先判断：这算不算法律意义上的「个人数据泄露」
只要个人数据被未经授权地获取、披露、篡改或丢失，就属于个人数据泄露，不限于黑客入侵。中资公司最常见的泄露其实很「土」：员工把客户名单表格发错了群、离职员工带走了客户资料、装着客户护照扫描件的笔记本被偷、共享网盘的链接被设成任何人可查看、客服账号被盗后有人批量导出订单。这些都算，都要按事件处理，而不是当成一次内部小失误。
判断时先回答三个问题：一，涉及的是不是个人数据（能识别到具体自然人的姓名、电话、地址、证件号、账户、健康或财务信息）；二，这些数据是不是已经离开了你的控制，或者你无法确认有没有离开；三，涉及的人里有没有菲律宾境内的个人，或者数据是不是在菲律宾处理的。三个问题里只要第一、二个答「是」，就先按泄露事件启动响应，不要等「确认被滥用」才动。
反过来，有些情况不算个人数据泄露但同样紧急：比如只是公司内部报价单、合同底价泄露，这属于商业秘密问题，走的是合同与民事途径；又比如官网被篡改但后台数据库没被碰，这属于系统被黑，处置见 公司官网或社媒账号被黑怎么办。先把事件定性，后面的通报义务、对外口径和取证重点才不会走偏。不确定就按较重的情形准备，这比事后被认定为隐瞒要安全得多。
发现当天的二十四小时：按顺序做这六件事
第一，止血但不毁证。关掉泄露的链接、停用被盗账号、重置相关密码、把被入侵的设备断网隔离。注意是「隔离」不是「格式化」：重装系统、清空日志会把你唯一能说明「泄露了多少、何时开始」的证据一并抹掉。第二，指定一个事件负责人。有数据保护官（DPO）的由DPO牵头，没有的由老板指定一名能调动技术、客服和行政的人，所有对内对外信息只从这一个口出。
第三，把时间线写下来。谁在什么时候发现的、怎么发现的、当时看到了什么、之后采取了哪些措施，逐条带时间记录。通报文件里最先被问的就是这条时间线。第四，保全证据。导出访问日志、登录记录、邮件转发规则、网盘分享记录、聊天截图，另存到一个只读的位置；如果涉及员工个人设备，先书面要求其不得删除任何内容。
第五，初步清点。泄露的是哪张表、哪个系统、多少条记录、包含哪些字段、涉及哪些人群（客户、员工、供应商联系人）。先给出一个保守的估计，后面再修正。第六，暂时不对外定性。在弄清范围之前，不要在社交媒体或客户群里说「没有泄露」或「只是小问题」，也不要公开指认某个员工或前员工是内鬼——说错了前者是误导，后者可能反过来构成 网络诽谤。这一天的目标只有三个：口子堵上、证据留住、范围有数。
要不要通报NPC和当事人：三个判断条件与通报里要写什么
通报不是「出事就报」，也不是「能瞒就瞒」，而是看三个条件是否同时成立。一是泄露的数据属于敏感个人信息，或者可能被用于身份冒用的信息（证件号、账户、健康、财务、密码等）；二是有理由相信这些数据已经被未经授权的人获取；三是这种获取很可能给当事人带来严重的现实风险。三者同时成立，就落入强制通报范围：要在NPC规定的时限内向NPC报告，并通知受影响的个人。这个时限很短，是从公司「知道或有理由相信」发生泄露的时点起算，不是从调查结束起算，具体以NPC当期规定为准。
通报文件通常要说明：事件的性质和经过、涉及的数据类型与大致人数、可能的后果、公司已经采取和准备采取的补救措施、以及当事人可以联系的负责人。调查没做完也可以先报已知部分，后续补充，「信息不全」不是迟报的理由。向NPC的报告目前通过其线上系统提交，提交后要保存回执。
不确定是否达标怎么办？务实的做法是：把判断过程写成一份内部评估记录，说明为什么认为达到或未达到通报标准，由事件负责人签字留档。即使最终不通报，这份记录也是日后被问起时证明公司认真评估过的依据。另外，如果公司是替别人处理数据的一方（比如外包客服、代运营），还要第一时间通知委托方，由对方判断通报义务。涉及是否通报、怎么措辞的决定，建议让执业律师过目。
