Wzór komunikatu o wycieku danych
Jest 21:40. Czwartek. Wiesz już, że dane wyciekły. Prawnik nie odbiera, agencja PR odezwie się rano, a na Twojej skrzynce leżą trzy pytania od klientów i jedno od eksperta z serwisu X. Za chwilę ktoś z zespołu napisze o tym na LinkedInie, bo nikt mu nie powiedział, że nie powinien.
Zobacz trzy gotowe wzory komunikatu po wycieku danych – dla klientów, mediów i pracowników – do wypełnienia. Plus listę zwrotów, które w polskich kryzysach kosztowały najwięcej.
W skrócie: co trzeba uwzględniać w komunikacji incydentu/cyberataku?
Komunikat po wycieku danych musi zawierać pięć elementów: co się stało, jakich danych dotyczy, co to oznacza dla odbiorcy, co robisz Ty i co ma zrobić on, oraz kiedy odezwiesz się ponownie.
Aspekt RODO
Jeśli adresatem są osoby, których dane wyciekły, dochodzą do tego obowiązkowe elementy z art. 34 ust. 2 RODO. Wyślij niepełny komunikat na czas zamiast pełnego po tygodniu.
Aspekt – zgłoszenie formalne (CSIRT, CBZC, Policja, ubezpieczyciel)
Anatomia dobrego komunikatu: 5 elementów
Każdy komunikat kryzysowy, niezależnie od odbiorcy, składa się z tych samych pięciu bloków. Zmienia się długość i język, nie struktura.
- Co się stało. Jedno zdanie, konkretnie. Jeśli napiszesz „incydent bezpieczeństwa o charakterze technicznym”, media i tak przetłumaczą to na „wyciek danych” – tyle że wtedy to oni nazwą sprawę, nie Ty. Nazwij ją pierwszy.
- Jakich danych to dotyczy. Wyliczenie kategorii, nie ogólnik. „Imię, nazwisko, adres e-mail, numer telefonu” to informacja. „Część danych osobowych” to manewr, który czytelnik odbiera jako ukrywanie czegoś gorszego. Jeśli zakresu jeszcze nie znasz, napisz wprost, że trwa ustalanie i podaj datę, kiedy podasz szczegóły.
- Co to oznacza dla odbiorcy. To jest element, który 90 procent polskich komunikatów pomija, a który decyduje o odbiorze. Nie „doszło do naruszenia poufności”, tylko „na Twój adres mogą trafić wiadomości podszywające się pod nasz bank”. Używaj prostego języka.
- Co robimy my i co ma zrobić odbiorca. Maksymalnie trzy konkretne kroki po każdej stronie. Czasowniki, nie rzeczowniki odczasownikowe. „Zablokowaliśmy dostęp”, nie „nastąpiła blokada dostępu”.
- Kto i kiedy odezwie się ponownie. Zdanie, o którym prawie wszyscy zapominają, a które kupuje najwięcej czasu. Podaj kanał i termin: „Kolejną informację opublikujemy do czwartku 12.09 na stronie [adres]”. Dopóki masz otwarty termin, publiczność czeka. Gdy go nie ma, zaczyna szukać informacji u innych.
Zasada 5P jako szkielet oświadczenia
Struktura mówi, co napisać. Zasada 5P mówi, jak to najlepiej zbudować. To standard postępowania kryzysowego wprowadzony na polskim rynku przez eksperta PR, Adama Łaszyna. W wycieku danych sprawdza się wyjątkowo dobrze, bo rozwiązuje najtrudniejszy problem tej kategorii kryzysów: jesteś jednocześnie ofiarą przestępstwa i podmiotem odpowiedzialnym.
