In breve: chi deve o vuole informare i clienti dopo una violazione dei dati decide innanzitutto con il responsabile della protezione dei dati e un avvocato se esiste un obbligo ai sensi dell'art. 34 GDPR, e chiarisce se i clienti aziendali siano essi stessi titolari del trattamento. Seguono gruppi di clienti, canali sicuri, un'assistenza clienti preparata e un messaggio conclusivo. Le comunicazioni non contengono link di accesso, perché non diventino un modello per il phishing. Questa pagina è un'informazione generale e non costituisce consulenza legale.
La mail che tutti temono
Il server è stato bonificato, la falla chiusa, l'analisi forense ha i primi risultati. Ora sul tavolo c'è una domanda che molti amministratori preferirebbero evitare: dobbiamo dirlo ai nostri clienti? E se sì, come, senza fare più danni dell'incidente stesso?
La situazione attorno a PHP2Shell ha riproposto questa domanda a molte aziende, anche senza intrusione. I siti erano offline in via precauzionale, i clienti chiedevano e, per esperienza, i truffatori sfruttano queste situazioni per messaggi falsi. Come è strutturata in generale la comunicazione di crisi, in quale ordine e con quali contenuti, lo descrive Comunicazione di crisi dopo un attacco. Questo articolo va un passo più a fondo: la decisione, i gruppi di clienti e l'attuazione pratica.
Informare i clienti dopo una violazione dei dati: obbligo o decisione?
L'art. 34 GDPR richiede di avvisare senza ingiustificato ritardo gli interessati quando una violazione dei dati personali presenta probabilmente un rischio elevato per i loro diritti e le loro libertà. La comunicazione descrive la natura della violazione con un linguaggio semplice e chiaro e contiene almeno un referente, le probabili conseguenze e le misure adottate o previste.
L'art. 34, par. 3, indica eccezioni: quando i dati sono resi incomprensibili a chi non è autorizzato, ad esempio tramite cifratura, quando misure successive eliminano probabilmente il rischio elevato o quando la comunicazione richiederebbe sforzi sproporzionati; in tal caso subentra una comunicazione pubblica. Se una di queste eccezioni si applichi è una valutazione giuridica nel caso singolo. Spetta al responsabile della protezione dei dati e all'avvocato, così come la notifica all'autorità di controllo, vedere Obbligo di notifica GDPR: 72 ore dopo l'incidente.
Anche senza obbligo un'informazione può avere senso. I clienti che vengono a sapere dell'incidente da un'altra fonte perdono fiducia più in fretta di quelli che lo sentono da Lei.
Resta la questione del momento. Chi informa troppo presto potrebbe dover correggere le affermazioni. Chi aspetta troppo rischia che nel frattempo i clienti subiscano danni, ad esempio con phishing che sfrutta indirizzi sottratti. Un compromesso collaudato: comunicare presto ciò che è accertato e ciò che i clienti possono fare da soli, e annunciare espressamente che seguiranno altre informazioni. «Senza ingiustificato ritardo» ai sensi dell'art. 34 non significa attendere la fine dell'indagine.
Quali clienti raggiungere e come
Non tutti i clienti hanno bisogno dello stesso messaggio. Distingua almeno tre gruppi:
| Gruppo di clienti | Il Suo ruolo | Che cosa significa per l'informazione |
|---|---|---|
| Clienti privati con account o ordine | per lo più titolare del trattamento | valutare la comunicazione ai sensi dell'art. 34, linguaggio comprensibile, raccomandazioni concrete |
| Clienti aziendali i cui dati usa per scopi propri | per lo più titolare del trattamento | informazione oggettiva a referenti designati, inquadramento per i loro obblighi |
| Clienti aziendali per i quali tratta dati per loro conto | responsabile del trattamento | informazione senza ingiustificato ritardo ai sensi dell'art. 33, par. 2, supporto per le loro notifiche |
Il terzo gruppo viene spesso trascurato. Se gestisce, ad esempio, shop o portali per clienti, questi sono di regola essi stessi titolari del trattamento e devono adempiere ai propri obblighi di notifica. Per farlo hanno bisogno delle Sue informazioni in modo rapido e completo.
