Stručne: Kto musí alebo chce informovať zákazníkov po úniku údajov, najprv so zodpovedným pracovníkom pre ochranu údajov a právnikom rozhodne, či existuje povinnosť podľa čl. 34 GDPR, a vyjasní, či sú obchodní zákazníci sami prevádzkovateľmi. Potom nasledujú skupiny zákazníkov, bezpečné kanály, pripravený zákaznícky servis a záverečná správa. Oznámenia neobsahujú odkazy na prihlásenie, aby sa nestali predlohou pre phishing. Táto stránka je všeobecná informácia a nie právne poradenstvo.
E-mail, ktorého sa všetci boja
Server je vyčistený, zraniteľnosť uzavretá, forenzná analýza má prvé výsledky. Teraz leží na stole otázka, ktorej by sa mnohí konatelia radi vyhli: Musíme to povedať zákazníkom? A ak áno, ako, aby sme nenarobili viac škody než samotný incident?
Situácia okolo PHP2Shell túto otázku pre mnohé firmy nastolila nanovo, aj bez vniknutia. Weby boli preventívne offline, zákazníci sa vypytovali a podvodníci takéto situácie podľa skúseností zneužívajú na falošné správy. Ako je krízová komunikácia v princípe postavená, v akom poradí a s akým obsahom, opisuje článok Krízová komunikácia po útoku. Tento príspevok ide o krok hlbšie: rozhodnutie, skupiny zákazníkov a praktická realizácia.
Informovanie zákazníkov po úniku údajov: povinnosť, alebo rozhodnutie?
Čl. 34 GDPR vyžaduje bez zbytočného odkladu oznámiť dotknutým osobám porušenie ochrany osobných údajov, ak pravdepodobne povedie k vysokému riziku pre ich práva a slobody. Oznámenie opisuje povahu porušenia jasným a jednoduchým jazykom a obsahuje minimálne kontaktnú osobu, pravdepodobné následky a prijaté alebo plánované opatrenia.
Čl. 34 ods. 3 uvádza výnimky: ak sú údaje napríklad vďaka šifrovaniu pre neoprávnené osoby neprístupné, ak následné opatrenia vysoké riziko pravdepodobne odstránia, alebo ak by oznámenie vyžadovalo neprimerané úsilie; vtedy nastúpi verejné oznámenie. Či niektorá z týchto výnimiek platí, je právne posúdenie v konkrétnom prípade. Patrí zodpovednému pracovníkovi pre ochranu údajov a právnikovi, rovnako ako oznámenie dozornému orgánu, pozri Oznamovacia povinnosť podľa GDPR: 72 hodín po incidente.
Aj bez povinnosti môže byť informácia zmysluplná. Zákazníci, ktorí sa o incidente dozvedia z iného zdroja, strácajú dôveru rýchlejšie než tí, ktorí to počujú od vás.
Zostáva otázka načasovania. Kto informuje príliš skoro, možno bude musieť vyhlásenia opravovať. Kto čaká príliš dlho, riskuje, že zákazníci medzitým utrpia škodu, napríklad phishingom s uniknutými adresami. Osvedčená stredná cesta: oznámiť skoro, čo je isté a čo môžu zákazníci urobiť sami, a výslovne ohlásiť, že ďalšie informácie budú nasledovať. „Bez zbytočného odkladu“ v zmysle čl. 34 neznamená čakať na koniec vyšetrovania.
Ktorých zákazníkov ako osloviť
Nie všetci zákazníci potrebujú rovnakú správu. Rozlišujte aspoň tri skupiny:
| Skupina zákazníkov | Vaša rola | Čo to znamená pre informáciu |
|---|---|---|
| Súkromní zákazníci s účtom alebo objednávkou | väčšinou prevádzkovateľ | posúdiť oznámenie podľa čl. 34, zrozumiteľný jazyk, konkrétne odporúčania |
| Obchodní zákazníci, ktorých údaje používate na vlastné účely | väčšinou prevádzkovateľ | vecná informácia určeným kontaktným osobám, zaradenie pre ich vlastné povinnosti |
| Obchodní zákazníci, pre ktorých spracúvate údaje v ich mene | sprostredkovateľ | informácia bez zbytočného odkladu podľa čl. 33 ods. 2, podpora pri ich oznámeniach |
Tretia skupina sa často prehliada. Ak napríklad prevádzkujete obchody alebo portály pre zákazníkov, tí sú spravidla sami prevádzkovateľmi a musia si plniť vlastné oznamovacie povinnosti. Na to potrebujú vaše informácie rýchlo a úplne.
Voľba kanálov bez podpory phishingu
Najbezpečnejší je kanál, ktorý zákazníci už poznajú. Osvedčili sa:
- E-mail z obvyklej adresy odosielateľa, bez odkazov na prihlásenie a bez príloh, s upozornením, aby si web otvorili sami.
