Na kratko: Kdor mora ali želi stranke po kršitvi podatkov obvestiti, najprej s pooblaščencem za varstvo podatkov in odvetnikom odloči, ali obstaja obveznost po čl. 34 GDPR, in razjasni, ali so poslovne stranke same upravljavci. Nato sledijo skupine strank, varni kanali, pripravljena služba za stranke in sklepno sporočilo. Sporočila ne vsebujejo povezav za prijavo, da ne postanejo predloga za lov na podatke (phishing). Ta stran je splošna informacija in ni pravno svetovanje.
Pošta, ki se je vsi bojijo
Strežnik je očiščen, vrzel zaprta, forenzika ima prve rezultate. Zdaj je na mizi vprašanje, ki se mu mnogi direktorji raje izognejo: ali moramo to povedati strankam? In če da, kako, ne da bi povzročili več škode kot sam incident?
Razmere okoli PHP2Shell so to vprašanje za mnoga podjetja zastavile na novo, tudi brez vdora. Spletne strani so bile preventivno brez povezave, stranke so spraševale, goljufi pa po izkušnjah takšne razmere izkoriščajo za ponarejena sporočila. Kako je krizno komuniciranje načeloma zgrajeno, v kakšnem vrstnem redu in s kakšno vsebino, opisuje Krizno komuniciranje po napadu. Ta prispevek gre korak globlje: odločitev, skupine strank in praktična izvedba.
Obveščanje strank po kršitvi podatkov: obveznost ali odločitev?
Člen 34 GDPR zahteva, da se prizadeti brez nepotrebnega odlašanja obvestijo, če kršitev varstva osebnih podatkov verjetno povzroči veliko tveganje za njihove pravice in svoboščine. Obvestilo opiše naravo kršitve v jasnem in preprostem jeziku ter vsebuje vsaj kontaktno osebo, verjetne posledice in sprejete ali načrtovane ukrepe.
Člen 34(3) navaja izjeme: če so podatki na primer zaradi šifriranja nedostopni nepooblaščenim osebam, če nadaljnji ukrepi veliko tveganje verjetno odpravijo ali če bi obvestilo pomenilo nesorazmeren napor; tedaj nastopi javno obvestilo. Ali ena od teh izjem velja, je pravna ocena posameznega primera. Sodi k pooblaščencu za varstvo podatkov in odvetniku, prav tako kot prijava nadzornemu organu, glejte Obveznost prijave po GDPR: 72 ur po incidentu.
Tudi brez obveznosti je lahko obvestilo smiselno. Stranke, ki za incident izvedo iz drugega vira, hitreje izgubijo zaupanje kot tiste, ki to slišijo od vas.
Ostane vprašanje časa. Kdor obvesti prezgodaj, mora izjave morda popravljati. Kdor čaka predolgo, tvega, da stranke medtem utrpijo škodo, na primer zaradi lova na podatke z iztekli naslovi. Preizkušena sredinska pot: zgodaj sporočiti, kaj je zanesljivo in kaj lahko stranke storijo same, ter izrecno napovedati, da bodo sledile nadaljnje informacije. »Brez nepotrebnega odlašanja« v smislu čl. 34 ne pomeni čakanja na konec preiskave.
Katere stranke dosežete in kako
Vse stranke ne potrebujejo istega sporočila. Razlikujte vsaj tri skupine:
| Skupina strank | Vaša vloga | Kaj to pomeni za obvestilo |
|---|---|---|
| Zasebne stranke z računom ali naročilom | običajno upravljavec | preveriti obvestilo po čl. 34, razumljiv jezik, konkretna priporočila |
| Poslovne stranke, katerih podatke uporabljate za lastne namene | običajno upravljavec | stvarno obvestilo imenovanim kontaktnim osebam, umestitev za njihove lastne obveznosti |
| Poslovne stranke, za katere podatke obdelujete po naročilu | obdelovalec | obvestilo brez nepotrebnega odlašanja po čl. 33(2), podpora pri njihovih prijavah |
Tretja skupina se pogosto spregleda. Če na primer upravljate trgovine ali portale za stranke, so te praviloma same upravljavci in morajo izpolniti lastne obveznosti prijave. Za to potrebujejo vaše informacije hitro in popolne.
Izbira kanalov brez spodbujanja lova na podatke
Najvarnejši kanal je tisti, ki ga stranke že poznajo. Obnesli so se:
- E-pošta z običajnega naslova pošiljatelja, brez povezav za prijavo in brez prilog, z napotkom, naj stranka spletno stran odpre sama.
