Εν ολίγοις: Όποιος πρέπει ή θέλει να ενημερώσει πελάτες μετά από παραβίαση δεδομένων, αποφασίζει πρώτα με τον υπεύθυνο προστασίας δεδομένων και με δικηγόρο αν υπάρχει υποχρέωση βάσει του άρθρου 34 ΓΚΠΔ, και διευκρινίζει αν οι επαγγελματίες πελάτες είναι οι ίδιοι υπεύθυνοι επεξεργασίας. Ακολουθούν οι ομάδες πελατών, τα ασφαλή κανάλια, μια προετοιμασμένη εξυπηρέτηση πελατών και ένα τελικό μήνυμα. Τα μηνύματα δεν περιέχουν συνδέσμους σύνδεσης, ώστε να μην γίνουν πρότυπο για phishing. Αυτή η σελίδα είναι γενική πληροφόρηση και δεν αποτελεί νομική συμβουλή.
Το email που φοβούνται όλοι
Ο διακομιστής έχει καθαριστεί, η ευπάθεια έχει κλείσει, η ψηφιακή εγκληματολογία έχει τα πρώτα αποτελέσματα. Τώρα υπάρχει ένα ερώτημα στο τραπέζι που πολλοί διευθυντές θα προτιμούσαν να αποφύγουν: Πρέπει να το πούμε στους πελάτες μας; Και αν ναι, πώς, χωρίς να προκαλέσουμε περισσότερη ζημία από το ίδιο το περιστατικό;
Η κατάσταση γύρω από το PHP2Shell έθεσε το ερώτημα εκ νέου σε πολλές επιχειρήσεις, ακόμη και χωρίς παραβίαση. Ιστότοποι ήταν προληπτικά εκτός λειτουργίας, οι πελάτες ρωτούσαν και οι απατεώνες, κατά την εμπειρία, εκμεταλλεύονται τέτοιες καταστάσεις για πλαστά μηνύματα. Πώς δομείται η επικοινωνία κρίσης κατά βάση, με ποια σειρά και με ποιο περιεχόμενο, περιγράφει η Επικοινωνία κρίσης μετά από επίθεση. Αυτό το άρθρο πηγαίνει ένα βήμα βαθύτερα: την απόφαση, τις ομάδες πελατών και την πρακτική υλοποίηση.
Ενημέρωση πελατών μετά από παραβίαση δεδομένων: υποχρέωση ή απόφαση;
Το άρθρο 34 ΓΚΠΔ απαιτεί να ειδοποιούνται χωρίς αδικαιολόγητη καθυστέρηση οι θιγόμενοι, όταν μια παραβίαση της προστασίας δεδομένων προσωπικού χαρακτήρα ενδέχεται να έχει ως αποτέλεσμα υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες τους. Η ειδοποίηση περιγράφει το είδος της παραβίασης με σαφή και απλή γλώσσα και περιέχει τουλάχιστον ένα πρόσωπο επαφής, τις πιθανές συνέπειες και τα μέτρα που έχουν ληφθεί ή προγραμματιστεί.
Το άρθρο 34 παρ. 3 αναφέρει εξαιρέσεις: όταν τα δεδομένα είναι, για παράδειγμα λόγω κρυπτογράφησης, μη προσβάσιμα σε μη εξουσιοδοτημένους, όταν μέτρα που ελήφθησαν στη συνέχεια εξαλείφουν πιθανότατα τον υψηλό κίνδυνο ή όταν η ειδοποίηση θα συνεπαγόταν δυσανάλογη προσπάθεια· τότε στη θέση της έρχεται δημόσια ανακοίνωση. Το αν ισχύει μία από αυτές τις εξαιρέσεις είναι νομική αξιολόγηση κατά περίπτωση. Ανήκει στον υπεύθυνο προστασίας δεδομένων και στον δικηγόρο, όπως και η γνωστοποίηση στην εποπτική αρχή, δείτε Υποχρέωση γνωστοποίησης ΓΚΠΔ: 72 ώρες μετά το περιστατικό.
Ακόμη και χωρίς υποχρέωση, μια ενημέρωση μπορεί να έχει νόημα. Οι πελάτες που μαθαίνουν για το περιστατικό από άλλη πηγή χάνουν την εμπιστοσύνη τους ταχύτερα από εκείνους που το ακούν από εσάς.
Μένει το ερώτημα του χρόνου. Όποιος ενημερώνει πολύ νωρίς, ίσως χρειαστεί να διορθώσει δηλώσεις. Όποιος περιμένει πολύ, διακινδυνεύει να υποστούν οι πελάτες ζημία στο μεταξύ, για παράδειγμα από phishing με διαρρεύσασες διευθύνσεις. Μια δοκιμασμένη μέση λύση: ενημερώστε νωρίς για ό,τι έχει εξακριβωθεί και για ό,τι μπορούν να κάνουν οι ίδιοι οι πελάτες, και ανακοινώστε ρητά ότι θα ακολουθήσουν περισσότερες πληροφορίες. Το «χωρίς αδικαιολόγητη καθυστέρηση» κατά το άρθρο 34 δεν σημαίνει να περιμένετε το τέλος της διερεύνησης.
