# Kif tinformaw lill-klijenti wara inċident

> Informa lill-klijenti wara ksur tad-data: meta japplika l-Art. 34 GDPR, kif tilħqu l-gruppi tal-klijenti u għaliex ma jiddaħħlux links għal-login.

Sors: https://phpsos.de/mt/blog/kunden-nach-vorfall-informieren/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Min irid jew jixtieq jinforma lill-klijenti wara ksur tad-data l-ewwel jiddeċiedi mal-uffiċjal tal-protezzjoni tad-data u mal-avukat jekk teżistix obbligu skont l-Art. 34 GDPR, u jikkjarifika jekk il-klijenti kummerċjali humiex huma stess ir-responsabbli. Imbagħad isegwu l-gruppi tal-klijenti, kanali sikuri, servizz tal-klijenti ppreparat u messaġġ finali. It-tagħrif ma jinkludix links għal-login, biex ma jsirx mudell għall-phishing. Din il-paġna hija informazzjoni ġenerali u mhijiex konsulenza legali.

## L-email li kulħadd jibża' minnha

Is-server huwa nadif, il-vulnerabbiltà magħluqa, il-forensika għandha l-ewwel riżultati. Issa fuq il-mejda hemm mistoqsija li ħafna diretturi jippreferu jevitaw: Irridu ngħidu lill-klijenti tagħna? U jekk iva, kif, mingħajr ma nagħmlu aktar ħsara mill-inċident innifsu?

Is-sitwazzjoni madwar PHP2Shell reġgħet qajmet din il-mistoqsija għal ħafna kumpaniji, anke mingħajr dħul mhux awtorizzat. Il-websajts kienu offline b'mod prekawzjonarju, il-klijenti staqsew, u l-frodisti skont l-esperjenza jabbużaw minn sitwazzjonijiet bħal dawn għal messaġġi foloz. Kif il-komunikazzjoni ta' kriżi hija mibnija bażikament, f'liema sekwenza u b'liema kontenut, jiddeskrivih [Komunikazzjoni ta' kriżi wara attakk](https://phpsos.de/mt/compliance/krisenkommunikation/). Dan l-artikolu jmur pass aktar fil-fond: id-deċiżjoni, il-gruppi tal-klijenti u l-implimentazzjoni prattika.

## Tinformaw lill-klijenti wara ksur tad-data: obbligu jew deċiżjoni?

L-Art. 34 GDPR jeħtieġ li dawk affettwati jiġu notifikati mingħajr dewmien żejjed meta ksur tal-protezzjoni tad-data personali x'aktarx iwassal għal riskju għoli għad-drittijiet u l-libertajiet tagħhom. In-notifika tiddeskrivi n-natura tal-ksur b'lingwa ċara u sempliċi u tinkludi mill-inqas persuna ta' kuntatt, il-konsegwenzi probabbli u l-miżuri meħuda jew ippjanati.

L-Art. 34(3) isemmi eċċezzjonijiet: meta d-data hija inaċċessibbli għal persuni mhux awtorizzati, pereżempju minħabba kriptaġġ, meta miżuri sussegwenti x'aktarx ineħħu r-riskju għoli, jew meta n-notifika tfisser sforz sproporzjonat; allura tiġi komunikazzjoni pubblika minflok. Jekk waħda minn dawn l-eċċezzjonijiet tapplikax hija valutazzjoni legali f'każ individwali. Tappartjeni lill-uffiċjal tal-protezzjoni tad-data u lill-avukat, bħan-notifika lill-awtorità superviżorja, ara [Obbligu ta' notifika tal-GDPR: 72 siegħa wara l-inċident](https://phpsos.de/mt/compliance/dsgvo-meldepflicht-72-stunden/).

Anke mingħajr obbligu, informazzjoni tista' tkun għaqlija. Klijenti li jisimgħu bl-inċident minn sors ieħor jitilfu l-fiduċja aktar malajr minn dawk li jisimgħuh minnkom.

