Kort sagt: Den som måste eller vill informera kunder efter en personuppgiftsincident avgör först tillsammans med dataskyddsombud och advokat om det finns en skyldighet enligt art. 34 GDPR, och klargör om företagskunder själva är personuppgiftsansvariga. Därefter följer kundgrupper, säkra kanaler, en förberedd kundservice och ett avslutande meddelande. Meddelanden innehåller inga inloggningslänkar, så att de inte blir en mall för nätfiske. Den här sidan är allmän information och ingen juridisk rådgivning.
Mejlet som alla fruktar
Servern är sanerad, luckan stängd, forensiken har gett första resultat. Nu ligger en fråga på bordet som många verkställande direktörer helst skulle undvika: Måste vi tala om det för våra kunder? Och om ja, hur, utan att orsaka mer skada än själva incidenten?
Läget kring PHP2Shell har ställt den frågan på nytt för många företag, även utan intrång. Webbplatser låg offline i förebyggande syfte, kunder frågade och bedragare utnyttjar erfarenhetsmässigt sådana lägen för falska meddelanden. Hur krishantering i kommunikationen i grunden är uppbyggd, i vilken ordning och med vilket innehåll, beskriver Krishantering i kommunikationen efter ett angrepp. Det här inlägget går ett steg djupare: beslutet, kundgrupperna och det praktiska genomförandet.
Informera kunder efter en personuppgiftsincident: plikt eller beslut?
Art. 34 GDPR kräver att de registrerade underrättas utan onödigt dröjsmål när en personuppgiftsincident sannolikt leder till en hög risk för deras rättigheter och friheter. Underrättelsen beskriver incidentens art på ett tydligt och enkelt språk och innehåller minst en kontaktperson, de sannolika följderna och de åtgärder som vidtagits eller planeras.
Art. 34.3 nämner undantag: om uppgifterna till exempel är oåtkomliga för obehöriga genom kryptering, om efterföljande åtgärder sannolikt undanröjer den höga risken eller om underrättelsen skulle kräva oproportionerliga ansträngningar; då träder ett offentligt meddelande i stället. Om ett av dessa undantag gäller är en juridisk bedömning i det enskilda fallet. Den hör hemma hos dataskyddsombud och advokat, liksom anmälan till tillsynsmyndigheten, se GDPR-anmälan: 72 timmar efter incidenten.
Även utan skyldighet kan information vara rimlig. Kunder som får veta om incidenten från annat håll tappar förtroendet snabbare än de som hör det från er.
Återstår frågan om tidpunkt. Den som informerar för tidigt måste kanske korrigera uppgifter. Den som väntar för länge riskerar att kunder under tiden drabbas av skada, till exempel genom nätfiske med läckta adresser. En beprövad medelväg: berätta tidigt vad som är fastställt och vad kunderna själva kan göra, och aviser uttryckligen att mer information följer. ”Utan onödigt dröjsmål” i den mening som art. 34 avser innebär inte att man ska vänta tills utredningen är slut.
Vilka kunder ni når och hur
Alla kunder behöver inte samma meddelande. Skilj åtminstone på tre grupper:
| Kundgrupp | Er roll | Vad det betyder för informationen |
|---|---|---|
| Privatkunder med konto eller beställning | oftast personuppgiftsansvarig | pröva underrättelse enligt art. 34, begripligt språk, konkreta rekommendationer |
| Företagskunder vars uppgifter ni använder för egna ändamål | oftast personuppgiftsansvarig | saklig information till utsedda kontaktpersoner, inplacering för deras egna skyldigheter |
| Företagskunder för vilka ni behandlar uppgifter på uppdrag | personuppgiftsbiträde | information utan onödigt dröjsmål enligt art. 33.2, stöd vid deras anmälningar |
Den tredje gruppen förbises ofta. Driver ni till exempel webbshoppar eller portaler åt kunder är de som regel själva personuppgiftsansvariga och måste uppfylla sina egna anmälningsskyldigheter. För det behöver de er information snabbt och fullständigt.