| P | Co to znaczy w komunikacie o wycieku |
| Przykrość wyraź | Żal wyrażasz od razu, zanim ustalisz winę. To nie jest przyznanie się do odpowiedzialności, tylko stanięcie po stronie poszkodowanych. Jedno zdanie, w pierwszym akapicie. |
| Przyznaj (się) / Przeproś | Potwierdź fakty, które są niekorzystne, i zrób to szybko. Zaprzeczanie wbrew faktom niszczy wiarygodność w sposób, którego często nie da się już odbudować. Jeśli wina jest po Twojej stronie – przeproś wprost. |
| Przeciwdziałaj | Opisz, co robisz teraz, żeby ograniczyć skutki. Sama komunikacja nie zastąpi działania – i publiczność to weryfikuje. |
| Popraw | Powiedz, co zmieniasz, żeby to się nie powtórzyło. Media wrócą sprawdzić. |
| Powetuj | Zrekompensuj. W wycieku danych to nie musi być rabat – najlepiej działa realna ochrona: opłacony monitoring, wsparcie przy zastrzeżeniu numeru PESEL, dedykowana infolinia. |
Najczęstszy błąd w polskich komunikatach: pominięcie pierwszego P. Firmy tłumaczą to logiką prawną – „nie ma naszej winy, więc nie ma za co przepraszać”. To prawda. Ale empatię można okazać zawsze, a jej brak czytelnik odbiera jako obojętność.
Wzory komunikatów
Wersja 1: komunikat dla klientów (zawiadomienie z art. 34 RODO)
Wyślij e-mail do osób, których dane dotyczą, plus ta sama treść jako strona na Twojej witrynie internetowej.
Wzór komunikatu do klientów
Temat: Ważna informacja o bezpieczeństwie Twoich danych w [NAZWA FIRMY]
Szanowna Pani, Szanowny Panie,
piszemy, bo doszło do zdarzenia, które dotyczy Twoich danych – i jest nam z tego powodu bardzo przykro.
Co się stało W dniu [DATA] ustaliliśmy, że osoba nieuprawniona uzyskała dostęp do [NAZWA SYSTEMU / BAZY]. Nieuprawniony dostęp trwał od [DATA] do [DATA]. Zdarzenie wykryliśmy [DATA] i tego samego dnia [ODCIĘLIŚMY DOSTĘP / ZABEZPIECZYLIŚMY SYSTEM].
Jakich danych to dotyczy Naruszenie objęło następujące dane: [WYMIEŃ KONKRETNIE, np. imię i nazwisko, adres e-mail, numer telefonu, adres korespondencyjny]. Nie objęło: [WYMIEŃ, np. haseł, danych kart płatniczych, numerów PESEL] – [KRÓTKO DLACZEGO, np. te dane są przechowywane w odrębnym, zaszyfrowanym systemie].
Co to może oznaczać dla Ciebie Osoby dysponujące tymi danymi mogą próbować: [WYMIEŃ REALNE RYZYKA, np. wysyłać wiadomości podszywające się pod naszą firmę, dzwonić i podawać się za naszego pracownika, zakładać konta w serwisach z użyciem Twojego adresu e-mail].
Co zrobiliśmy
- [np. Odcięliśmy nieuprawniony dostęp i wymusiliśmy zmianę wszystkich haseł administracyjnych.]
- [np. Zgłosiliśmy naruszenie do Prezesa Urzędu Ochrony Danych Osobowych oraz zawiadomiliśmy organy ścigania.]
- [np. Zleciliśmy niezależnej firmie analizę powłamaniową.]
Co prosimy, żebyś zrobił(a)
- [np. Zachowaj szczególną ostrożność wobec wiadomości i telefonów powołujących się na naszą firmę. Nigdy nie prosimy o podanie hasła ani pełnego numeru karty.]
- [np. Zmień hasło, jeśli używasz tego samego w innych serwisach.]
- [np. Rozważ zastrzeżenie numeru PESEL w aplikacji mObywatel lub w placówce banku.]
Jak się z nami skontaktować Uruchomiliśmy dedykowaną infolinię: [NUMER], czynną [GODZINY]. Inspektor Ochrony Danych: [IMIĘ I NAZWISKO], [ADRES E-MAIL]. Aktualne informacje publikujemy pod adresem: [LINK STRONY INCYDENTU].
Co dalej [np. Do dnia DATA zakończymy analizę i opublikujemy jej wynik pod powyższym adresem.] Niezależnie od ustaleń [OPISZ, CO ZMIENIASZ, np. do końca roku wprowadzamy dwuskładnikowe uwierzytelnianie we wszystkich systemach obsługujących dane klientów].
Przepraszamy. Rozumiemy, że zaufanie odbudowuje się działaniem, nie deklaracją.
[IMIĘ I NAZWISKO], [STANOWISKO] [NAZWA FIRMY]
– koniec wzoru –
Wzór komunikatu dla dziennikarza
Wersja 2: oświadczenie dla mediów
Napisz e-mail do redakcji, strona „Dla mediów”, social media. Zdobądź numer telefonu redaktora.
