Em resumo: quem tem de ou quer informar os clientes após uma violação de dados decide primeiro, com o encarregado da proteção de dados e um advogado, se existe uma obrigação nos termos do Art. 34 do RGPD, e esclarece se os clientes empresariais são eles próprios responsáveis pelo tratamento. Seguem-se os grupos de clientes, canais seguros, um apoio ao cliente preparado e uma mensagem final. As comunicações não contêm ligações de início de sessão, para não se tornarem modelo de phishing. Esta página é informação geral e não constitui aconselhamento jurídico.
O e-mail que todos temem
O servidor está limpo, a vulnerabilidade fechada, a perícia forense tem os primeiros resultados. Agora há uma pergunta em cima da mesa que muitos gerentes preferiam evitar: temos de o dizer aos nossos clientes? E, se sim, como, sem causar mais dano do que o próprio incidente?
A situação em torno do PHP2Shell recolocou esta pergunta a muitas empresas, mesmo sem intrusão. Os sites estiveram offline por precaução, os clientes perguntaram e, segundo a experiência, os burlões aproveitam situações destas para mensagens falsas. Como se estrutura em geral a comunicação de crise, em que ordem e com que conteúdos, descreve-o Comunicação de crise após um ataque. Este artigo vai um passo mais fundo: a decisão, os grupos de clientes e a aplicação prática.
Informar os clientes após uma violação de dados: obrigação ou decisão?
O Art. 34 do RGPD exige que os titulares dos dados sejam notificados sem demora injustificada quando é provável que uma violação da proteção de dados pessoais resulte num elevado risco para os seus direitos e liberdades. A notificação descreve a natureza da violação em linguagem clara e simples e contém, no mínimo, um interlocutor, as prováveis consequências e as medidas tomadas ou previstas.
O Art. 34, n.º 3, prevê exceções: quando os dados estão inacessíveis a pessoas não autorizadas, por exemplo por cifragem, quando medidas subsequentes eliminam provavelmente o elevado risco ou quando a notificação implicaria um esforço desproporcionado; nesse caso, substitui-a uma comunicação pública. Se alguma destas exceções se aplica é uma avaliação jurídica caso a caso. Cabe ao encarregado da proteção de dados e ao advogado, tal como a notificação à autoridade de controlo, veja Obrigação de notificação do RGPD: 72 horas após o incidente.
Mesmo sem obrigação, uma informação pode fazer sentido. Os clientes que sabem do incidente por outra fonte perdem a confiança mais depressa do que os que o ouvem de si.
Resta a questão do momento. Quem informa cedo demais talvez tenha de corrigir afirmações. Quem espera demasiado arrisca que, entretanto, os clientes sofram danos, por exemplo por phishing com endereços que vazaram. Um meio-termo comprovado: comunicar cedo o que está apurado e o que os clientes podem fazer por si, e anunciar expressamente que se seguirá mais informação. «Sem demora injustificada», na aceção do Art. 34, não significa esperar pelo fim da investigação.
Que clientes alcançar e como
Nem todos os clientes precisam da mesma mensagem. Distinga pelo menos três grupos:
| Grupo de clientes | O seu papel | O que isso significa para a informação |
|---|---|---|
| Clientes particulares com conta ou encomenda | em regra, responsável pelo tratamento | verificar a notificação nos termos do Art. 34, linguagem compreensível, recomendações concretas |
| Clientes empresariais cujos dados utiliza para fins próprios | em regra, responsável pelo tratamento | informação objetiva a interlocutores designados, enquadramento para as suas próprias obrigações |
| Clientes empresariais para os quais trata dados por conta deles | subcontratante | informação sem demora injustificada nos termos do Art. 33, n.º 2, apoio nas suas notificações |
O terceiro grupo é muitas vezes esquecido. Se opera, por exemplo, lojas ou portais para clientes, estes são em regra eles próprios responsáveis pelo tratamento e têm de cumprir as suas próprias obrigações de notificação. Para isso, precisam da sua informação com rapidez e por inteiro.