Välja kanaler utan att gynna nätfiske
Den säkraste kanalen är den som kunderna redan känner till. Följande har visat sig fungera:
- E-post från den vanliga avsändaradressen, utan inloggningslänkar och utan bilagor, med uppmaningen att själv öppna webbplatsen.
- Meddelande efter inloggning i kundkontot, så snart systemet åter körs säkert.
- Meddelande på webbplatsen, som offentligt komplement eller, där art. 34.3 föreskriver det, som offentligt meddelande.
- Brev till kunder utan aktuell e-postadress eller vid särskilt känsliga uppgifter.
- Telefon och kundservice som kontaktpunkt för frågor, med ett nummer som kunderna redan känner från er webbplats eller faktura.
Nämn i varje meddelande uttryckligen att ni aldrig frågar efter lösenord, koder eller betaluppgifter per e-post eller telefon. Bedragare skickar gärna efter kända incidenter meddelanden som ser ut som era.
Från beslut till avslutande meddelande
Så kan förloppet se ut i praktiken:
- Dokumentera fakta: vad som är belagt, vad som är sannolikt, vad som är okänt. Bara det belagda går ut.
- Inhämta juridisk bedömning: skyldighet enligt art. 34, roll gentemot företagskunder, samordning med anmälan till myndigheten.
- Fastställ kundgrupper och kanaler, hämta utskickslistan från det egna systemet och inte från en möjligen manipulerad kopia.
- Förbered kundservice: interna frågor och svar, tydlig språkregel, vidarebefordran av svåra fall till en utsedd instans.
- Formulera rekommendationer till kunderna: till exempel byta lösenord om inloggningsuppgifter kan vara berörda och vara uppmärksam på misstänkta meddelanden.
- Skicka och dokumentera: vem som informerades när via vilken kanal.
- Följa upp: meddela nya rön och skicka ett avslutande meddelande när utredningen är klar.
Den som har fastställt kontaktvägarna internt i förväg sparar mycket tid på detta, se Nödkontakter: vem måste informeras och när?. Tekniska steg som bör föregå informationen sammanfattar checklistan efter ett hack.
Hur hjälper PHP SOS konkret?
- Vi levererar de tekniska fakta om incidenten så bearbetade att dataskyddsombud och advokat kan bedöma skyldigheterna.
- Vi granskar era kundmeddelanden med avseende på teknisk riktighet och att de inte ger angripare några ledtrådar.
- Vi ser till att utskickslistor och kundkonton kommer från ett sanerat system innan ni skickar.
- Via Incident Response levererar vi rönen för uppföljande och avslutande meddelanden i överenskommen takt.
Slutsats: En bra kundinformation är juridiskt prövad, uppdelad efter grupper, skickad via säkra kanaler och förs till slut. Den här sidan är allmän information och ingen juridisk rådgivning; beslutet i det enskilda fallet fattar ni tillsammans med dataskyddsombud och advokat.
Vanliga frågor
När måste jag informera kunder efter en personuppgiftsincident?
Enligt art. 34 GDPR när överträdelsen sannolikt leder till en hög risk för de registrerades rättigheter och friheter. Det finns undantag, till exempel vid effektiv kryptering av uppgifterna. Bedömningen gör ni tillsammans med dataskyddsombud och advokat; den här sidan är ingen juridisk rådgivning.
Vad gäller om jag behandlar uppgifter på uppdrag av mina företagskunder?
Då är era kunder oftast själva personuppgiftsansvariga. Enligt art. 33.2 GDPR informerar personuppgiftsbiträdet den ansvarige utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident. Anmälan till myndigheten och till de registrerade ankommer på er kund.
Får jag informera kunder trots att det inte finns någon skyldighet?
Ja. En frivillig information kan vara rimlig, till exempel om webbplatsen var offline i förebyggande syfte på grund av PHP2Shell eller om kunder ställer frågor. Viktigt är att bara nämna säkerställda fakta och inte ge någon förhastad entydig lugnande besked.
Hur förhindrar jag att bedragare efterliknar mitt meddelande?
Avstå från länkar till inloggning och från bilagor i meddelandet, hänvisa till er kända webbplats och nämn uttryckligen vilka vägar ni aldrig frågar efter lösenord eller betaluppgifter.