Tibqa' l-mistoqsija dwar iż-żmien. Min jinforma kmieni wisq jista' jkollu jikkoreġi dikjarazzjonijiet. Min jistenna wisq jirriskja li l-klijenti fil-frattemp isofru dannu, pereżempju b'phishing b'indirizzi li ħarġu. Triq medja li wriet li taħdem: tgħidu kmieni dak li huwa ċert u dak li l-klijenti nfushom jistgħu jagħmlu, u tħabbru espliċitament li se jiġu aktar informazzjoni. "Mingħajr dewmien żejjed" fis-sens tal-Art. 34 ma jfissirx li tistennew it-tmiem tal-investigazzjoni.

## Liema klijenti tilħqu u kif

Mhux il-klijenti kollha jeħtieġu l-istess messaġġ. Iddistingwu mill-inqas tliet gruppi:

| Grupp ta' klijenti | Ir-rwol tagħkom | X'ifisser dan għall-informazzjoni |
|---|---|---|
| Klijenti privati b'kont jew ordni | ġeneralment responsabbli | iċċekkjaw in-notifika skont l-Art. 34, lingwa li tinftiehem, rakkomandazzjonijiet konkreti |
| Klijenti kummerċjali li d-data tagħhom tużaw għall-finijiet tagħkom | ġeneralment responsabbli | informazzjoni fattwali lil persuni ta' kuntatt imsemmija, klassifikazzjoni għall-obbligi tagħhom stess |
| Klijenti kummerċjali li għalihom tipproċessaw data f'isimhom | proċessur | informazzjoni mingħajr dewmien żejjed skont l-Art. 33(2), appoġġ fin-notifiki tagħhom |

It-tielet grupp spiss jintesa. Jekk tħaddmu pereżempju ħwienet jew portals għal klijenti, dawn ġeneralment huma stess ir-responsabbli u jridu jissodisfaw l-obbligi ta' notifika tagħhom. Għal dan jeħtieġu l-informazzjoni tagħkom malajr u kompluta.

## Agħżlu kanali mingħajr ma tinkoraġġixxu l-phishing

L-iktar kanal sikur huwa dak li l-klijenti diġà jafu. Wrew li jaħdmu:

- **Email mill-indirizz tas-soltu tal-mittent**, mingħajr links għal-login u mingħajr annessi, bil-hint li l-klijenti jiftħu l-websajt huma stess.
- **Avviż wara l-login** fil-kont tal-klijent, hekk kif is-sistema terġa' taħdem b'mod sigur.
- **Avviż fuq il-websajt**, bħala suppliment pubbliku jew, fejn l-Art. 34(3) jipprevedi dan, bħala komunikazzjoni pubblika.
- **Ittra** għal klijenti mingħajr indirizz email aġġornat jew b'data partikolarment sensittiva.
- **Telefon u servizz tal-klijenti** bħala punt ta' kuntatt għal mistoqsijiet, b'numru li l-klijenti diġà jafu mill-websajt jew mill-fattura tagħkom.

> **Importanti:**
> Semmu f'kull tagħrif espliċitament li qatt ma tistaqsu bl-email jew bit-telefon għal passwords, kodiċijiet jew dettalji ta' ħlas. Wara inċidenti magħrufa l-frodisti jħobbu jibagħtu messaġġi li jidhru bħal tagħkom.

## Mid-deċiżjoni sal-messaġġ finali

Hekk jista' jidher il-proċess fil-prattika:

1. **Żommu l-fatti:** dak li huwa ppruvat, dak li huwa probabbli, dak li mhux magħruf. Biss dak ippruvat joħroġ barra.
2. **Ġibu valutazzjoni legali:** obbligu skont l-Art. 34, ir-rwol fil-konfront tal-klijenti kummerċjali, koordinazzjoni man-notifika lill-awtorità.
3. **Iddeterminaw il-gruppi tal-klijenti u l-kanali**, ġibu l-lista tad-distribuzzjoni mis-sistema proprja, mhux minn kopja li jista' jkun ġiet manipulata.
4. **Ippreparaw is-servizz tal-klijenti:** mistoqsijiet u tweġibiet interni, regola ċara tal-lingwa, tressiq ta' każijiet diffiċli lil entità msemmija.
5. **Fassal rakkomandazzjonijiet għall-klijenti:** pereżempju biddlu l-password jekk il-kredenzjali jistgħu jkunu affettwati u oqogħdu attenti għal messaġġi suspettużi.
6. **Ibagħtu u iddokumentaw:** min ġie infurmat meta u permezz ta' liema kanal.
7. **Segwu:** ikkomunikaw skoperti ġodda u ibagħtu messaġġ finali meta l-investigazzjoni tkun intemmet.

