Lühidalt: Kes peab või tahab kliente andmelekkest teavitada, otsustab kõigepealt koos andmekaitsespetsialisti ja advokaadiga, kas IKÜM art 34 järgi on kohustus, ning selgitab välja, kas äritkliendid on ise vastutavad töötlejad. Seejärel tulevad kliendirühmad, turvalised kanalid, ettevalmistatud klienditeenindus ja lõpuks lõputeade. Teated ei sisalda sisselogimislinke, et neist ei saaks andmepüügi eeskuju. See leht on üldine teave ja ei ole õigusnõustamine.
E-kiri, mida kõik kardavad
Server on puhastatud, turvaauk suletud, forensikal on esimesed tulemused. Nüüd on laual küsimus, mida paljud juhid sooviksid pigem vältida: kas peame seda oma klientidele ütlema? Ja kui jah, siis kuidas, tekitamata rohkem kahju kui intsident ise?
PHP2Shelli ümber toimunu on selle küsimuse paljude ettevõtete jaoks uuesti üles tõstnud, ka ilma sissemurdmiseta. Veebisaidid olid ennetavalt võrgust väljas, kliendid küsisid järele ja petturid kasutavad kogemuse põhjal selliseid olukordi võltsitud teadete jaoks. Kuidas kriisikommunikatsioon põhimõtteliselt üles ehitatakse, millises järjekorras ja millise sisuga, kirjeldab artikkel Kriisikommunikatsioon pärast rünnakut. See artikkel läheb ühe sammu sügavamale: otsus, kliendirühmad ja praktiline elluviimine.
Klientide teavitamine andmelekkest: kohustus või otsus?
IKÜM art 34 nõuab asjaomaste isikute põhjendamatu viivituseta teavitamist, kui isikuandmete kaitse rikkumine toob tõenäoliselt kaasa kõrge riski nende õigustele ja vabadustele. Teade kirjeldab rikkumise laadi selges ja lihtsas keeles ning sisaldab vähemalt kontaktisikut, tõenäolisi tagajärgi ning võetud või kavandatud meetmeid.
Art 34 lg 3 nimetab erandeid: kui andmed on näiteks krüpteerimise tõttu volitamata isikutele kättesaamatud, kui järgnevad meetmed kõrvaldavad kõrge riski tõenäoliselt või kui teavitamine nõuaks ebaproportsionaalset pingutust; siis asendab seda avalik teadaanne. Kas mõni neist eranditest kehtib, on õiguslik hinnang üksikjuhtumi kohta. See kuulub andmekaitsespetsialistile ja advokaadile, nagu ka teavitamine järelevalveasutusele, vt IKÜM teavitamiskohustus: 72 tundi pärast intsidenti.
Ka ilma kohustuseta võib teavitamine olla mõistlik. Kliendid, kes saavad intsidendist teada mujalt, kaotavad usalduse kiiremini kui need, kes kuulevad sellest teilt.
Jääb ajastuse küsimus. Kes teavitab liiga vara, peab väiteid võib-olla parandama. Kes ootab liiga kaua, riskib, et kliendid saavad vahepeal kahju, näiteks andmepüügi kaudu lekkinud aadressidega. End tõestanud kesktee: teatada vara, mis on kindel ja mida kliendid ise teha saavad, ning kuulutada sõnaselgelt, et lisateave järgneb. „Põhjendamatu viivituseta“ art 34 tähenduses ei tähenda uurimise lõppu ootamist.
Milliste klientideni kuidas jõuda
Kõik kliendid ei vaja sama teadet. Eristage vähemalt kolme rühma:
| Kliendirühm | Teie roll | Mida see teavitamise jaoks tähendab |
|---|---|---|
| Kontoga või tellimusega eraklient | enamasti vastutav töötleja | kontrollida teavitamist art 34 järgi, arusaadav keel, konkreetsed soovitused |
| Äritkliendid, kelle andmeid kasutate enda eesmärkidel | enamasti vastutav töötleja | sisuline teave nimetatud kontaktisikutele, oma kohustuste kontekst |
| Äritkliendid, kelle nimel andmeid töötlete | volitatud töötleja | põhjendamatu viivituseta teavitamine art 33 lg 2 järgi, tugi nende teavituste juures |
Kolmandat rühma jäetakse sageli tähelepanuta. Kui käitate näiteks poode või portaale klientidele, on need üldjuhul ise vastutavad töötlejad ja peavad täitma oma teavitamiskohustusi. Selleks vajavad nad teie teavet kiiresti ja täielikult.
Kanalite valik andmepüüki soodustamata
Kõige turvalisem kanal on see, mida kliendid juba tunnevad. End on tõestanud:
- E-kiri harjumuspärasel saatja aadressil, ilma sisselogimislinkide ja manusteta, koos märkusega avada veebisait ise.