Ποιους πελάτες και πώς τους προσεγγίζετε
Δεν χρειάζονται όλοι οι πελάτες το ίδιο μήνυμα. Διακρίνετε τουλάχιστον τρεις ομάδες:
| Ομάδα πελατών | Ο ρόλος σας | Τι σημαίνει αυτό για την ενημέρωση |
|---|---|---|
| Ιδιώτες πελάτες με λογαριασμό ή παραγγελία | συνήθως υπεύθυνος επεξεργασίας | έλεγχος ειδοποίησης βάσει του άρθρου 34, κατανοητή γλώσσα, συγκεκριμένες συστάσεις |
| Επαγγελματίες πελάτες, των οποίων τα δεδομένα χρησιμοποιείτε για δικούς σας σκοπούς | συνήθως υπεύθυνος επεξεργασίας | αντικειμενική ενημέρωση σε ονομαστικά πρόσωπα επαφής, αξιολόγηση για τις δικές τους υποχρεώσεις |
| Επαγγελματίες πελάτες, για λογαριασμό των οποίων επεξεργάζεστε δεδομένα | εκτελών την επεξεργασία | άμεση ενημέρωση βάσει του άρθρου 33 παρ. 2, υποστήριξη στις δικές τους γνωστοποιήσεις |
Η τρίτη ομάδα παραβλέπεται συχνά. Αν λειτουργείτε, για παράδειγμα, e-shops ή πύλες για πελάτες, αυτοί είναι κατά κανόνα οι ίδιοι υπεύθυνοι επεξεργασίας και πρέπει να εκπληρώσουν τις δικές τους υποχρεώσεις γνωστοποίησης. Γι' αυτό χρειάζονται γρήγορα και πλήρως τις πληροφορίες σας.
Επιλογή καναλιών χωρίς να ευνοείται το phishing
Το ασφαλέστερο κανάλι είναι αυτό που οι πελάτες γνωρίζουν ήδη. Έχουν αποδειχθεί αποτελεσματικά:
- Email από τη συνήθη διεύθυνση αποστολέα, χωρίς συνδέσμους σύνδεσης και χωρίς συνημμένα, με την υπόδειξη να επισκεφθούν οι ίδιοι τον ιστότοπο.
- Ειδοποίηση μετά τη σύνδεση στον λογαριασμό πελάτη, μόλις το σύστημα λειτουργεί ξανά με ασφάλεια.
- Ανακοίνωση στον ιστότοπο, ως δημόσια συμπλήρωση ή, όπου το προβλέπει το άρθρο 34 παρ. 3, ως δημόσια ανακοίνωση.
- Επιστολή για πελάτες χωρίς επίκαιρη διεύθυνση email ή σε ιδιαίτερα ευαίσθητα δεδομένα.
- Τηλέφωνο και εξυπηρέτηση πελατών ως σημείο επαφής για ερωτήσεις, με αριθμό που οι πελάτες γνωρίζουν ήδη από τον ιστότοπο ή το τιμολόγιό σας.
Αναφέρετε ρητά σε κάθε ανακοίνωση ότι δεν ζητάτε ποτέ μέσω email ή τηλεφώνου κωδικούς πρόσβασης, κωδικούς επιβεβαίωσης ή στοιχεία πληρωμής. Οι απατεώνες στέλνουν μετά από γνωστά περιστατικά ευχαρίστως μηνύματα που μοιάζουν με τα δικά σας.
Από την απόφαση έως το τελικό μήνυμα
Έτσι μπορεί να εξελιχθεί η διαδικασία στην πράξη:
- Καταγράψτε τα γεγονότα: τι έχει τεκμηριωθεί, τι είναι πιθανό, τι είναι άγνωστο. Προς τα έξω φεύγει μόνο ό,τι έχει τεκμηριωθεί.
- Ζητήστε νομική αξιολόγηση: υποχρέωση βάσει του άρθρου 34, ρόλος απέναντι σε επαγγελματίες πελάτες, συντονισμός με τη γνωστοποίηση στην αρχή.
- Ορίστε ομάδες πελατών και κανάλια, αντλήστε τη λίστα παραληπτών από το δικό σας σύστημα και όχι από ένα πιθανώς παραποιημένο αντίγραφο.