怎么通知客户：说清楚四件事，不推责、不恐吓、不承诺做不到的
给客户的通知要直接说清四件事：发生了什么、涉及你的哪些信息、我们做了什么、你现在该做什么。不要写成一篇公关稿，也不要把责任推给「不明黑客」了事。客户最在意的是自己该不该改密码、该不该警惕冒充来电、证件信息外流后要注意什么，通知里要给出具体可执行的动作，比如更换密码、留意冒充本公司要求转账的信息、任何付款要求都通过原有官方渠道回拨核实。
通知方式上，优先用客户原本留下的联系渠道逐一送达；人数很多或联系方式不全时，再辅以官网公告。通知里不要再次暴露数据——群发邮件时用密送，不要把所有客户地址列在收件栏；不要在通知里附上「你的资料如下」的完整明细。同时准备一个专门的咨询入口（一个邮箱或一条客服线），并给一线客服一份统一口径，避免十个人说出十种版本。
语气上，承认事实、说明措施、给出联系人，就够了。不要承诺「绝不会再发生」，也不要承诺赔偿方案中你还没有决定的内容；不要威胁客户不得外传。华人客户群体往往互相认识，消息传得很快，一份诚实且有用的通知比任何辟谣都更能稳住信任。如果泄露被诈骗团伙利用来冒充公司收款，另见 邮箱被盗、货款被骗到假账户的处置，并尽快按 网络犯罪举报流程 报案。
善后：报案、追责、保险与内部整改，各走各的线
数据泄露的善后分四条线，互不替代。第一条是刑事线：如果泄露来自入侵、盗号或内部人员非法拷贝，可以向警方或国家调查局的网络犯罪部门报案，带上时间线和已保全的日志。报案的作用一是启动调查，二是留下官方记录，日后面对客户索赔或监管询问时能说明公司是受害方之一并已采取行动。
第二条是内部追责线：如果源头是在职或离职员工，处理要走劳动法要求的正当程序——书面通知、给予说明机会、再作决定，不能一怒之下当场开除或公开点名。证据和程序的顺序可参考 发现员工偷东西的处理顺序，逻辑相同。第三条是合同与保险线：翻一翻与客户、平台、外包商的合同里有没有数据安全条款和通知义务；如果公司买过网络安全或责任类保险，按保单要求的时限报险。
第四条是整改线，也是监管最看重的一条：改掉导致泄露的那个具体原因（权限过宽、共享链接公开、离职账号未回收、设备未加密），并形成书面的整改记录。设备丢失导致的泄露，具体动作见 装着公司资料的电脑被偷怎么处理。监管和客户都能接受「出过事」，不能接受「出了事什么都没改」。涉及赔偿谈判、监管问询答复和劳动处分的环节，个案请咨询执业律师。
事后把制度补上：最低限度的五样东西，以及易行能做什么
经历过一次泄露的公司，最值得补的不是昂贵的安全产品，而是五样基础的东西。一是一张数据清单：公司到底收了哪些个人数据、放在哪、谁能看。很多公司是出事后才发现客户护照扫描件散落在三个员工的个人网盘里。二是权限与离职回收：按岗位给最小权限，员工离职当天回收所有账号。三是一份一页纸的事件响应流程：发现泄露找谁、谁有权决定通报、对外谁说话。
四是数据保护官与登记义务：确认公司是否需要指定DPO、是否落入NPC的登记范围，并把联系人信息保持更新。五是员工的基本训练：不用个人邮箱传客户资料、不点来历不明的链接、发群前看清收件人。这些做法与日常的打卡、监控等处理一样受数据隐私法约束，边界见 指纹与人脸打卡的隐私要求。
易行国际旅行社（SEC 注册号 CS202009551，菲律宾移民局认证代办 CA-202624381-1）为在菲中资企业提供 合规托管服务：协助梳理数据清单与内部制度文件、准备对监管的登记与报送材料、在事件发生后整理时间线和通报所需的文件，并协调对接执业律师与技术取证人员。我们不是律师事务所，也不是网络安全公司，不替代两者的专业判断；我们做的是让老板在最乱的那几天有人统筹文件和节奏。个案请咨询执业律师，本文不构成法律意见。