个人信息泄露事件的通知义务与应急处置流程

一、结论先行：三层义务、两个时限

个人信息泄露事件发生后，企业最容易犯的错误不是「没发现」，而是「发现了不知道要做什么、什么时候做」。结论先行：

1. 立即补救。发生或者可能发生个人信息泄露、篡改、丢失的，应当立即采取补救措施（《个人信息保护法》第五十七条第一款）。
2. 双重通知。应当通知履行个人信息保护职责的部门和个人；通知义务是两项，不能以「已向监管报告」替代对个人的告知。
3. 免于通知个人的例外只有两种。处理者采取措施能够有效避免信息泄露、篡改、丢失造成危害的，可以不通知个人；履行个人信息保护职责的部门认为可能造成危害的，有权要求处理者通知。
4. 记录义务。处理者应当对泄露事件的处理情况予以记录，该记录至少保存三年（《个人信息保护法》第五十七条第三款）。

两个时限需要记住：向监管部门报告依《网络安全法》《数据安全法》的「立即」「及时」要求，不设统一天数；而记录保存是明确的三年。

二、触发条件：「泄露、篡改、丢失」如何认定

《个人信息保护法》第五十一条要求处理者采取加密、去标识化等安全技术措施，制定内部管理制度与操作规程，并制定个人信息安全事件应急预案。第五十七条的触发条件则是「发生或者可能发生」泄露、篡改、丢失——注意「可能发生」四个字，意味着尚未造成实际损害但风险已经出现时，补救义务即已启动。

三类事件的判断标准不同：

• 泄露：信息被未获授权的主体获取，包括外部攻击、内部人员导出、供应商误传、系统配置错误导致公网可访问。
• 篡改：信息被未获授权地修改，完整性受损，常见于权限管理失效、接口未做鉴权。
• 丢失：信息不可用或者灭失，包括误删除且无备份、存储介质损坏、勒索软件加密。

实务中争议最大的是「可能发生」。判断应结合数据敏感程度、涉及人数、是否可被识别到特定个人、是否已被实际访问等因素，不宜以「尚未发现被利用」为由不作处理。

三、通知监管部门：内容与时点

《网络安全法》第四十二条第二款规定，发生或者可能发生个人信息泄露、毁损、丢失的，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。《数据安全法》第二十九条要求，发生数据安全事件时，应当立即启动应急预案、采取相应处置措施，并按照规定向有关主管部门报告。

两部法律使用的都是「立即」「及时」「按照规定」，并未设定统一的天数。这是因为报告义务的具体时限分散在行业规定中：金融、医疗、电信、汽车数据等领域各有专门要求。企业应当先确定自身所处行业，再核对对应的行业规范，不能笼统按「72小时」处理——该数字来源于部分域外立法与个别行业要求，并非我国一般性规定。

报告内容通常包括：事件基本情况与发现时间、涉及的个人信息类型与数量、可能造成的危害、已采取的补救措施、后续处置计划与联系人。

四、通知个人：内容、方式与免于通知的例外

《个人信息保护法》第五十七条第一款要求通知包括下列内容：泄露、篡改、丢失的个人信息种类、原因和可能造成的危害；个人信息处理者采取的补救措施和个人可以采取的减轻危害的措施；个人信息处理者的联系方式。

通知方式应当与原有联系渠道一致，通常采用短信、站内信、邮件、App 弹窗等；难以逐一告知的，可以采取公告方式。应注意：通知本身不得成为二次泄露的渠道，例如在短信中直接写明「您的身份证号×××已泄露」，反而扩大了暴露面。

五、应急处置的六步流程

1. 发现与初判（当日）。由安全团队确认事件是否真实、影响范围、是否仍在持续。此阶段的每一份日志都应即时固定。
2. 止损与隔离（当日）。关闭泄露接口、重置凭据、下线受影响系统、阻断异常访问，避免损害扩大。
3. 取证与溯源（1—3日）。保存系统日志、访问记录、数据库审计记录、变更记录；注意取证的完整性，避免因修复动作破坏证据。
4. 影响评估（1—3日）。统计涉及人数、信息类型（是否含敏感个人信息）、是否可识别到特定个人、是否已被利用。
5. 报告与告知（评估后立即）。按行业规定向主管部门报告，按第五十七条通知个人，必要时发布公告。
6. 整改与复盘（事件后）。修补技术与管理漏洞，更新应急预案，形成事件报告并归档。

