Krótko: Kto musi lub chce poinformować klientów po naruszeniu danych, najpierw decyduje z inspektorem ochrony danych i adwokatem, czy istnieje obowiązek z art. 34 RODO, i wyjaśnia, czy klienci biznesowi sami są administratorami. Następnie przychodzą grupy klientów, bezpieczne kanały, przygotowana obsługa klienta i końcowa wiadomość. Komunikaty nie zawierają linków do logowania, aby nie stały się wzorem dla phishingu. Ta strona to ogólna informacja i nie stanowi porady prawnej.
Wiadomość, której wszyscy się boją
Serwer jest oczyszczony, luka zamknięta, informatyka śledcza ma pierwsze wyniki. Teraz na stole leży pytanie, którego wielu prezesów wolałoby uniknąć: czy musimy powiedzieć o tym klientom? A jeśli tak, to jak, nie wyrządzając większej szkody niż sam incydent?
Sytuacja wokół PHP2Shell postawiła to pytanie na nowo wielu firmom, nawet bez włamania. Strony były prewencyjnie offline, klienci dopytywali, a oszuści, jak pokazuje doświadczenie, wykorzystują takie sytuacje do fałszywych wiadomości. Jak zasadniczo zbudowana jest komunikacja kryzysowa, w jakiej kolejności i z jakimi treściami, opisuje artykuł Komunikacja kryzysowa po ataku. Ten wpis idzie krok głębiej: decyzja, grupy klientów i praktyczna realizacja.
Informowanie klientów po naruszeniu danych: obowiązek czy decyzja?
Art. 34 RODO wymaga zawiadomienia osób, których dane dotyczą, bez zbędnej zwłoki, gdy naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia ich praw lub wolności. Zawiadomienie opisuje rodzaj naruszenia jasnym i prostym językiem oraz zawiera co najmniej osobę kontaktową, prawdopodobne skutki i podjęte lub planowane środki.
Art. 34 ust. 3 wymienia wyjątki: gdy dane są niedostępne dla osób nieupoważnionych, na przykład dzięki szyfrowaniu, gdy późniejsze środki prawdopodobnie eliminują wysokie ryzyko lub gdy zawiadomienie wymagałoby niewspółmiernie dużego wysiłku; wtedy zastępuje je publiczne ogłoszenie. To, czy któryś z tych wyjątków ma zastosowanie, jest oceną prawną w indywidualnym przypadku. Należy ona do inspektora ochrony danych i adwokata, podobnie jak zgłoszenie do organu nadzorczego, zob. Obowiązek zgłoszenia według RODO: 72 godziny po incydencie.
Także bez obowiązku informacja może mieć sens. Klienci, którzy dowiedzą się o incydencie z innego źródła, tracą zaufanie szybciej niż ci, którzy usłyszą o nim od Państwa.
Pozostaje pytanie o moment. Kto informuje zbyt wcześnie, być może będzie musiał korygować wypowiedzi. Kto czeka zbyt długo, ryzykuje, że w międzyczasie klienci poniosą szkodę, na przykład przez phishing z wykorzystaniem wyciekłych adresów. Sprawdzony złoty środek: informować wcześnie o tym, co jest ustalone i co klienci mogą zrobić sami, oraz wyraźnie zapowiedzieć, że nastąpią dalsze informacje. „Bez zbędnej zwłoki” w rozumieniu art. 34 nie oznacza czekania na koniec dochodzenia.
Do jakich klientów i jak dotrzeć
Nie wszyscy klienci potrzebują tej samej wiadomości. Proszę rozróżnić co najmniej trzy grupy:
| Grupa klientów | Państwa rola | Co to oznacza dla informacji |
|---|---|---|
| Klienci indywidualni z kontem lub zamówieniem | zwykle administrator | sprawdzić zawiadomienie według art. 34, zrozumiały język, konkretne zalecenia |
| Klienci biznesowi, których dane wykorzystują Państwo do własnych celów | zwykle administrator | rzeczowa informacja dla wskazanych osób kontaktowych, ujęcie w kontekście ich własnych obowiązków |
| Klienci biznesowi, dla których przetwarzają Państwo dane na zlecenie | podmiot przetwarzający | niezwłoczna informacja według art. 33 ust. 2, wsparcie w ich zgłoszeniach |
Trzecia grupa jest często pomijana. Jeśli prowadzą Państwo na przykład sklepy lub portale dla klientów, ci są zwykle sami administratorami i muszą wypełnić własne obowiązki zgłoszeniowe. Potrzebują do tego Państwa informacji szybko i w pełnym zakresie.
Wybór kanałów bez sprzyjania phishingowi
Najbezpieczniejszym kanałem jest ten, który klienci już znają. Sprawdziły się:
- E-mail z zwykłego adresu nadawcy, bez linków do logowania i bez załączników, z wskazówką, aby samodzielnie otworzyć stronę.