Scegliere i canali senza favorire il phishing
Il canale più sicuro è quello che i clienti già conoscono. Si sono dimostrati validi:
- E-mail dal consueto indirizzo mittente, senza link di accesso e senza allegati, con l'invito ad aprire autonomamente il sito web.
- Avviso dopo l'accesso nell'account cliente, non appena il sistema funziona di nuovo in sicurezza.
- Avviso sul sito web, come integrazione pubblica oppure, dove l'art. 34, par. 3, lo prevede, come comunicazione pubblica.
- Lettera per i clienti senza un indirizzo e-mail attuale o con dati particolarmente sensibili.
- Telefono e assistenza clienti come punto di riferimento per le domande, con un numero che i clienti conoscono già dal Suo sito o dalla fattura.
Indichi in ogni comunicazione espressamente che non chiederà mai per e-mail o telefono password, codici o dati di pagamento. Dopo incidenti noti i truffatori inviano volentieri messaggi che sembrano i Suoi.
Dalla decisione al messaggio conclusivo
Ecco come può svolgersi la procedura nella pratica:
- Annotare i fatti: che cosa è provato, che cosa è probabile, che cosa è ignoto. All'esterno va solo ciò che è provato.
- Ottenere la valutazione giuridica: obbligo ai sensi dell'art. 34, ruolo verso i clienti aziendali, coordinamento con la notifica all'autorità.
- Stabilire gruppi di clienti e canali, ricavare le liste di distribuzione dal proprio sistema, non da una copia forse manipolata.
- Preparare l'assistenza clienti: domande e risposte interne, linguaggio univoco, inoltro dei casi difficili a un punto designato.
- Formulare raccomandazioni per i clienti: ad esempio cambiare la password se le credenziali potrebbero essere coinvolte e prestare attenzione ai messaggi sospetti.
- Inviare e documentare: chi è stato informato, quando e attraverso quale canale.
- Dare seguito: comunicare le nuove conoscenze e inviare un messaggio conclusivo quando l'indagine è terminata.
Chi ha stabilito prima internamente le vie di contatto risparmia molto tempo, vedere Contatti di emergenza: chi va informato e quando?. I passaggi tecnici che dovrebbero precedere l'informazione sono riassunti nella Checklist dopo un hack.
Come aiuta concretamente PHP SOS?
- Forniamo i fatti tecnici sull'incidente in una forma che permetta al responsabile della protezione dei dati e all'avvocato di valutare gli obblighi.
- Verifichiamo le Sue comunicazioni ai clienti quanto a correttezza tecnica e a che non diano indizi agli aggressori.
- Ci assicuriamo che liste di distribuzione e account clienti provengano da un sistema bonificato prima dell'invio.
- Con l'incident response forniamo le conoscenze per i messaggi successivi e conclusivi con la cadenza concordata.
Conclusione: una buona informazione ai clienti è verificata dal punto di vista legale, distinta per gruppi, inviata attraverso canali sicuri e portata a termine. Questa pagina è un'informazione generale e non costituisce consulenza legale; la decisione nel caso singolo la prende con il responsabile della protezione dei dati e un avvocato.
Domande frequenti
Quando devo informare i clienti dopo una violazione dei dati?
Secondo l'art. 34 GDPR, quando la violazione presenta probabilmente un rischio elevato per i diritti e le libertà degli interessati. Esistono eccezioni, ad esempio con una cifratura efficace dei dati. La valutazione la compie con il responsabile della protezione dei dati e un avvocato; questa pagina non costituisce consulenza legale.
Che cosa vale se tratto dati per conto dei miei clienti aziendali?
In tal caso i Suoi clienti sono per lo più titolari del trattamento. Secondo l'art. 33, par. 2, GDPR il responsabile del trattamento informa il titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione. La notifica all'autorità e agli interessati resta compito del Suo cliente.
Posso informare i clienti anche se non c'è alcun obbligo?
Sì. Un'informazione volontaria può avere senso, ad esempio se il sito è stato offline in via precauzionale a causa di PHP2Shell o se i clienti pongono domande. È importante citare solo fatti accertati e non dare un cessato allarme affrettato.
Come impedisco ai truffatori di imitare la mia comunicazione?
Rinunci nella comunicazione a link di accesso e allegati, rimandi al Suo sito noto e indichi espressamente attraverso quali canali non chiederà mai password o dati di pagamento.