Jak komunikować się z konsumentami po wycieku danych?

Wstępna ocena sytuacji

Kiedy dochodzi do wycieku danych, najważniejsze jest szybkie i efektywne działanie. Subiektywne podejście do tematu, że to nic poważnego, nic się nie stało, jest nieodpowiedzialne i może prowadzić do poważnych konsekwencji zarówno dla firmy, jak i dla osób, których dane zostały ujawnione. W takich sytuacjach nie ma miejsca na bagatelizowanie problemu. Dlaczego?

Po pierwsze, szybkie działanie pozwala na natychmiastowe ograniczenie dalszych szkód. Szybka reakcja może zapobiec dalszym wyciekom danych i zabezpieczyć system przed kolejnymi atakami. Każda minuta zwłoki zwiększa ryzyko, że dane zostaną wykorzystane w sposób nieautoryzowany, co może prowadzić do kradzieży tożsamości, oszustw finansowych i innych form nadużyć.

Kary w branży e-commerce, o których głośno się nie mówiMonika Świetlińska

Po drugie, bagatelizowanie wycieku danych może prowadzić do utraty zaufania konsumentów budowanego latami. Konsumenci oczekują, że ich dane są bezpieczne i odpowiednio chronione. Kiedy firmy nie reagują odpowiednio na incydenty związane z bezpieczeństwem danych, mogą spotkać się z poważnymi konsekwencjami w postaci utraty klientów oraz reputacji. Już nie mówiąc o tym, że firmy mogą być narażone na wysokie kary finansowe nakładane przez organy nadzorujące przestrzeganie przepisów o ochronie danych osobowych.

Firma, która podejmuje odpowiednie kroki natychmiast po stwierdzeniu wycieku, może zminimalizować negatywne skutki incydentu. Oznacza to nie tylko techniczne zabezpieczenie systemów, ale również proaktywną komunikację z osobami, których dane zostały ujawnione, oraz współpracę z organami nadzorującymi. 

Przejrzystość działań i jasne informowanie klientów o podjętych krokach zwiększa szanse na utrzymanie zaufania. Konsumenci doceniają, kiedy firmy otwarcie przyznają się do błędów i podejmują konkretne działania mające na celu naprawienie sytuacji. Obejmuje to informowanie o tym, jakie dane zostały naruszone, jakie kroki podjęto w celu zabezpieczenia systemów oraz jakie działania powinni podjąć klienci, aby chronić swoje dane​.

Pierwszym krokiem jest więc dokładna ocena sytuacji, aby zminimalizować potencjalne szkody. Proces ten zaczyna się od identyfikacji rodzaju i zakresu danych, które zostały ujawnione. Mogą to być informacje osobiste, takie jak imię i nazwisko, adres e-mail, numer telefonu, czy dane finansowe, jak numery kart kredytowych. Każdy rodzaj danych niesie ze sobą inne ryzyko, dlatego ważne jest, aby precyzyjnie ustalić, co dokładnie zostało ujawnione.

Następnie należy określić potencjalne skutki wycieku danych. Analiza ryzyka powinna obejmować ocenę, w jakim stopniu wyciek może wpłynąć na prywatność i bezpieczeństwo osób, których dane wyciekły. Na przykład, jeśli ujawnione zostały dane finansowe, ryzyko może obejmować nieautoryzowane transakcje finansowe. Jeśli wyciekły dane logowania, może to prowadzić do przejęcia kont użytkowników.

Jeśli na tym etapie potrzebujesz wsparcia, eksperci Rzetelnej Grupy razem z Tobą mogą przeanalizować okoliczności wystąpienia incydentu, jeśli będzie potrzeba — przygotują zgłoszenie do UODO, pomogą Ci w bieżącej obsłudze, zachowując przy tym poufność. Potrzebujesz takiego wsparcia? Skontaktuj się z nami: [email protected] lub zadzwoń: 22 390 91 05.

Każda ocena ryzyka powinna być dokładnie udokumentowana. Dokumentacja ta będzie niezbędna nie tylko dla wewnętrznych potrzeb firmy, ale także w przypadku konieczności zgłoszenia incydentu odpowiednim organom nadzorczym, takim jak Urząd Ochrony Danych Osobowych (UODO). Zgodnie z przepisami RODO, zgłoszenie incydentu musi być dokonane w ciągu 72 godzin od jego wykrycia, a do zgłoszenia powinna być dołączona szczegółowa dokumentacja dotycząca charakteru naruszenia, jego potencjalnych konsekwencji oraz podjętych środków zaradczych.

