Lyhyesti: Joka joutuu tai haluaa tiedottaa asiakkaille tietosuojaloukkauksen jälkeen, ratkaisee ensin tietosuojavastaavan ja asianajajan kanssa, onko GDPR:n 34 artiklan mukainen velvollisuus olemassa, ja selvittää, ovatko yritysasiakkaat itse rekisterinpitäjiä. Sen jälkeen seuraavat asiakasryhmät, turvalliset kanavat, valmisteltu asiakaspalvelu ja päättävä viesti. Viesteissä ei ole kirjautumislinkkejä, jotta niistä ei tule mallia tietojenkalastelulle. Tämä sivu on yleistä tietoa eikä oikeudellista neuvontaa.
Viesti, jota kaikki pelkäävät
Palvelin on puhdistettu, aukko suljettu, rikosteknisestä tutkinnasta on ensimmäiset tulokset. Nyt pöydällä on kysymys, jota monet toimitusjohtajat mieluummin välttäisivät: onko meidän kerrottava asiakkaillemme? Ja jos on, miten, aiheuttamatta enemmän vahinkoa kuin häiriö itse?
PHP2Shellin ympärillä oleva tilanne on herättänyt tämän kysymyksen uudelleen monissa yrityksissä, murtoa ilman. Verkkosivustot olivat varotoimena pois käytöstä, asiakkaat kysyivät, ja huijarit käyttävät kokemuksen mukaan tällaisia tilanteita väärennettyihin viesteihin. Miten kriisiviestintä rakennetaan periaatteessa, missä järjestyksessä ja millä sisällöllä, kuvaa sivu Kriisiviestintä hyökkäyksen jälkeen. Tämä kirjoitus menee askeleen syvemmälle: päätökseen, asiakasryhmiin ja käytännön toteutukseen.
Asiakkaiden tiedottaminen tietosuojaloukkauksen jälkeen: velvollisuus vai päätös?
GDPR:n 34 artikla edellyttää rekisteröityjen ilmoittamista viipymättä, kun henkilötietojen tietoturvaloukkauksen todennäköisenä seurauksena on korkea riski heidän oikeuksilleen ja vapauksilleen. Ilmoituksessa kuvataan loukkauksen luonne selkeällä ja yksinkertaisella kielellä, ja siinä on vähintään yhteyshenkilö, todennäköiset seuraukset sekä toteutetut tai suunnitellut toimenpiteet.
GDPR:n 34 artiklan 3 kohta mainitsee poikkeukset: jos tiedot ovat esimerkiksi salauksen vuoksi asiaankuulumattomille käyttökelvottomia, jos jatkotoimenpiteet todennäköisesti poistavat korkean riskin tai jos ilmoittaminen vaatisi suhteetonta vaivaa; silloin tilalle tulee julkinen tiedotus. Se, soveltuuko jokin näistä poikkeuksista, on oikeudellinen arviointi yksittäistapauksessa. Se kuuluu tietosuojavastaavalle ja asianajajalle, samoin kuin valvontaviranomaiselle tehtävä ilmoitus, katso GDPR-ilmoitusvelvollisuus: 72 tuntia häiriön jälkeen.
Myös ilman velvollisuutta tiedotus voi olla järkevää. Asiakkaat, jotka kuulevat häiriöstä muualta, menettävät luottamuksensa nopeammin kuin ne, jotka kuulevat sen teiltä.
Jää vielä ajoituksen kysymys. Joka tiedottaa liian aikaisin, joutuu mahdollisesti korjaamaan lausuntojaan. Joka odottaa liian kauan, riskeeraa, että asiakkaat kärsivät välillä vahinkoa, esimerkiksi vuotaneilla osoitteilla tehdyn tietojenkalastelun kautta. Hyväksi todettu keskitie: kertokaa varhain, mikä on varmaa ja mitä asiakkaat voivat itse tehdä, ja ilmoittakaa nimenomaisesti, että lisätietoja seuraa. ”Viipymättä” GDPR:n 34 artiklan mielessä ei tarkoita tutkinnan päättymisen odottamista.
Mitkä asiakkaat tavoitatte ja miten
Kaikki asiakkaat eivät tarvitse samaa viestiä. Erottakaa vähintään kolme ryhmää:
| Asiakasryhmä | Teidän roolinne | Mitä se tarkoittaa tiedotukselle |
|---|---|---|
| Yksityisasiakkaat, joilla on tili tai tilaus | yleensä rekisterinpitäjä | harkitkaa ilmoitusta GDPR:n 34 artiklan mukaan, ymmärrettävä kieli, konkreettiset suositukset |
| Yritysasiakkaat, joiden tietoja käytätte omiin tarkoituksiinne | yleensä rekisterinpitäjä | asiallinen tiedote nimetyille yhteyshenkilöille, arvio heidän omista velvoitteistaan |
| Yritysasiakkaat, joiden lukuun käsittelette tietoja | henkilötietojen käsittelijä | viipymätön tiedotus GDPR:n 33 artiklan 2 kohdan mukaan, tuki heidän ilmoituksilleen |
Kolmas ryhmä jää usein huomaamatta. Jos ylläpidätte esimerkiksi verkkokauppoja tai portaaleja asiakkaille, nämä ovat yleensä itse rekisterinpitäjiä ja heidän on täytettävä omat ilmoitusvelvollisuutensa. Siihen he tarvitsevat teidän tietonne nopeasti ja täydellisinä.
