Röviden: Aki egy adatvédelmi incidens után értesíteni kényszerül vagy akarja az ügyfeleket, először az adatvédelmi tisztviselővel és az ügyvéddel dönti el, fennáll-e a GDPR 34. cikke szerinti kötelezettség, és tisztázza, hogy az üzleti ügyfelek maguk adatkezelők-e. Ezután jönnek az ügyfélcsoportok, a biztonságos csatornák, egy felkészített ügyfélszolgálat és egy záró üzenet. Az üzenetekben nincs bejelentkezési link, hogy ne váljanak adathalászat mintájává. Ez az oldal általános tájékoztatás, nem jogi tanácsadás.
Az e-mail, amelytől mindenki fél
A szerver megtisztítva, a rés lezárva, a forenzika első eredményeket hozott. Most egy kérdés van az asztalon, amelyet sok cégvezető szívesebben elkerülne: el kell-e mondanunk az ügyfeleinknek? És ha igen, hogyan, anélkül, hogy több kárt okoznánk, mint maga az incidens?
A PHP2Shell körüli helyzet sok vállalkozásnál újra felvetette ezt a kérdést, behatolás nélkül is. Weboldalak elővigyázatosságból offline voltak, az ügyfelek rákérdeztek, a csalók pedig tapasztalat szerint az ilyen helyzeteket hamis üzenetekhez használják fel. Hogyan épül fel alapvetően a válságkommunikáció, milyen sorrendben és milyen tartalommal, azt a Válságkommunikáció egy támadás után írja le. Ez a cikk egy lépéssel mélyebbre megy: a döntés, az ügyfélcsoportok és a gyakorlati megvalósítás.
Ügyfelek értesítése adatvédelmi incidens után: kötelezettség vagy döntés?
A GDPR 34. cikke előírja, hogy az érintetteket indokolatlan késedelem nélkül értesíteni kell, ha a személyes adatok védelmének megsértése valószínűleg magas kockázattal jár a jogaikra és szabadságaikra nézve. Az értesítés világos és egyszerű nyelven írja le a jogsértés jellegét, és legalább egy kapcsolattartót, a valószínű következményeket és a megtett vagy tervezett intézkedéseket tartalmazza.
A 34. cikk (3) bekezdése kivételeket nevez meg: ha az adatok például titkosítás révén hozzáférhetetlenek az illetéktelenek számára, ha az azt követő intézkedések valószínűleg megszüntetik a magas kockázatot, vagy ha az értesítés aránytalan erőfeszítést jelentene; ilyenkor nyilvános közzététel lép a helyébe. Hogy ezek közül valamelyik érvényesül-e, az egyedi esetben jogi értékelés. Az adatvédelmi tisztviselőhöz és az ügyvédhez tartozik, éppúgy, mint a felügyeleti hatóságnak szóló bejelentés, lásd GDPR-bejelentési kötelezettség: 72 óra az incidens után.
Kötelezettség nélkül is lehet ésszerű a tájékoztatás. Azok az ügyfelek, akik az incidensről más forrásból értesülnek, gyorsabban veszítenek bizalmat, mint azok, akik Öntől hallják.
Marad az időpont kérdése. Aki túl korán tájékoztat, az állításokat esetleg helyesbítenie kell. Aki túl sokáig vár, azt kockáztatja, hogy az ügyfelek időközben kárt szenvednek, például az elszivárgott címekkel végzett adathalászat miatt. Egy bevált középút: korán közölni, ami biztos, és mit tehetnek maguk az ügyfelek, és kifejezetten bejelenteni, hogy további információk következnek. A „indokolatlan késedelem nélkül” a 34. cikk értelmében nem azt jelenti, hogy meg kell várni a vizsgálat végét.
Mely ügyfeleket hogyan éri el
Nem minden ügyfélnek van szüksége ugyanarra az üzenetre. Legalább három csoportot különböztessen meg:
| Ügyfélcsoport | Az Ön szerepe | Mit jelent ez a tájékoztatásra |
|---|---|---|
| Magánügyfelek fiókkal vagy megrendeléssel | többnyire adatkezelő | a 34. cikk szerinti értesítés vizsgálata, érthető nyelv, konkrét ajánlások |
| Üzleti ügyfelek, akiknek az adatait saját célra használja | többnyire adatkezelő | tárgyszerű tájékoztatás megnevezett kapcsolattartóknak, besorolás a saját kötelezettségeikhez |
| Üzleti ügyfelek, akiknek megbízásból kezel adatokat | adatfeldolgozó | indokolatlan késedelem nélküli tájékoztatás a 33. cikk (2) bekezdése szerint, támogatás a bejelentéseikhez |
A harmadik csoportot gyakran figyelmen kívül hagyják. Ha például ügyfelek számára üzemeltet webshopokat vagy portálokat, azok általában maguk adatkezelők, és saját bejelentési kötelezettségeiknek kell eleget tenniük. Ehhez gyorsan és teljes körűen szükségük van az Ön tájékoztatására.
Csatornák választása adathalászat elősegítése nélkül
A legbiztonságosabb csatorna az, amelyet az ügyfelek már ismernek. Ezek váltak be:
- E-mail a megszokott feladói címről, bejelentkezési linkek és mellékletek nélkül, azzal a megjegyzéssel, hogy a weboldalt maguk hívják meg.