- Märkus pärast sisselogimist kliendikontol, niipea kui süsteem taas turvaliselt töötab.
- Märkus veebisaidil, avaliku täiendusena või seal, kus art 34 lg 3 seda ette näeb, avaliku teadaandena.
- Kiri klientidele, kellel pole ajakohast e-posti aadressi, või eriti tundlike andmete korral.
- Telefon ja klienditeenindus täpsustavate küsimuste kontaktpunktina, numbriga, mida kliendid juba teie veebisaidilt või arvelt tunnevad.
Nimetage igas teates sõnaselgelt, et te ei küsi kunagi e-posti ega telefoni teel paroole, koode ega makseandmeid. Petturid saadavad pärast teadaolevaid intsidente meelsasti teateid, mis näevad välja nagu teie omad.
Otsusest lõputeateni
Praktikas võib kulg välja näha nii:
- Fikseerida faktid: mis on tõendatud, mis tõenäoline, mis teadmata. Väljapoole läheb ainult tõendatu.
- Hankida õiguslik hinnang: kohustus art 34 järgi, roll äriklientide suhtes, kooskõlastus teavitusega ametiasutusele.
- Määrata kliendirühmad ja kanalid, tõmmata jaotusloend oma süsteemist, mitte võimalik manipuleeritud koopiast.
- Valmistada ette klienditeenindus: sisemised küsimused ja vastused, selge keelekasutus, keeruliste juhtumite edastamine nimetatud kontaktile.
- Sõnastada soovitused klientidele: näiteks vahetada parool, kui sisselogimisandmed võivad olla mõjutatud, ja jälgida kahtlasi teateid.
- Saata ja dokumenteerida: kes sai millal millise kanali kaudu teate.
- Jälgida: teatada uutest teadmistest ja saata lõputeade, kui uurimine on lõppenud.
Kes on kontaktiteed ettevõttes eelnevalt kindlaks määranud, säästab siin palju aega, vt Hädaolukorra kontaktid: kes tuleb millal teavitada?. Tehnilised sammud, mis peaksid teavitamisele eelnema, võtab kokku kontrollnimekiri pärast häkkimist.
Kuidas PHP SOS konkreetselt aitab?
- Anname intsidendi tehnilised faktid sellisel kujul, et andmekaitsespetsialist ja advokaat saavad kohustusi hinnata.
- Kontrollime teie klienditeadete tehnilist õigsust ja seda, et need ei anna ründajatele vihjeid.
- Tagame, et jaotusloendid ja kliendikontod pärinevad puhastatud süsteemist, enne kui te saadate.
- Intsidendile reageerimise kaudu anname järel- ja lõputeadete jaoks teadmised kokkulepitud rütmis.
Kokkuvõte: Hea klienditeavitus on õiguslikult kontrollitud, rühmade kaupa eraldatud, turvaliste kanalite kaudu saadetud ja viiakse lõpuni. See leht on üldine teave ja ei ole õigusnõustamine; otsuse üksikjuhtumil teete koos andmekaitsespetsialisti ja advokaadiga.
Korduma kippuvad küsimused
Millal pean kliente andmelekkest teavitama?
IKÜM art 34 kohaselt siis, kui rikkumine toob tõenäoliselt kaasa kõrge riski asjaomaste isikute õigustele ja vabadustele. On erandeid, näiteks andmete tõhusa krüpteerimise korral. Hindamise teete koos andmekaitsespetsialisti ja advokaadiga; see leht ei ole õigusnõustamine.
Mida teha, kui töötlen andmeid oma äriklientide nimel?
Siis on teie kliendid enamasti ise vastutavad töötlejad. IKÜM art 33 lg 2 kohaselt teavitab volitatud töötleja vastutavat töötlejat põhjendamatu viivituseta pärast andmelekkest teada saamist. Teavitamine ametiasutusele ja asjaomastele isikutele jääb teie kliendi ülesandeks.
Kas tohin kliente teavitada, kuigi kohustust ei ole?
Jah. Vabatahtlik teavitamine võib olla mõistlik, näiteks kui veebisait oli PHP2Shelli tõttu ennetavalt võrgust väljas või kliendid esitavad küsimusi. Oluline on nimetada ainult kindlaid fakte ja mitte anda enneaegset kõik-korras-signaali.
Kuidas takistan, et petturid minu teadet järele teeksid?
Jätke teatest välja sisselogimislingid ja manused, viidake oma tuntud veebisaidile ja nimetage sõnaselgelt, milliste kanalite kaudu te kunagi ei küsi paroole ega makseandmeid.