发生数据泄露？
72 小时期限已在倒计时。我们立即为您提供帮助。
无论是发错收件人的电子邮件、丢失的笔记本电脑还是勒索软件攻击——只要有人工作，就难免出错。关键在于您现在如何正确应对。我们的应急团队会先评估事件，随后视需要负责向监管机构报告并通知受影响人员。
紧急求助热线 · 周一至周五 9:00–17:00 · 经验丰富的数据保护官和律师
遏制事件
封锁访问权限、断开设备网络、撤回误发的信息——控制损害，但切勿删除任何内容。
记下时间
数据泄露是何时发生的？您又是何时得知的？
联系我们
我们会与您一起评估风险。
数据泄露应急热线，或发送电子邮件至 sofortdatenschutz@mip-consult.de
什么是《通用数据保护条例》（GDPR）所定义的数据泄露？
《通用数据保护条例》（GDPR）将数据泄露称为“个人数据泄露”，指个人数据遭意外或非法销毁、丢失、篡改、未经授权披露或访问（GDPR 第 4 条第 12 项）。黑客攻击只是众多情形之一，大多数数据泄露都发生在日常工作中。
电子邮件误发
收件人地址错误、群发时用“抄送”而非“密送”导致收件人公开，或附件中含有他人数据——这是实践中最常见的情形。
丢失或被盗的设备
笔记本电脑落在火车上、工作手机被盗、U盘丢失——若未加密，情况尤为严重。
勒索软件和黑客攻击
系统被加密、客户数据外泄、遭到勒索。此时，报告和沟通分秒必争。
文件寄错
信件寄错地址、档案被当作废纸丢弃、文件遗留在候诊室：纸质载体上的事件同样可能构成个人数据泄露，但并不当然负有报告义务。是否需要向监管机构报告，同样取决于 GDPR 第 33 条规定的风险评估
未经授权的访问
离职员工仍保留访问权限，或员工权限分配过宽。
配置错误和数据泄露
云存储公开可访问、共享权限设置错误、表单提交内容公开可见——往往数月无人察觉。
头 72 小时：
接下来的处置步骤及先后顺序
第 0 小时
识别和遏制
封锁访问权限、隔离系统、撤回误发邮件。记录获悉事件的时间点——期限自此开始计算。
之后
记录和改进
每一起数据泄露事件都必须记录在案（GDPR 第 33 条第 5 款）。我们会分析事件并弥补漏洞，防止再次发生。
第 0–24 小时
通知数据主体
如可能存在高风险，须依据GDPR第34条通知数据主体。我们负责起草通知：清晰、准确、不引发恐慌。
第 72 小时前
评估风险
涉及哪些数据、多少人受影响、会造成什么后果？我们评估是否对数据主体存在风险，从而判断是否必须报告。
错过期限？仍须报告——并说明延误理由。
如未能在72小时内提交必要的报告，必须说明延误理由。立即报告的义务依然存在。完全不报告是代价最高的错误。因此，即使72小时已过，也请致电我们。
紧急时刻 乃至事前 始终与您同在
数据泄露应急团队
立即
凭借专业知识和实操经验，为突发情况提供应急支持。从第一通电话到完成全部文档记录。
预防：事件升级流程与模拟演练
我们与您共同制定明确的数据泄露事件升级流程，并进行事件模拟演练，确保真正发生时每一步都得心应手。
向监管机构报告的期限——自知悉数据泄露起计算（GDPR 第 33 条）。
或全球年营业额的 2%：违反报告和通知义务的罚款上限（GDPR 第 83 条第 4 款）。
即可。
数据泄露常见问题
是否每一起数据泄露都必须向监管机构报告？
不是。如果泄露预计不会对数据主体的权利和自由造成风险，例如丢失的笔记本电脑已做了安全加密，则无需依据GDPR第33条报告。但每一起数据泄露事件都必须记录在案，包括无需报告的事件。评估是否存在风险是关键一步，而这正是我们为您提供支持的地方。
72小时的期限从什么时候开始计算？
从控制者获悉数据泄露之时起算，即一旦足以确定某一安全事件涉及个人数据。该期限在周末和节假日照常计算。如果信息尚不完整，可以分阶段报告：先报告核心内容，细节随后补充。
何时必须通知数据主体？
如果数据泄露可能给数据主体带来高风险，例如访问凭据、健康数据或银行账户信息外泄，必须依据GDPR第34条立即通知相关个人。通知须以清晰、浅显的语言说明发生了什么，以及数据主体可以采取哪些措施。
如果我们未报告或报告过迟，会有什么后果？
违反报告和通知义务，最高可被处以 1000 万欧元或全球年营业额 2% 的罚款（GDPR 第 83 条第 4 款）。此外，还可能面临数据主体的损害赔偿请求和声誉损失。损害赔偿请求并不会因未报告或迟报而自动产生，而是取决于 GDPR 第 82 条规定的要件。声誉损失也并非必然发生。
数据泄露发生在我们的服务提供商处，由谁负责报告？
受托处理者必须毫不迟延地向作为控制者的您报告该事件（GDPR 第 33 条第 2 款）。向监管机构报告以及通知数据主体仍是您的责任。因此，请检查您的数据处理协议（DPA）是否为服务商规定了明确的报告渠道和期限。
向监管机构提交的报告中必须包含哪些内容？
至少应包括：泄露的性质（涉及的数据主体和数据记录的类别及大致数量）、数据保护官的联系方式、可能造成的后果，以及已采取或拟采取的措施（GDPR第33条第3款）。
发生数据泄露？
请给我们打电话。
非约束性 · 30 分钟 · 免费咨询