- Megjegyzés a bejelentkezés után az ügyfélfiókban, amint a rendszer ismét biztonságosan fut.
- Megjegyzés a weboldalon, nyilvános kiegészítésként vagy, ahol a 34. cikk (3) bekezdése előírja, nyilvános közzétételként.
- Levél azoknak az ügyfeleknek, akiknek nincs aktuális e-mail-címük, vagy különösen érzékeny adatok esetén.
- Telefon és ügyfélszolgálat a kérdések kapcsolattartó pontjaként, olyan számmal, amelyet az ügyfelek már ismernek a weboldalról vagy a számláról.
Minden üzenetben kifejezetten nevezze meg, hogy e-mailben vagy telefonon soha nem kér jelszavakat, kódokat vagy fizetési adatokat. A csalók az ismert incidensek után szívesen küldenek olyan üzeneteket, amelyek az Önökéhez hasonlítanak.
A döntéstől a záró üzenetig
A gyakorlatban a folyamat így nézhet ki:
- A tények rögzítése: mi igazolt, mi valószínű, mi ismeretlen. Csak az igazolt megy kifelé.
- Jogi értékelés beszerzése: kötelezettség a 34. cikk szerint, szerep az üzleti ügyfelekkel szemben, egyeztetés a hatóságnak szóló bejelentéssel.
- Ügyfélcsoportok és csatornák meghatározása, a címlistát a saját rendszerből kell lekérni, nem egy esetleg manipulált másolatból.
- Az ügyfélszolgálat felkészítése: belső kérdések és válaszok, egyértelmű nyelvi szabályozás, a nehéz esetek továbbítása egy megnevezett helyre.
- Ajánlások megfogalmazása az ügyfeleknek: például jelszóváltoztatás, ha hozzáférési adatok érintettek lehetnek, és figyelem a gyanús üzenetekre.
- Elküldés és dokumentálás: ki mikor melyik csatornán keresztül kapott tájékoztatást.
- Utánkövetés: az új ismeretek közlése és záró üzenet küldése, ha a vizsgálat befejeződött.
Aki a kapcsolattartási utakat belül előre rögzítette, ezzel sok időt spórol, lásd Vészhelyzeti kapcsolattartók: kit kell mikor értesíteni?. Azokat a műszaki lépéseket, amelyeknek a tájékoztatást meg kellene előzniük, az Ellenőrzőlista egy feltörés után foglalja össze.
Hogyan segít konkrétan a PHP SOS?
- Az incidensre vonatkozó műszaki tényeket úgy dolgozzuk fel, hogy az adatvédelmi tisztviselő és az ügyvéd értékelni tudja a kötelezettségeket.
- Megvizsgáljuk az ügyfélértesítéseit műszaki helyesség szempontjából, és abból a szempontból, hogy ne adjanak támadóknak támpontot.
- Gondoskodunk róla, hogy a címlisták és az ügyfélfiókok egy megtisztított rendszerből származzanak, mielőtt elküldi őket.
- Az incidenskezelésen keresztül a megállapodott ütemben szállítjuk az ismereteket a követő és záró üzenetekhez.
Összegzés: Egy jó ügyfél-tájékoztatás jogilag ellenőrzött, csoportok szerint elkülönített, biztonságos csatornákon keresztül megy ki, és végigviszik. Ez az oldal általános tájékoztatás és nem jogi tanácsadás; az egyedi esetben a döntést az adatvédelmi tisztviselővel és az ügyvéddel hozza meg.
Gyakori kérdések
Mikor kell értesítenem az ügyfeleket egy adatvédelmi incidens után?
A GDPR 34. cikke szerint, ha a jogsértés valószínűleg magas kockázattal jár az érintettek jogaira és szabadságaira nézve. Vannak kivételek, például az adatok hatékony titkosítása esetén. Az értékelést az adatvédelmi tisztviselővel és az ügyvéddel végezze el; ez az oldal nem jogi tanácsadás.
Mi érvényes, ha az üzleti ügyfeleim megbízásából kezelek adatokat?
Ilyenkor az ügyfelei többnyire maguk az adatkezelők. A GDPR 33. cikkének (2) bekezdése szerint az adatfeldolgozó indokolatlan késedelem nélkül tájékoztatja az adatkezelőt, miután tudomást szerzett az incidensről. A hatóság és az érintettek felé történő bejelentés az ügyfele dolga marad.
Értesíthetem az ügyfeleket, ha nincs kötelezettségem?
Igen. Az önkéntes tájékoztatás hasznos lehet, például ha a weboldal a PHP2Shell miatt elővigyázatosságból offline volt, vagy az ügyfelek kérdéseket tesznek fel. Fontos, hogy csak biztos tényeket nevezzen meg, és ne adjon elhamarkodott fennakadásmentességi jelzést.
Hogyan akadályozhatom meg, hogy csalók utánozzák az értesítésemet?
Az értesítésben mondjon le a bejelentkezési linkekről és a mellékletekről, utaljon az ismert weboldalára, és kifejezetten nevezze meg, mely utakon nem kér soha jelszavakat vagy fizetési adatokat.