O impacto das fugas de dados empresariais na reputação digital: confiança, crise e recuperação

Uma violação de dados pessoais não é apenas um incidente técnico a resolver pela equipa de segurança da informação. A obtenção de dados de clientes por pessoas não autorizadas, ou a sua exposição, pode afetar diretamente a credibilidade da marca e a relação dos clientes com a empresa.

Contudo, não existe uma percentagem fixa ou taxa média de perda do cliente aplicável a cada empresa. A natureza da violação, os dados afetados, a base de clientes, a comunicação e a qualidade da resposta ao incidente alteram o resultado.

Porque se torna uma violação de dados num risco reputacional?

Para os utilizadores, uma pergunta é muitas vezes mais importante do que os detalhes técnicos: «A empresa protegeu os meus dados e informou-me corretamente após o incidente?»

O impacto da reputação pode ser evidente, especialmente em:

Confiança dos clientes,
pesquisas pelo nome da marca,
conversas nas redes sociais,
pedidos de serviço ao cliente,
visibilidade nas notícias,
comportamento nas avaliações e reclamações.

Primeiro passo: Verifique o incidente

A comunicação de crises não deve ser realizada separadamente da investigação técnica.

Inicialmente, esclarecer:

quando se tomou conhecimento do incidente,
quais os sistemas afetados,
quais as categorias de dados envolvidas,
se o acesso não autorizado continua,
se o incidente foi contido

Estes pontos devem ser esclarecidos.

A regra de 72 horas

No âmbito da KVKK, a decisão n.º 2019/10 do Conselho turco de Proteção de Dados, de 24 de janeiro de 2019, interpreta «o mais rapidamente possível» como sem demora e, o mais tardar, no prazo de 72 horas após o responsável pelo tratamento ter conhecimento da violação.

Esse período não significa que a equipe de comunicação deve esperar 72 horas para fazer uma declaração pública ou emitir um precisamente na 72a hora. A notificação legal e a comunicação de crises são processos relacionados, mas distintos.

Comunicação com os titulares dos dados

Após identificar as pessoas afetadas, devem ser fornecidas informações corretas, compreensíveis e que permitam tomar medidas concretas.

A comunicação deve especificar claramente:

O que aconteceu,
quais os dados que podem ter sido afetados,
as medidas tomadas pela empresa,
as precauções que os utilizadores podem tomar,
o canal de contacto

Estes elementos devem ser indicados de forma clara.

Evitar a especulação

A identidade do atacante, o volume de dados ou a causa do incidente não devem ser apresentados como factos estabelecidos antes de terem sido tecnicamente verificados.

Uma declaração inicial incorreta pode se tornar uma segunda crise de confiança após a própria violação de dados.

Como é medida a reputação da marca?

Em vez de «percentagens de perda de reputação» fixas e não verificadas, podem usar-se os próprios dados de referência da empresa.

velocidade de crescimento das menções,
sentimento ponderado,
alterações nas buscas com marca,
tendência das avaliações dos clientes,
volume de pedidos de apoio,
SLA de resposta,
Tempo de recuperação pós-crise.

Reputação nos motores de pesquisa

As notícias de uma violação de dados podem continuar aparecendo nas buscas pela marca mesmo após a crise ter terminado.

Após a crise, é importante que a empresa mantenha acessíveis:

a sua declaração oficial actual,
atualizações de segurança,
perguntas frequentes

Estes conteúdos devem permanecer acessíveis nos seus próprios canais digitais verificados.

Revisão pós-incidente

O incidente não deve ser encerrado apenas porque a correção técnica foi concluída.

Perguntas a examinar:

Quando foi levantado o primeiro alerta?
Quando é que o incidente se tornou conhecido?
A escalada funcionou corretamente?
As equipas jurídica, informática e de comunicação trabalharam com os mesmos factos?
Quanto tempo levou para responder às perguntas do cliente?
Que controlos técnicos e administrativos foram alterados?

Lista de verificação da reputação após uma violação de dados

Foi registado o momento da tomada de conhecimento?
O âmbito da violação foi verificado?
O processo KVKK de 72 horas está a ser gerido?
Foi planeada a comunicação com os titulares dos dados?
Há um único centro de mensagens verificado?
São acompanhadas a escuta social e as pesquisas pelo nome da marca?
Estão a ser rastreadas as desinformações e os falsos posts?
Foi realizada uma revisão após o incidente?

A abordagem B10

A B10 Digital Agency aborda os riscos digitais após uma violação de dados avaliando em conjunto o incidente técnico, as obrigações jurídicas e a reputação online.

Fonte Oficial

KVKK – Decisão n.º 2019/10, de 24 de janeiro de 2019, sobre notificação de violações de dados

Conclusão

O impacto reputacional de uma violação de dados deve ser medido com os dados reais da empresa sobre clientes, pesquisas, apoio e escuta social, e não com percentagens gerais sem fonte. Preservar a confiança depende sobretudo de uma gestão de incidentes rápida, verificada e coerente.

Este conteúdo é apenas para informação geral.