- Opozorilo po prijavi v račun stranke, takoj ko sistem spet varno deluje.
- Opozorilo na spletni strani, kot javna dopolnitev ali, kjer to predvideva čl. 34(3), kot javno obvestilo.
- Pismo za stranke brez ažurnega e-poštnega naslova ali pri posebno občutljivih podatkih.
- Telefon in služba za stranke kot prva točka za vprašanja, s številko, ki jo stranke že poznajo z vaše spletne strani ali računa.
V vsakem sporočilu izrecno navedite, da nikoli ne sprašujete po geslih, kodah ali plačilnih podatkih po e-pošti ali telefonu. Goljufi po znanih incidentih radi pošiljajo sporočila, ki izgledajo kot vaša.
Od odločitve do sklepnega sporočila
Tako lahko postopek poteka v praksi:
- Zabeležite dejstva: kaj je dokazano, kaj verjetno, kaj neznano. Navzven gre samo dokazano.
- Pridobite pravno oceno: obveznost po čl. 34, vloga do poslovnih strank, uskladitev s prijavo organu.
- Določite skupine strank in kanale, distribucijski seznam povlecite iz lastnega sistema, ne iz morda manipulirane kopije.
- Pripravite službo za stranke: interna vprašanja in odgovori, jasna jezikovna ureditev, posredovanje težkih primerov imenovani službi.
- Oblikujte priporočila za stranke: na primer zamenjava gesla, če bi bili lahko prizadeti dostopni podatki, in pozornost do sumljivih sporočil.
- Pošljite in dokumentirajte: kdo je bil kdaj obveščen po katerem kanalu.
- Nadaljujte: sporočite nova spoznanja in pošljite sklepno sporočilo, ko je preiskava končana.
Kdor je interno vnaprej določil poti stikov, pri tem prihrani veliko časa, glejte Kontakti za nujne primere: kdo mora biti obveščen in kdaj?. Tehnične korake, ki bi morali obvestilu predhajati, povzema Kontrolni seznam po vdoru.
Kako PHP SOS pomaga konkretno?
- Tehnična dejstva o incidentu pripravimo tako, da lahko pooblaščenec za varstvo podatkov in odvetnik presodita obveznosti.
- Vaša sporočila strankam preverimo glede tehnične pravilnosti in da napadalcem ne dajejo namigov.
- Zagotovimo, da distribucijski seznami in računi strank izhajajo iz očiščenega sistema, preden pošljete.
- Prek odziva na incidente dostavljamo spoznanja za nadaljnja in sklepna sporočila v dogovorjenem ritmu.
Sklep: Dobro obvestilo strankam je pravno preverjeno, ločeno po skupinah, poslano po varnih kanalih in pripeljano do konca. Ta stran je splošna informacija in ni pravno svetovanje; odločitev v posameznem primeru sprejmete s pooblaščencem za varstvo podatkov in odvetnikom.
Pogosta vprašanja
Kdaj moram stranke po kršitvi podatkov obvestiti?
Po čl. 34 GDPR, če kršitev verjetno povzroči veliko tveganje za pravice in svoboščine prizadetih. Obstajajo izjeme, na primer pri učinkoviti šifriranosti podatkov. Oceno opravite s pooblaščencem za varstvo podatkov in odvetnikom; ta stran ni pravno svetovanje.
Kaj velja, če podatke obdelujem po naročilu svojih poslovnih strank?
Tedaj so vaše stranke običajno same upravljavci. Po čl. 33(2) GDPR obdelovalec upravljavca obvesti brez nepotrebnega odlašanja, ko izve za kršitev. Prijava organu in prizadetim ostane stvar vaše stranke.
Ali smem stranke obvestiti, čeprav obveznosti ni?
Da. Prostovoljno obvestilo je lahko smiselno, na primer če je bila spletna stran zaradi PHP2Shell preventivno brez povezave ali če stranke sprašujejo. Pomembno je, da navedete samo zanesljiva dejstva in ne dajete prenagljenega odpusta.
Kako preprečim, da bi goljufi posnemali moje sporočilo?
V sporočilu opustite povezave za prijavo in priloge, napotite na svojo znano spletno stran in izrecno navedite, po katerih poteh nikoli ne sprašujete po geslih ali plačilnih podatkih.