu sami učiniti te izričito najaviti da slijede daljnje informacije. „Bez nepotrebne odgode“ u smislu čl. 34. ne znači čekati kraj istrage.
Kojim klijentima i kako doprijeti
Ne trebaju svi klijenti istu poruku. Razlikujte najmanje tri skupine:
| Skupina klijenata | Vaša uloga | Što to znači za obavijest |
|---|---|---|
| Privatni klijenti s računom ili narudžbom | najčešće voditelj obrade | provjeriti obavijest prema čl. 34., razumljiv jezik, konkretne preporuke |
| Poslovni klijenti čije podatke koristite za vlastite svrhe | najčešće voditelj obrade | stvarna informacija imenovanim kontakt osobama, razvrstavanje za njihove vlastite obveze |
| Poslovni klijenti za koje podatke obrađujete po nalogu | izvršitelj obrade | obavijest bez odgode prema čl. 33. st. 2., podrška pri njihovim prijavama |
Treća se skupina često previdi. Ako primjerice vodite shopove ili portale za klijente, oni su u pravilu sami voditelji obrade i moraju ispuniti vlastite obveze prijave. Za to im brzo i cjelovito trebaju Vaše informacije.
Odabir kanala bez poticanja phishinga
Najsigurniji je kanal onaj koji klijenti već poznaju. Pokazali su se dobrima:
- E-pošta s uobičajene adrese pošiljatelja, bez poveznica za prijavu i bez privitaka, s napomenom da sami otvore web-stranicu.
- Napomena nakon prijave u korisnički račun, čim sustav ponovno bude siguran.
- Napomena na web-stranici, kao javna dopuna ili, gdje je čl. 34. st. 3. predviđa, kao javna objava.
- Pismo za klijente bez aktualne adrese e-pošte ili kod osobito osjetljivih podataka.
- Telefon i korisnička služba kao kontakt za upite, s brojem koji klijenti već poznaju s Vaše web-stranice ili računa.
U svakoj obavijesti izričito navedite da nikada ne tražite lozinke, kodove ili podatke o plaćanju putem e-pošte ili telefona. Prevaranti nakon poznatih incidenata rado šalju poruke koje izgledaju kao Vaše.
Od odluke do završne poruke
Tijek u praksi može izgledati ovako:
- Zabilježiti činjenice: što je dokazano, što vjerojatno, što nepoznato. Prema van ide samo dokazano.
- Zatražiti pravnu procjenu: obveza prema čl. 34., uloga prema poslovnim klijentima, usklađivanje s prijavom tijelu.
- Odrediti skupine klijenata i kanale, popis primatelja uzeti iz vlastitog sustava, a ne iz moguće manipulirane kopije.
- Pripremiti korisničku službu: interna pitanja i odgovori, jasna jezična pravila, preusmjeravanje teških slučajeva na imenovano mjesto.
- Formulirati preporuke za klijente: primjerice promijeniti lozinku ako bi pristupni podaci mogli biti pogođeni i paziti na sumnjive poruke.
- Poslati i dokumentirati: tko je kada obaviješten kojim kanalom.
- Pratiti: priopćiti nove spoznaje i poslati završnu poruku kad se istraga završi.
Tko je kontaktne putove interno unaprijed utvrdio, pritom štedi mnogo vremena, vidi Kontakti za hitne slučajeve: tko se i kada mora obavijestiti?. Tehničke korake koji bi trebali prethoditi obavijesti sažima Kontrolni popis nakon hakerskog napada.
Kako PHP SOS konkretno pomaže?
- Tehničke činjenice o incidentu isporučujemo pripremljene tako da službenik za zaštitu podataka i odvjetnik mogu procijeniti obveze.
- Provjeravamo Vaše obavijesti klijentima na tehničku ispravnost i na to da napadačima ne daju naznake.
- Osiguravamo da popisi primatelja i korisnički računi potječu iz očišćenog sustava prije nego pošaljete.
- Putem odgovora na incidente isporučujemo spoznaje za naknadne i završne poruke u dogovorenom ritmu.
Zaključak: Dobra obavijest klijentima je pravno provjerena, razdvojena po skupinama, poslana sigurnim kanalima i dovedena do kraja. Ova stranica je opća informacija i nije pravni savjet; odluku u pojedinačnom slučaju donosite sa službenikom za zaštitu podataka i odvjetnikom.
Česta pitanja
Kada moram obavijestiti klijente nakon povrede podataka?
Prema čl. 34. GDPR-a, kad povreda vjerojatno ima za posljedicu visok rizik za prava i slobode pogođenih osoba. Postoje iznimke, primjerice kod učinkovitog šifriranja podataka. Procjenu provodite sa službenikom za zaštitu podataka i odvjetnikom; ova stranica nije pravni savjet.
Što vrijedi ako obrađujem podatke po nalogu svojih poslovnih klijenata?
Tada su Vaši klijenti najčešće sami voditelji obrade. Prema čl. 33. st. 2. GDPR-a izvršitelj obrade bez odgode obavještava voditelja obrade nakon što sazna za povredu podataka. Prijava tijelu i pogođenim osobama ostaje stvar Vašeg klijenta.
Smijem li obavijestiti klijente iako nema obveze?
Da. Dobrovoljna obavijest može biti smislena, primjerice ako je web-stranica zbog PHP2Shella preventivno bila izvan mreže ili klijenti postavljaju pitanja. Važno je navoditi samo potvrđene činjenice i ne davati prenagljeno razuvjeravanje.
Kako spriječiti da prevaranti oponašaju moju obavijest?
U obavijesti se odreknite poveznica za prijavu i privitaka, uputite na svoju poznatu web-stranicu i izričito navedite putem kojih kanala nikada ne tražite lozinke ni podatke o plaćanju.