- Upozornenie po prihlásení v zákazníckom účte, hneď ako systém opäť beží bezpečne.
- Upozornenie na webe, ako verejný doplnok alebo, kde to čl. 34 ods. 3 predpokladá, ako verejné oznámenie.
- List pre zákazníkov bez aktuálnej e-mailovej adresy alebo pri mimoriadne citlivých údajoch.
- Telefón a zákaznícky servis ako kontaktné miesto pre doplňujúce otázky, s číslom, ktoré zákazníci už poznajú z vášho webu alebo faktúry.
V každom oznámení výslovne uveďte, že sa nikdy nepýtate cez e-mail ani telefón na heslá, kódy alebo platobné údaje. Podvodníci po známych incidentoch radi rozosielajú správy, ktoré vyzerajú ako vaše.
Od rozhodnutia po záverečnú správu
Takto môže postup vyzerať v praxi:
- Zaznamenať fakty: čo je doložené, čo pravdepodobné, čo neznáme. Von ide iba doložené.
- Vyžiadať právne posúdenie: povinnosť podľa čl. 34, rola voči obchodným zákazníkom, zosúladenie s oznámením úradu.
- Určiť skupiny zákazníkov a kanály, distribučný zoznam vytiahnuť z vlastného systému, nie z prípadne zmanipulovanej kópie.
- Pripraviť zákaznícky servis: interné otázky a odpovede, jasné jazykové pravidlá, presmerovanie ťažkých prípadov na určené miesto.
- Sformulovať odporúčania pre zákazníkov: napríklad zmeniť heslo, ak by mohli byť dotknuté prístupové údaje, a dávať pozor na podozrivé správy.
- Odoslať a zdokumentovať: kto bol kedy informovaný ktorým kanálom.
- Doplniť: oznámiť nové zistenia a poslať záverečnú správu, keď sa vyšetrovanie skončí.
Kto má kontaktné cesty interne určené vopred, ušetrí pritom veľa času, pozri Núdzové kontakty: koho treba kedy informovať?. Technické kroky, ktoré by mali informácii predchádzať, zhŕňa kontrolný zoznam po hacknutí.
Ako konkrétne pomáha PHP SOS?
- Technické fakty o incidente dodávame spracované tak, aby zodpovedný pracovník pre ochranu údajov a právnik mohli posúdiť povinnosti.
- Vaše oznámenia zákazníkom kontrolujeme z hľadiska technickej správnosti a toho, aby útočníkom nedávali žiadne nápovedy.
- Zabezpečíme, aby distribučné zoznamy a zákaznícke účty pochádzali z vyčisteného systému, skôr než odošlete.
- Prostredníctvom Incident Response dodávame zistenia pre následné a záverečné správy v dohodnutom rytme.
Záver: Dobré informovanie zákazníkov je právne preskúmané, rozdelené podľa skupín, odoslané bezpečnými kanálmi a dotiahnuté do konca. Táto stránka je všeobecná informácia a nie právne poradenstvo; rozhodnutie v konkrétnom prípade urobíte so zodpovedným pracovníkom pre ochranu údajov a právnikom.
Časté otázky
Kedy musím po úniku údajov informovať zákazníkov?
Podľa čl. 34 GDPR vtedy, ak porušenie pravdepodobne povedie k vysokému riziku pre práva a slobody dotknutých osôb. Existujú výnimky, napríklad pri účinnom šifrovaní údajov. Posúdenie urobte so zodpovedným pracovníkom pre ochranu údajov a právnikom; táto stránka nie je právne poradenstvo.
Čo platí, ak spracúvam údaje v mene svojich obchodných zákazníkov?
Vtedy sú vaši zákazníci väčšinou sami prevádzkovateľmi. Podľa čl. 33 ods. 2 GDPR sprostredkovateľ informuje prevádzkovateľa bez zbytočného odkladu po tom, čo sa o porušení ochrany údajov dozvedel. Oznámenie úradu a dotknutým osobám zostáva vecou vášho zákazníka.
Smiem informovať zákazníkov, aj keď neexistuje povinnosť?
Áno. Dobrovoľná informácia môže dávať zmysel, napríklad ak bol web pre PHP2Shell preventívne offline alebo sa zákazníci pýtajú. Dôležité je uvádzať iba overené fakty a nedávať predčasné uistenie, že je všetko v poriadku.
Ako zabránim, aby podvodníci napodobnili moje oznámenie?
V oznámení nepoužívajte odkazy na prihlásenie ani prílohy, odkážte na svoj známy web a výslovne uveďte, akými cestami sa nikdy nepýtate na heslá ani platobné údaje.