Pe scurt: Cine trebuie sau dorește să își informeze clienții după o încălcare a datelor decide mai întâi, împreună cu responsabilul cu protecția datelor și cu un avocat, dacă există o obligație conform art. 34 RGPD și clarifică dacă clienții business sunt ei înșiși operatori. Urmează grupurile de clienți, canalele sigure, un serviciu pentru clienți pregătit și un mesaj final. Mesajele nu conțin linkuri de autentificare, pentru ca să nu devină model pentru phishing. Această pagină este informație generală și nu constituie consultanță juridică.
E-mailul de care se teme toată lumea
Serverul este curățat, breșa este închisă, criminalistica are primele rezultate. Acum pe masă se află o întrebare pe care mulți directori ar prefera s-o evite: trebuie să le spunem clienților noștri? Și dacă da, cum, fără a produce mai mult rău decât incidentul în sine?
Situația din jurul PHP2Shell a repus această întrebare pentru multe companii, chiar și fără intruziune. Site-urile au fost oprite preventiv, clienții au întrebat, iar escrocii folosesc, din experiență, astfel de situații pentru mesaje false. Cum este construită în principiu comunicarea de criză, în ce ordine și cu ce conținut, descrie Comunicarea de criză după un atac. Acest articol merge un pas mai adânc: decizia, grupurile de clienți și implementarea practică.
Informarea clienților după o încălcare a datelor: obligație sau decizie?
Art. 34 RGPD cere notificarea fără întârziere nejustificată a persoanelor vizate atunci când o încălcare a securității datelor cu caracter personal este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile lor. Notificarea descrie natura încălcării într-un limbaj clar și simplu și conține cel puțin o persoană de contact, consecințele probabile și măsurile luate sau propuse.
Art. 34 alin. 3 menționează excepții: dacă datele sunt inaccesibile persoanelor neautorizate, de exemplu prin criptare, dacă măsurile ulterioare elimină probabil riscul ridicat sau dacă notificarea ar presupune un efort disproporționat; atunci în locul ei intervine o comunicare publică. Dacă una dintre aceste excepții se aplică este o evaluare juridică în cazul concret. Ea aparține responsabilului cu protecția datelor și avocatului, la fel ca notificarea către autoritatea de supraveghere, vezi Obligația de notificare RGPD: 72 de ore după incident.
Chiar și fără obligație, o informare poate fi sensibilă. Clienții care află despre incident din altă sursă pierd mai repede încrederea decât cei care aud de la dumneavoastră.
Rămâne întrebarea momentului. Cine informează prea devreme poate fi nevoit să corecteze afirmații. Cine așteaptă prea mult riscă ca între timp clienții să sufere prejudicii, de exemplu prin phishing cu adrese scurse. O cale de mijloc verificată: comunicați devreme ce este stabilit și ce pot face clienții înșiși și anunțați explicit că vor urma informații suplimentare. „Fără întârziere nejustificată” în sensul art. 34 nu înseamnă să așteptați sfârșitul investigației.
Ce clienți ajungeți și cum
Nu toți clienții au nevoie de același mesaj. Distingeți cel puțin trei grupuri:
| Grup de clienți | Rolul dumneavoastră | Ce înseamnă pentru informare |
|---|---|---|
| Clienți persoane fizice cu cont sau comandă | de regulă operator | verificați notificarea conform art. 34, limbaj ușor de înțeles, recomandări concrete |
| Clienți business ale căror date le folosiți în scopuri proprii | de regulă operator | informare factuală către persoane de contact desemnate, încadrare pentru obligațiile lor proprii |
| Clienți business pentru care prelucrați date în numele lor | persoană împuternicită de operator | informare fără întârziere conform art. 33 alin. 2, sprijin la notificările lor |
Al treilea grup este adesea trecut cu vederea. Dacă operați, de exemplu, magazine online sau portaluri pentru clienți, aceștia sunt de regulă ei înșiși operatori și trebuie să își îndeplinească propriile obligații de notificare. Pentru asta au nevoie rapid și complet de informațiile dumneavoastră.
Alegerea canalelor fără a încuraja phishingul
Cel mai sigur canal este cel pe care clienții îl cunosc deja. S-au dovedit utile:
- E-mail de la adresa obișnuită a expeditorului, fără linkuri de autentificare și fără atașamente, cu indicația de a accesa singuri site-ul.