Kanavien valinta tietojenkalastelua edistämättä
Turvallisin kanava on se, jonka asiakkaat jo tuntevat. Hyväksi ovat osoittautuneet:
- Sähköposti tutusta lähettäjäosoitteesta, ilman kirjautumislinkkejä ja liitteitä, huomautuksella avata verkkosivusto itse.
- Ilmoitus kirjautumisen jälkeen asiakastilillä heti kun järjestelmä toimii taas turvallisesti.
- Ilmoitus verkkosivustolla julkisena täydennyksenä tai siellä, missä GDPR:n 34 artiklan 3 kohta niin sallii, julkisena tiedotuksena.
- Kirje asiakkaille, joilla ei ole ajantasaista sähköpostiosoitetta, tai erityisen arkaluonteisten tietojen kohdalla.
- Puhelin ja asiakaspalvelu kyselyjen yhteyspisteenä, numerolla jonka asiakkaat tuntevat jo verkkosivustoltanne tai laskustanne.
Mainitkaa jokaisessa viestissä nimenomaisesti, ettette koskaan kysy sähköpostitse tai puhelimitse salasanoja, koodeja tai maksutietoja. Huijarit lähettävät tunnettujen häiriöiden jälkeen mielellään viestejä, jotka näyttävät teidän viesteiltänne.
Päätöksestä päättävään viestiin
Käytännössä kulku voi näyttää tältä:
- Kirjaa tosiasiat: mikä on todistettu, mikä todennäköistä, mikä tuntematonta. Vain todistettu menee ulos.
- Hanki oikeudellinen arviointi: velvollisuus GDPR:n 34 artiklan mukaan, rooli yritysasiakkaisiin nähden, yhteensovitus viranomaisilmoituksen kanssa.
- Määritä asiakasryhmät ja kanavat, hae jakelulistat omasta järjestelmästä, ei mahdollisesti manipuloidusta kopiosta.
- Valmistele asiakaspalvelu: sisäiset kysymykset ja vastaukset, selkeä kielenkäyttö, vaikeiden tapausten ohjaus nimetylle taholle.
- Muotoile suositukset asiakkaille: esimerkiksi salasanan vaihto, jos tunnukset voivat olla vaarantuneet, ja epäilyttävien viestien tarkkailu.
- Lähetä ja dokumentoi: kuka sai tiedon milloin ja minkä kanavan kautta.
- Seuraa: kerro uusista havainnoista ja lähetä päättävä viesti, kun tutkinta on päättynyt.
Joka on sopinut yhteydenpitotiet sisäisesti etukäteen, säästää tässä paljon aikaa, katso Hätäyhteystiedot: kenelle ilmoitetaan ja milloin?. Tekniset vaiheet, joiden pitäisi edeltää tiedotusta, tiivistää tarkistuslista hakkeroinnin jälkeen.
Miten PHP SOS auttaa konkreettisesti?
- Toimitamme häiriön tekniset tosiasiat sellaisessa muodossa, että tietosuojavastaava ja asianajaja voivat arvioida velvoitteet.
- Tarkistamme asiakastiedotteenne teknisen oikeellisuuden ja sen, etteivät ne anna hyökkääjille vihjeitä.
- Varmistamme, että jakelulistat ja asiakastilit tulevat puhdistetusta järjestelmästä ennen lähetystä.
- Incident Response -palvelun kautta toimitamme havainnot seuranta- ja päättäviä viestejä varten sovitulla tahdilla.
Yhteenveto: Hyvä asiakastiedotus on oikeudellisesti tarkistettu, ryhmittäin eroteltu, turvallisten kanavien kautta lähetetty ja vietävä loppuun asti. Tämä sivu on yleistä tietoa eikä oikeudellista neuvontaa; yksittäistapauksessa päätöksen teette tietosuojavastaavan ja asianajajan kanssa.
Usein kysytyt kysymykset
Milloin minun on tiedotettava asiakkaille tietosuojaloukkauksesta?
GDPR:n 34 artiklan mukaan, kun loukkauksen todennäköisenä seurauksena on korkea riski rekisteröityjen oikeuksille ja vapauksille. Poikkeuksia on, esimerkiksi jos tiedot on salattu tehokkaasti. Arvioinnin teette tietosuojavastaavan ja asianajajan kanssa; tämä sivu ei ole oikeudellista neuvontaa.
Mitä pätee, jos käsittelen tietoja yritysasiakkaideni lukuun?
Silloin asiakkaanne ovat yleensä itse rekisterinpitäjiä. GDPR:n 33 artiklan 2 kohdan mukaan henkilötietojen käsittelijä ilmoittaa rekisterinpitäjälle viipymättä, kun se on saanut tietosuojaloukkauksesta tiedon. Ilmoitus viranomaiselle ja rekisteröidyille jää asiakkaanne tehtäväksi.
Voinko tiedottaa asiakkaille, vaikka velvollisuutta ei ole?
Kyllä. Vapaaehtoinen tiedotus voi olla järkevää, esimerkiksi jos verkkosivusto oli PHP2Shellin vuoksi varotoimena pois käytöstä tai asiakkaat esittävät kysymyksiä. Tärkeää on mainita vain varmistetut tosiasiat eikä antaa ennenaikaista hälytyksen päättymisilmoitusta.
Miten estän huijareita jäljittelemästä viestiäni?
Jättäkää viestistä pois kirjautumislinkit ja liitteet, viittatkaa tunnettuun verkkosivustoonne ja kertokaa nimenomaisesti, minkä kanavien kautta ette koskaan kysy salasanoja tai maksutietoja.