Escolher canais sem favorecer o phishing
O canal mais seguro é aquele que os clientes já conhecem. Revelaram-se eficazes:
- E-mail do endereço de remetente habitual, sem ligações de início de sessão e sem anexos, com a indicação de que o cliente deve aceder ele próprio ao site.
- Aviso após o início de sessão na conta de cliente, logo que o sistema volte a funcionar em segurança.
- Aviso no site, como complemento público ou, onde o Art. 34, n.º 3, o prevê, como comunicação pública.
- Carta para clientes sem endereço de e-mail atual ou no caso de dados particularmente sensíveis.
- Telefone e apoio ao cliente como ponto de contacto para perguntas, com um número que os clientes já conheçam do seu site ou da sua fatura.
Indique expressamente em cada comunicação que nunca pede, por e-mail ou telefone, palavras-passe, códigos ou dados de pagamento. Os burlões enviam, após incidentes conhecidos, mensagens que parecem as suas.
Da decisão à mensagem final
Eis como o procedimento pode decorrer na prática:
- Registar os factos: o que está comprovado, o que é provável, o que se desconhece. Só o comprovado vai para o exterior.
- Obter a avaliação jurídica: obrigação nos termos do Art. 34, papel perante clientes empresariais, coordenação com a notificação à autoridade.
- Definir grupos de clientes e canais, extraindo a lista de distribuição do próprio sistema, e não de uma cópia possivelmente manipulada.
- Preparar o apoio ao cliente: perguntas e respostas internas, linguagem uniforme, encaminhamento dos casos difíceis para um local designado.
- Formular recomendações para os clientes: por exemplo, alterar a palavra-passe se as credenciais puderem estar afetadas, e estar atento a mensagens suspeitas.
- Enviar e documentar: quem foi informado, quando e por que canal.
- Acompanhar: comunicar novas conclusões e enviar uma mensagem final quando a investigação terminar.
Quem definiu internamente de antemão as vias de contacto poupa muito tempo, veja Contactos de emergência: quem deve ser informado e quando?. Os passos técnicos que devem preceder a informação resume-os a Lista de verificação após um ataque informático.
Como ajuda concretamente a PHP SOS?
- Fornecemos os factos técnicos do incidente de modo preparado, para que o encarregado da proteção de dados e o advogado possam avaliar as obrigações.
- Verificamos as suas comunicações a clientes quanto à correção técnica e a não darem pistas aos atacantes.
- Asseguramos que as listas de distribuição e as contas de clientes provêm de um sistema limpo antes de enviar.
- Através da resposta a incidentes, fornecemos as conclusões para mensagens de seguimento e finais no ritmo acordado.
Conclusão: uma boa informação aos clientes é juridicamente verificada, separada por grupos, enviada por canais seguros e levada até ao fim. Esta página é informação geral e não constitui aconselhamento jurídico; a decisão no caso concreto toma-a com o encarregado da proteção de dados e um advogado.
Perguntas frequentes
Quando tenho de informar os clientes após uma violação de dados?
Nos termos do Art. 34 do RGPD, quando é provável que a violação resulte num elevado risco para os direitos e liberdades dos titulares dos dados. Há exceções, por exemplo quando os dados estão efetivamente cifrados. A avaliação faz-se com o encarregado da proteção de dados e um advogado; esta página não constitui aconselhamento jurídico.
O que se aplica se trato dados por conta dos meus clientes empresariais?
Nesse caso, os seus clientes são, em regra, eles próprios os responsáveis pelo tratamento. Nos termos do Art. 33, n.º 2, do RGPD, o subcontratante informa o responsável pelo tratamento sem demora injustificada, logo que tome conhecimento de uma violação de dados. A notificação à autoridade e aos titulares dos dados continua a ser assunto do seu cliente.
Posso informar os clientes mesmo sem existir obrigação?
Sim. Uma informação voluntária pode fazer sentido, por exemplo quando o site esteve offline por precaução devido ao PHP2Shell ou quando os clientes fazem perguntas. O importante é indicar apenas factos seguros e não dar um alívio precipitado.
Como evito que burlões imitem a minha comunicação?
Dispense na comunicação ligações de início de sessão e anexos, remeta para o seu site conhecido e indique expressamente por que vias nunca pede palavras-passe ou dados de pagamento.