文件在邮寄途中丢失时，企业需要注意什么？

邮寄途中文件丢失导致的数据泄露

通过邮政寄送文件是许多企业的日常业务，这些文件往往含有个人数据。一旦邮件丢失，可能产生数据保护方面的法律后果。

关键在于，文件丢失是否会产生 对数据主体权利和自由的风险 。若是，则可能构成 GDPR 意义上须报告的数据保护事件。

何时有义务向数据保护监管机构报告？

如果含有个人数据的邮件未送达预定收件人，且应推定其已丢失，则可能构成 个人数据泄露 （GDPR 第33条）。

如果邮件丢失，或未经授权的第三方获知了其内容，则可能由此对 数据主体的权利和自由造成风险 。是否须履行报告义务，尤其取决于所涉数据的类型、范围、数量和敏感程度。

尤其是在涉及健康数据、财务信息或身份证明等敏感数据时，往往存在风险。

根据 GDPR 第33条，个人数据泄露若对自然人的权利和自由 可能造成风险 ，控制者即有义务通知主管监管机构。

如果甚至存在 高风险，则根据 GDPR 第34条，还须通知数据主体。

由谁负责报告？

根据 GDPR 第33条 ，报告个人数据泄露的义务由 控制者承担。在此背景下，邮件丢失或误投时，经常会产生数据保护责任由谁承担的问题。

邮政服务提供者的角色

邮政服务提供商通常提供独立的运输服务，其身份并非受托处理者，而是 GDPR 意义上的独立控制者。

邮件丢失时的责任

固然可以首先认为，随着邮件的交付，数据保护责任也一并转移给了 邮政服务提供商 。但在实践中，有多项理由表明，数据保护义务仍由 寄件人 承担：

1. 不知悉事件发生： 邮政服务提供商通常无法自行发现单件邮件的丢失，尤其是在未使用专门的邮件追踪或投递确认服务时。不知悉事件，就既无法进行风险评估，也无法按时报告。而寄件人则会注意到邮件未能送达。
2. 不知悉邮件内容： 只有寄件人知道邮件的具体内容、其中所含个人数据的类型和敏感程度，以及对数据主体可能产生的影响。邮政服务提供商通常不了解邮件内容，因此无法依据 GDPR 第33条、第34条进行风险评估。
3. 与数据主体没有联系： 通知数据主体的前提是能够识别并联系到他们。邮政服务提供商通常与数据主体之间不存在数据保护法意义上的关系，也不掌握必要的背景信息。而寄件人则可以直接通知数据主体。
4. 丢失时间通常无法确定： 最后，往往无法明确查明丢失或误投发生在哪个环节，因此通常无法明确将其归入邮政服务提供商的责任范围。

即使丢失实际发生在邮政服务提供商的责任范围内，依据 GDPR 第33条进行风险评估并视情况报告的义务通常仍由寄件人承担。

因此，寄件人必须检查 是否存在须报告的数据保护事件 ，如存在，须毫不迟延地 – 通常 在72小时内 – 向主管数据保护监管机构报告。

计算期限时，关键在于控制者何时充分 获知可能发生的丢失.

对企业的影响

寄送个人数据时须格外谨慎。如果文件在邮寄途中丢失，视数据的类型和敏感程度，可能对数据主体构成风险，并触发 GDPR 第33条规定的报告义务。

即使将邮件交给邮政服务提供商之后，寄件人在数据保护法意义上仍是控制者。如有疑似情况，寄件人必须进行风险评估，并决定是否报告。

总结与行动建议

并非每一件丢失的邮件都自动须报告。关键在于，丢失是否会对数据主体的权利和自由造成风险。

寄送个人数据时，企业应预先做好组织安排，以便在出现疑似情况时能够依法稳妥地处理。

实践提示：

明确的规定、有据可查的流程和训练有素的员工，是降低责任风险、在紧急情况下按时且依法稳妥地采取行动的关键。