- Προετοιμάστε την εξυπηρέτηση πελατών: εσωτερικές ερωτήσεις και απαντήσεις, σαφής κοινή γραμμή, προώθηση δύσκολων περιπτώσεων σε συγκεκριμένο σημείο.
- Διατυπώστε συστάσεις για τους πελάτες: για παράδειγμα αλλαγή κωδικού, αν ενδέχεται να επηρεάζονται διαπιστευτήρια, και προσοχή σε ύποπτα μηνύματα.
- Αποστείλετε και τεκμηριώστε: ποιος ενημερώθηκε πότε και μέσω ποιου καναλιού.
- Επανέλθετε: γνωστοποιήστε νέα ευρήματα και στείλτε ένα τελικό μήνυμα όταν ολοκληρωθεί η διερεύνηση.
Όποιος έχει ορίσει εκ των προτέρων τις διαδρομές επικοινωνίας εσωτερικά, γλιτώνει πολύ χρόνο, δείτε Επαφές έκτακτης ανάγκης: ποιος πρέπει να ενημερωθεί και πότε;. Τεχνικά βήματα που πρέπει να προηγηθούν της ενημέρωσης, συνοψίζει ο Έλεγχος μετά από hack.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Παραδίδουμε τα τεχνικά γεγονότα του περιστατικού επεξεργασμένα έτσι ώστε ο υπεύθυνος προστασίας δεδομένων και ο δικηγόρος να μπορούν να αξιολογήσουν τις υποχρεώσεις.
- Ελέγχουμε τις ανακοινώσεις σας προς τους πελάτες ως προς την τεχνική ορθότητα και ως προς το ότι δεν δίνουν υποδείξεις σε επιτιθέμενους.
- Διασφαλίζουμε ότι οι λίστες παραληπτών και οι λογαριασμοί πελατών προέρχονται από καθαρισμένο σύστημα, πριν αποστείλετε.
- Μέσω της αντιμετώπισης περιστατικών (incident response) παραδίδουμε τα ευρήματα για επακόλουθα και τελικά μηνύματα με τον συμφωνημένο ρυθμό.
Συμπέρασμα: Μια καλή ενημέρωση πελατών έχει νομικό έλεγχο, χωρισμό ανά ομάδες, αποστέλλεται μέσω ασφαλών καναλιών και ολοκληρώνεται. Αυτή η σελίδα είναι γενική πληροφόρηση και δεν αποτελεί νομική συμβουλή· την απόφαση σε κάθε περίπτωση τη λαμβάνετε με τον υπεύθυνο προστασίας δεδομένων και με δικηγόρο.
Συχνές ερωτήσεις
Πότε πρέπει να ενημερώσω τους πελάτες μετά από παραβίαση δεδομένων;
Σύμφωνα με το άρθρο 34 ΓΚΠΔ, όταν η παραβίαση ενδέχεται να έχει ως αποτέλεσμα υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των θιγομένων. Υπάρχουν εξαιρέσεις, για παράδειγμα σε περίπτωση αποτελεσματικής κρυπτογράφησης των δεδομένων. Την αξιολόγηση την κάνετε με τον υπεύθυνο προστασίας δεδομένων και με δικηγόρο· αυτή η σελίδα δεν αποτελεί νομική συμβουλή.
Τι ισχύει αν επεξεργάζομαι δεδομένα για λογαριασμό επαγγελματιών πελατών μου;
Τότε οι πελάτες σας είναι συνήθως οι ίδιοι υπεύθυνοι επεξεργασίας. Σύμφωνα με το άρθρο 33 παρ. 2 ΓΚΠΔ, ο εκτελών την επεξεργασία ενημερώνει τον υπεύθυνο επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση, μόλις λάβει γνώση της παραβίασης. Η γνωστοποίηση στην αρχή και στους θιγόμενους παραμένει υπόθεση του πελάτη σας.
Επιτρέπεται να ενημερώσω πελάτες, παρότι δεν υπάρχει υποχρέωση;
Ναι. Μια εθελοντική ενημέρωση μπορεί να έχει νόημα, για παράδειγμα όταν ο ιστότοπος ήταν προληπτικά εκτός λειτουργίας λόγω PHP2Shell ή όταν οι πελάτες υποβάλλουν ερωτήσεις. Σημασία έχει να αναφέρονται μόνο εξακριβωμένα γεγονότα και να μην δίνεται βιαστικά ειρηνευτικό μήνυμα.
Πώς αποτρέπω τους απατεώνες από το να μιμηθούν το μήνυμά μου;
Αποφύγετε στο μήνυμα συνδέσμους για σύνδεση και συνημμένα, παραπέμψτε στον γνωστό ιστότοπό σας και αναφέρετε ρητά μέσω ποιων καναλιών δεν ζητάτε ποτέ κωδικούς πρόσβασης ή στοιχεία πληρωμής.