Od września 2023 e-sprzedawcy pod lupą skarbówkiMonika Świetlińska

Po przeprowadzeniu analizy ryzyka, firma powinna podjąć natychmiastowe kroki w celu ograniczenia skutków wycieku. Może to obejmować blokadę dostępu do systemów, resetowanie haseł, a także informowanie osób, których dane zostały ujawnione, o zaistniałej sytuacji oraz o zalecanych działaniach mających na celu ochronę ich danych. Transparentna komunikacja z konsumentami jest fundamentem, aby zminimalizować panikę i pokazać, że firma działa odpowiedzialnie i proaktywnie.

Informowanie odpowiednich organów

Po wstępnej ocenie sytuacji należy niezwłocznie zgłosić incydent odpowiednim organom. W niektórych przypadkach konieczne jest nie tylko zgłoszenie do UODO, ale np. policji lub prokuraturze.

Dodajmy, że zgodnie z prawem takich incydentów sklepy internetowe nie zgłaszają do Urzędu Ochrony Konkurencji i Konsumentów, Wojewódzkiemu Inspektorowi Inspekcji Handlowej czy Państwowej Inspekcji Pracy.

W zgłoszeniu należy uwzględnić szczegółowe informacje dotyczące charakteru naruszenia, takie jak rodzaj ujawnionych danych, potencjalne konsekwencje dla osób, których dane zostały naruszone, oraz podjęte przez firmę środki zaradcze mające na celu ograniczenie skutków wycieku danych.

Zgłoszenie do UODO powinno być kompletne i rzetelne, aby umożliwić organom nadzorczym ocenę sytuacji i podjęcie odpowiednich działań. Brak terminowego zgłoszenia lub złożenie niekompletnego zgłoszenia może skutkować nałożeniem kar finansowych na firmę oraz dalszymi konsekwencjami prawnymi: do 10 mln euro, a także kara sięgająca do 2% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego oraz lub do 20 mln euro, a także kara sięgająca do 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego.

Za przykład platformy handlowej, która od wielu lat jest pod ostrzałem UODO jest Morele.net. Wydawało się, że firma ostatecznie nie zapłaci 3 mln zł kary, jednak w lutym 2024 roku Urząd Ochrony Danych Osobowych (z nowym prezesem na czele) poinformował, że przyjrzał się tej sprawie ponownie i tym razem zasądził karę 3,8 mln zł. Kara to jedno, a obraz sklepu wśród konsumentów to drugie, dla przykładu: “Za sam sposób w jaki Morele to rozegrało, za to mataczenie, kłamanie w komunikatach i tak są dla mnie skończeni. Nigdy niczego tam nie kupię.” (2023.03.28, Niebezpiecznik)

Dlatego też firmy powinny mieć opracowane procedury na wypadek wycieku danych, które umożliwią szybkie zebranie i przekazanie wymaganych informacji. 

Przejrzysta komunikacja z konsumentami

Równocześnie z informowaniem organów konieczne jest przekazanie informacji osobom, których dane zostały naruszone. Komunikacja ta powinna być jasna, zrozumiała i pozbawiona technicznego żargonu. Konsumenci muszą wiedzieć, jakie dane zostały ujawnione, jakie kroki firma podjęła w celu ochrony ich danych oraz jakie działania powinni podjąć, aby zminimalizować ryzyko dalszych szkód.

Jak nowy wyrok TSUE wpłynie na działalność e-sklepów?Monika Świetlińska

Przykładowe elementy komunikatu:

• Opis incydentu: „Informujemy, że doszło do nieautoryzowanego dostępu do danych osobowych naszych klientów. W wyniku tego zdarzenia ujawnione zostały następujące dane: imię i nazwisko, adres e-mail, numer telefonu.”

• Kroki podjęte przez firmę: „Natychmiast po wykryciu incydentu podjęliśmy działania mające na celu zabezpieczenie systemów i danych. Powiadomiliśmy również odpowiednie organy oraz zewnętrznych ekspertów ds. bezpieczeństwa.”

• Rekomendacje dla konsumentów: „Zalecamy zmianę haseł do kont, monitorowanie aktywności na rachunkach bankowych oraz ostrożność w przypadku podejrzanych wiadomości e-mail lub telefonów.”

Komunikacja po wycieku danych to także okazja do odbudowy zaufania. Transparentność działań i gotowość do współpracy z konsumentami są priorytetem. Oferowanie wsparcia, np. w postaci dedykowanej infolinii czy rabatów na przyszłe zakupy, może pomóc w poprawie relacji z klientami.

Długoterminowo, firmy powinny inwestować w lepsze zabezpieczenia danych oraz regularne szkolenia dla pracowników z zakresu bezpieczeństwa informacji. Ważne jest, aby incydent traktować jako lekcję i wdrożyć procedury zapobiegające przyszłym naruszeniom​.