Ton: rzeczowy, trzecioosobowy, maksymalnie zwięzły. Dziennikarz i tak wytnie dwa zdania – zadbaj, żeby te dwa zdania były Twoje.
Zasada nadrzędna: oświadczenie dla mediów nigdy nie może zawierać faktu, którego nie ma w komunikacie do klientów. Rozjazd między tymi dwoma dokumentami jest najczęstszym źródłem drugiej fali kryzysu – która dotyczy już nie wycieku, tylko Twojej wiarygodności.
Wzór
OŚWIADCZENIE [NAZWA FIRMY] [MIEJSCOWOŚĆ], [DATA], godz. [GODZINA]
[DATA] potwierdziliśmy naruszenie ochrony danych osobowych w systemie [NAZWA / OPIS OGÓLNY]. Jest nam przykro wobec wszystkich osób, których dane zostały objęte zdarzeniem.
Naruszenie dotyczy danych [LICZBA lub „ustalanej obecnie liczby”] osób i obejmuje: [KATEGORIE DANYCH]. Według obecnych ustaleń nie objęło [KATEGORIE].
Bezpośrednio po wykryciu zdarzenia [WYMIEŃ 2–3 DZIAŁANIA]. Naruszenie zostało zgłoszone Prezesowi Urzędu Ochrony Danych Osobowych [oraz: właściwemu zespołowi CSIRT / organom ścigania]. Trwa analiza prowadzona przez [PODMIOT ZEWNĘTRZNY, JEŚLI JEST].
Osoby, których dane dotyczą, otrzymują od nas indywidualne zawiadomienia. Uruchomiliśmy infolinię [NUMER] oraz stronę informacyjną [URL].
Kolejną informację przekażemy do [DATA/GODZINA] lub wcześniej, jeśli pojawią się istotne ustalenia.
Kontakt dla mediów: [IMIĘ I NAZWISKO], [TELEFON], [E-MAIL].
– koniec wzoru –
Trzy rzeczy, o których warto pamiętać przy tej wersji. Po pierwsze, podawaj godzinę wydania oświadczenia, nie tylko datę – przy kryzysie doba ma kilka cykli.
Po drugie, kontakt musi być do człowieka, który faktycznie odbierze; skrzynka biuro@ w kryzysie działa jak „bez komentarza”.
Po trzecie, jeśli nie znasz liczby poszkodowanych, napisz, że jest ustalana, i podaj termin – próba wyprzedzenia mediów szacunkiem, który trzeba będzie potem korygować w górę, zawsze kończy się źle.
Wersja 3: komunikat wewnętrzny dla pracowników
Wysyłasz go przed komunikatem do mediów, nie po. Przeciek z organizacji to zwykle nie złośliwość, tylko próżnia informacyjna wypełniona przez pracownika, który chce być pomocny.
Wyślij przez mail wewnętrzny, komunikator a jeśli poczta jest niedostępna – SMS-y kaskadowe przez menedżerów.
Wzór komunikatu wewnętrznego dla pracowników
Informacja dla zespołu – [DATA], godz. [GODZINA]
Zespole,
[DATA] potwierdziliśmy naruszenie ochrony danych w systemie [NAZWA]. Piszę do Was, zanim informacja trafi do klientów i mediów, żebyście wiedzieli o tym ode mnie, a nie z internetu.
Co wiemy: [2–3 ZDANIA – te same fakty, które idą na zewnątrz]. Czego jeszcze nie wiemy: [WYMIEŃ WPROST, np. pełnego zakresu danych, sposobu wejścia do systemu].
Co robimy: [3 PUNKTY].
O co proszę:
- Nie komentuj sprawy publicznie ani w rozmowach prywatnych z osobami spoza firmy – także w mediach społecznościowych i na grupach branżowych. Nie chodzi o ukrywanie czegokolwiek. Chodzi o to, żeby na zewnątrz szła jedna, sprawdzona wersja faktów, bo za nieścisłości odpowiada firma.
- Jeśli dzwoni dziennikarz – przekieruj do [IMIĘ I NAZWISKO], [TELEFON]. Nie musisz nic mówić, wystarczy podać ten kontakt.