Min iffissa l-mogħdijiet tal-kuntatt internament minn qabel jiffranka ħafna ħin hawnhekk, ara [Kuntatti ta' emerġenza: min għandu jiġi infurmat meta?](https://phpsos.de/mt/blog/notfallkontakte-liste/). Passi tekniċi li għandhom jippreċedu l-informazzjoni jiġbor fil-qosor il-[Lista ta' kontroll wara hack](https://phpsos.de/mt/ratgeber/checkliste-nach-dem-hack/).

## Kif tgħin PHP SOS b'mod konkret?

- Nagħtu l-fatti tekniċi dwar l-inċident b'mod preparat li l-uffiċjal tal-protezzjoni tad-data u l-avukat jistgħu jevalwaw l-obbligi.
- Niċċekkjaw it-tagħrif tagħkom lill-klijenti għall-korrettezza teknika u biex ma jagħtix indikazzjonijiet lill-attakkanti.
- Niżguraw li l-listi tad-distribuzzjoni u l-kontijiet tal-klijenti jiġu minn sistema indiffa qabel tibagħtu.
- Permezz ta' [Incident Response](https://phpsos.de/mt/leistungen/incident-response/) nagħtu l-għarfien għal messaġġi ta' segwitu u finali bir-ritmu miftiehem.

**Konklużjoni:** Informazzjoni tajba lill-klijenti hija evalwata legalment, maqsuma skont il-gruppi, mibgħuta permezz ta' kanali sikuri u titwassal sal-aħħar. Din il-paġna hija informazzjoni ġenerali u mhijiex konsulenza legali; id-deċiżjoni f'każ individwali tieħduha mal-uffiċjal tal-protezzjoni tad-data u mal-avukat.


## Mistoqsijiet frekwenti

**Meta jkolli nħabbar lill-klijenti wara ksur tad-data?**  
Skont l-Art. 34 GDPR, meta l-ksur x'aktarx iwassal għal riskju għoli għad-drittijiet u l-libertajiet tal-persuni kkonċernati. Hemm eċċezzjonijiet, pereżempju b'kriptaġġ effettiv tad-data. Il-valutazzjoni tagħmluha mal-uffiċjal tal-protezzjoni tad-data u mal-avukat; din il-paġna mhijiex konsulenza legali.

**X'japplika jekk nipproċessa data f'isem il-klijenti kummerċjali tiegħi?**  
Allura l-klijenti tagħkom ġeneralment huma stess ir-responsabbli. Skont l-Art. 33(2) GDPR il-proċessur jinforma lir-responsabbli mingħajr dewmien żejjed hekk kif ikun sar jaf bil-ksur tad-data. In-notifika lill-awtorità u lil dawk affettwati tibqa' ħaġa tal-klijent tagħkom.

**Nista' ninforma lill-klijenti anke jekk ma hemm l-ebda obbligu?**  
Iva. Informazzjoni volontarja tista' tkun għaqlija, pereżempju meta l-websajt kienet offline b'mod prekawzjonarju minħabba PHP2Shell jew meta l-klijenti jistaqsu. Importanti li jissemmew biss fatti żguri u li ma tingħatx tranquillizzazzjoni bil-għaġla.

**Kif nipprevjeni li l-frodisti jimitaw it-tagħrif tiegħi?**  
Evitaw links għal-login u annessi fit-tagħrif, irreferu għall-websajt magħrufa tagħkom u semmu espliċitament permezz ta' liema mogħdijiet qatt ma tistaqsu għal passwords jew dettalji ta' ħlas.

## Sorsi

- [GDPR Art. 34](https://dsgvo-gesetz.de/art-34-dsgvo/)
- [GDPR Art. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [BSI](https://www.bsi.bund.de/)