- Mesaj după autentificare în contul de client, de îndată ce sistemul rulează din nou în siguranță.
- Anunț pe site, ca completare publică sau, acolo unde art. 34 alin. 3 prevede, ca comunicare publică.
- Scrisoare pentru clienții fără adresă de e-mail actuală sau în cazul datelor deosebit de sensibile.
- Telefon și serviciul clienți ca punct de contact pentru întrebări, cu un număr pe care clienții îl cunosc deja de pe site-ul sau factura dumneavoastră.
Precizați în fiecare mesaj în mod explicit că nu cereți niciodată prin e-mail sau telefon parole, coduri sau date de plată. După incidente cunoscute, escrocii trimit cu plăcere mesaje care arată ca ale dumneavoastră.
De la decizie până la mesajul final
Astfel poate arăta procedura în practică:
- Consemnați faptele: ce este dovedit, ce este probabil, ce este necunoscut. Doar ceea ce este dovedit iese în exterior.
- Obțineți evaluarea juridică: obligația conform art. 34, rolul față de clienții business, coordonarea cu notificarea către autoritate.
- Stabiliți grupurile de clienți și canalele, extrageți lista de distribuție din propriul sistem, nu dintr-o copie eventual manipulată.
- Pregătiți serviciul clienți: întrebări și răspunsuri interne, limbaj unitar, redirecționarea cazurilor dificile către un punct desemnat.
- Formulați recomandări pentru clienți: de exemplu schimbarea parolei dacă datele de acces ar putea fi afectate și atenție la mesajele suspecte.
- Trimiteți și documentați: cine a fost informat când și pe ce canal.
- Reveniți: comunicați noile constatări și trimiteți un mesaj final când investigația s-a încheiat.
Cine a stabilit din timp căile de contact interne câștigă aici mult timp, vezi Contacte de urgență: cine trebuie informat și când?. Pașii tehnici care ar trebui să preceadă informarea îi rezumă Lista de verificare după un atac.
Cum ajută PHP SOS concret?
- Livrăm faptele tehnice despre incident pregătite astfel încât responsabilul cu protecția datelor și avocatul să poată evalua obligațiile.
- Verificăm mesajele dumneavoastră către clienți privind corectitudinea tehnică și faptul că nu oferă atacatorilor indicii.
- Ne asigurăm că listele de distribuție și conturile de clienți provin dintr-un sistem curățat înainte de a trimite.
- Prin Incident Response livrăm constatările pentru mesajele ulterioare și finale în ritmul convenit.
Concluzie: O bună informare a clienților este verificată juridic, separată pe grupuri, trimisă pe canale sigure și dusă până la capăt. Această pagină este informație generală și nu constituie consultanță juridică; decizia în cazul concret o luați împreună cu responsabilul cu protecția datelor și cu un avocat.
Întrebări frecvente
Când trebuie să îmi informez clienții după o încălcare a datelor?
Conform art. 34 RGPD, atunci când încălcarea este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor vizate. Există excepții, de exemplu în cazul criptării eficiente a datelor. Evaluarea o faceți împreună cu responsabilul cu protecția datelor și cu un avocat; această pagină nu constituie consultanță juridică.
Ce se aplică dacă prelucrez date în numele clienților mei business?
Atunci clienții dumneavoastră sunt de regulă ei înșiși operatori. Conform art. 33 alin. 2 RGPD, persoana împuternicită de operator îl informează pe operator fără întârziere nejustificată după ce a luat cunoștință de încălcare. Notificarea către autoritate și către persoanele vizate rămâne în sarcina clientului dumneavoastră.
Am voie să îmi informez clienții chiar dacă nu există obligație?
Da. O informare voluntară poate fi sensibilă, de exemplu dacă site-ul a fost oprit preventiv din cauza PHP2Shell sau dacă clienții pun întrebări. Important este să menționați doar fapte sigure și să nu dați prematur semnalul că pericolul a trecut.
Cum împiedic escrocii să imite mesajul meu?
Renunțați în mesaj la linkuri de autentificare și la atașamente, trimiteți către site-ul dumneavoastră cunoscut și precizați explicit pe ce căi nu cereți niciodată parole sau date de plată.