- Jeśli pyta klient – użyj odpowiedzi ze skryptu, który wysyłamy działowi obsługi o [GODZINA]. Nie improwizuj, nawet w dobrej wierze.
- Jeśli zauważysz coś nietypowego w systemach – zgłoś natychmiast na [KANAŁ], nawet jeśli wydaje Ci się to drobiazgiem.
Twoje własne dane: [NAPISZ WPROST, czy naruszenie objęło dane pracowników. Jeśli tak – potraktuj zespół dokładnie tak samo jak klientów, z pełną informacją i tymi samymi zaleceniami.]
Kolejną informację przekażę [KIEDY I GDZIE]. Jeśli macie pytania, na które nie znajdujecie odpowiedzi – piszcie bezpośrednio do mnie.
[IMIĘ I NAZWISKO], [STANOWISKO]
– koniec wzoru –
Punkt o danych pracowników jest krytyczny. Jeśli zespół dowie się z komunikatu prasowego, że jego PESEL-e też wyciekły, tracisz lojalność ludzi, których najbardziej potrzebujesz przez najbliższe dwa tygodnie.
5 sformułowań, których nigdy nie używaj
| Nie pisz | Dlaczego kosztuje | Napisz zamiast tego |
| „Państwa dane są bezpieczne” | W komunikacie o wycieku to sprzeczność sama w sobie. W pierwszej dobie i tak jeszcze tego nie wiesz. | „Dane, których dotyczy naruszenie, to [X]. Dane [Y] pozostały w odrębnym systemie i nie zostały objęte zdarzeniem.” |
| „Nie ma dowodów, że dane zostały wykorzystane” | Brak dowodów to nie to samo co brak wykorzystania. Czytelnik słyszy wykręt. | „Nie odnotowaliśmy dotąd przypadków wykorzystania danych. Monitorujemy sytuację i poinformujemy, jeśli to się zmieni.” |
| „Padliśmy ofiarą wyrafinowanego ataku” | Samousprawiedliwienie. Prowokuje dziennikarzy do sprawdzenia, czy atak faktycznie był wyrafinowany – a zwykle nie był. | Opis faktów bez przymiotników oceniających. |
| „Przepraszamy za ewentualne niedogodności” | Bagatelizacja. Niedogodność to opóźniony pociąg, nie wyciek numeru PESEL. | „Przepraszamy. Wiemy, że to poważna sprawa i że wiąże się z realnym ryzykiem.” |
| „Sprawa została przekazana odpowiednim organom” | Bez nazwania organu brzmi jak spławienie tematu. | „Zgłosiliśmy naruszenie Prezesowi UODO oraz złożyliśmy zawiadomienie na Policji.” |
To opracowanie ma charakter praktyczny i nie stanowi porady prawnej. Treść zawiadomienia w konkretnej sprawie zweryfikuj z inspektorem ochrony danych lub prawnikiem.
Najczęstsze pytania
Czy komunikat do mediów i do klientów może się różnić? Może różnić się długością, językiem i poziomem szczegółowości. Nie może różnić się faktami. Rozbieżność między nimi to gotowy materiał na drugą falę kryzysu.
Co zrobić, gdy nie znam jeszcze pełnego zakresu wycieku? Wyślij komunikat z tym, co wiesz, i napisz wprost, czego jeszcze nie wiesz oraz kiedy podasz szczegóły. Milczenie do czasu zakończenia analizy jest gorsze niż zawiadomienie niepełne, bo publiczność w tym czasie i tak zbuduje sobie wersję zdarzeń – tylko bez Twojego udziału.
Kto powinien podpisać komunikat? Zawiadomienie dla klientów i komunikat wewnętrzny – osoba z zarządu. Oświadczenie dla mediów – wskazana osoba kontaktowa. Podpis działu IT lub bezosobowe „Zespół [Firma]” w poważnym wycieku jest odbierany jako ucieczka od odpowiedzialności.
Dane wrażliwe, czyli co? To termin potoczny, który w RODO odpowiada szczególnym kategoriom danych z art. 9. Jeśli użyjesz go luźno („wyciek nie objął danych wrażliwych”), a wśród danych będą numery PESEL czy dokumenty tożsamości, dostaniesz zarzut wprowadzania w błąd. Pisz o konkretnych kategoriach.
Czytaj także:
Zgłoszenie incydentu w 24 h i co dalej? Case study