- Komunikat po zalogowaniu na koncie klienta, gdy tylko system znów działa bezpiecznie.
- Komunikat na stronie internetowej, jako publiczne uzupełnienie lub, tam gdzie przewiduje to art. 34 ust. 3, jako publiczne ogłoszenie.
- List dla klientów bez aktualnego adresu e-mail lub przy szczególnie wrażliwych danych.
- Telefon i obsługa klienta jako punkt kontaktowy w razie pytań, z numerem, który klienci już znają ze strony internetowej lub faktury.
Proszę w każdym komunikacie wyraźnie zaznaczyć, że nigdy nie pytają Państwo e-mailem ani telefonem o hasła, kody ani dane płatnicze. Oszuści po znanych incydentach chętnie rozsyłają wiadomości, które wyglądają jak Państwa.
Od decyzji do wiadomości końcowej
Tak może wyglądać przebieg w praktyce:
- Zapisać fakty: co jest udokumentowane, co prawdopodobne, co nieznane. Na zewnątrz trafia tylko to, co udokumentowane.
- Uzyskać ocenę prawną: obowiązek według art. 34, rola wobec klientów biznesowych, uzgodnienie ze zgłoszeniem do organu.
- Ustalić grupy klientów i kanały, listę dystrybucyjną pobrać z własnego systemu, nie z kopii, która mogła zostać zmanipulowana.
- Przygotować obsługę klienta: wewnętrzne pytania i odpowiedzi, jasne ustalenia językowe, przekazywanie trudnych przypadków do wskazanej osoby.
- Sformułować zalecenia dla klientów: na przykład zmiana hasła, jeśli mogły zostać dotknięte dane logowania, i uwaga na podejrzane wiadomości.
- Wysłać i udokumentować: kto, kiedy i którym kanałem został poinformowany.
- Dopilnować: przekazać nowe ustalenia i wysłać wiadomość końcową po zakończeniu dochodzenia.
Kto wcześniej ustalił wewnętrznie drogi kontaktu, oszczędza przy tym dużo czasu, zob. Kontakty awaryjne: kogo i kiedy trzeba poinformować?. Kroki techniczne, które powinny poprzedzać informację, podsumowuje lista kontrolna po włamaniu.
Jak konkretnie pomaga PHP SOS?
- Dostarczamy techniczne fakty o incydencie w takiej postaci, aby inspektor ochrony danych i adwokat mogli ocenić obowiązki.
- Sprawdzamy Państwa komunikaty dla klientów pod kątem poprawności technicznej i tego, czy nie dają atakującym żadnych wskazówek.
- Zapewniamy, że listy dystrybucyjne i konta klientów pochodzą z oczyszczonego systemu, zanim Państwo wyślą wiadomości.
- W ramach reagowania na incydenty dostarczamy ustalenia do wiadomości uzupełniających i końcowych w uzgodnionym rytmie.
Podsumowanie: Dobra informacja dla klientów jest prawnie sprawdzona, rozdzielona według grup, wysłana bezpiecznymi kanałami i doprowadzona do końca. Ta strona to ogólna informacja i nie stanowi porady prawnej; decyzję w indywidualnym przypadku podejmują Państwo z inspektorem ochrony danych i adwokatem.
Częste pytania
Kiedy muszę poinformować klientów o naruszeniu danych?
Zgodnie z art. 34 RODO, gdy naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób, których dane dotyczą. Istnieją wyjątki, na przykład przy skutecznym szyfrowaniu danych. Ocenę przeprowadzają Państwo z inspektorem ochrony danych i adwokatem; ta strona nie stanowi porady prawnej.
Co obowiązuje, gdy przetwarzam dane na zlecenie moich klientów biznesowych?
Wtedy Państwa klienci są zwykle sami administratorami. Zgodnie z art. 33 ust. 2 RODO podmiot przetwarzający zgłasza administratorowi naruszenie bez zbędnej zwłoki po jego stwierdzeniu. Zgłoszenie do organu i do osób, których dane dotyczą, pozostaje sprawą Państwa klienta.
Czy mogę poinformować klientów, choć nie ma takiego obowiązku?
Tak. Dobrowolna informacja może mieć sens, na przykład gdy strona z powodu PHP2Shell była prewencyjnie offline lub klienci zadają pytania. Ważne, aby podawać tylko potwierdzone fakty i nie dawać pochopnego odwołania alarmu.
Jak zapobiec naśladowaniu mojego komunikatu przez oszustów?
Proszę w komunikacie zrezygnować z linków do logowania i załączników, odesłać do znanej strony internetowej oraz wyraźnie wskazać, jakimi drogami nigdy nie pytają Państwo o hasła ani dane płatnicze.