六、证据留存与记录义务

《个人信息保护法》第五十七条第三款规定，处理者应当对个人信息泄露、篡改、丢失事件的处理情况予以记录，记录至少保存三年。记录内容应当能够还原「谁在什么时间做了什么判断」，至少包含：事件发现时间与途径、影响范围、处置措施与时间点、内部决策过程、对外报告与告知情况、整改结果。

与记录义务配套的还有两项制度：一是个人信息保护影响评估报告与处理情况记录至少保存三年（第五十六条）；二是合规审计制度要求处理者定期开展合规审计，审计中必然核查事件记录。因此，记录不是「出了事才补」，而是日常合规体系的一部分。

需要提醒的是，记录与证据是两个层次。记录是法定义务的履行；证据是诉讼中的攻防材料。前者可以事后整理，后者必须在事件发生当时固定，尤其是日志、快照、邮件与即时通讯记录。

七、法律责任：行政处罚与民事赔偿

行政责任方面，《个人信息保护法》第六十六条对违法处理个人信息规定了阶梯式处罚：责令改正、警告、没收违法所得；拒不改正的，并处一百万元以下罚款；情节严重的，处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款。

民事责任方面，第五十九条采用过错推定：处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。这一举证格局对处理者极为不利——一旦发生泄露，企业需要自证「已尽到安全保护义务」，而这正是第五十一条各项措施、第五十七条处置记录发挥作用的地方。

此外，泄露事件还可能触发《数据安全法》的处罚，以及刑法上侵犯公民个人信息罪的风险（如内部人员出售信息）。三条责任线并行，不互相吸收。

八、常见问题

问：泄露了几百条信息，也要报告吗？

法律未设数量门槛，触发条件是「发生或者可能发生」泄露并可能造成危害。数量少但属敏感个人信息（如行踪轨迹、金融账户、不满十四周岁未成年人信息）的，同样应当评估是否需要报告。

问：已经采取了补救措施，还要通知个人吗？

《个人信息保护法》第五十七条第二款规定，处理者采取措施能够有效避免信息泄露、篡改、丢失造成危害的，可以不通知个人；但监管部门认为可能造成危害的，有权要求通知。是否「有效避免」需要举证。

问：内部员工导出的信息，算泄露事件吗？

算。泄露不以外部攻击为限，内部人员越权访问、导出、外传同样构成。此类事件往往还伴随刑事风险。

问：报告主管部门后，还需要向网信、公安分别报告吗？

依行业与事件性质确定。「履行个人信息保护职责的部门」包括网信、市场监管等；涉及网络安全事件的，还可能涉及公安机关。实务中建议按「首报+同步抄送」处理，避免多头重复但又不遗漏。

问：能不能先内部处理完再报告？

不建议，且可能构成瞒报。法律要求「立即」「及时」，拖延报告本身可能被认定为未履行义务，加重处罚。

问：客户起诉索赔，企业怎么举证免责？

核心是证明已履行第五十一条的安全保护义务与第五十七条的处置义务，包括安全措施记录、权限管理、加密与去标识化、应急预案与演练记录、事件处置记录。举证不能的，依第五十九条承担赔偿责任。

法条与依据核验：《中华人民共和国个人信息保护法》第五十一条（安全保护义务与应急预案）、第五十二条（个人信息保护负责人的设立与职责）、第五十六条（影响评估报告与处理情况记录保存三年）、第五十七条（泄露、篡改、丢失的补救、通知与记录义务）、第五十九条（过错推定责任）、第六十六条（法律责任）、第七十三条（个人信息处理者的定义）；《中华人民共和国网络安全法》第四十二条第二款（泄露、毁损、丢失的补救、告知与报告）、第七十六条（个人信息定义）；《中华人民共和国数据安全法》第二十九条（数据安全事件的处置与报告）；《网络数据安全管理条例》关于个人信息安全事件报告的规定。特别说明：本文关于「报告时限」的表述不采用任何统一天数，因我国法律未设统一期限，具体时限分散于行业规定；部分资料所称「72小时」并非我国一般性规定，引用时须核对具体行业规范。记录保存期限「三年」依据第五十六条、第五十七条。行政处罚的具体幅度以第六十六条为准，执法实践中还会参照部门规章与裁量基准，个案存在差异。请以全国人大官方公布文本为准。