拿到通知先看清：是投诉、问询，还是主动调查
收到国家隐私委员会（NPC）的来函，先确认它是个人投诉立案、要求提供资料的问询，还是委员会主动发起的调查或合规检查。三者的程序和你要交的东西不一样，但共同点是：期限以来函写明的为准，不能拖。
把来函的关键信息摘出来：来函编号、涉及的公司名称是否正确、投诉人是谁（员工、前员工、客户还是第三方）、被指控的处理行为是什么（未经同意收集、超范围使用、泄露、拒绝查阅或删除请求、监控过度等）、要求公司做什么（书面答复、提交文件、出席调解或会议）、回复期限和方式。期限从哪天起算按来函说明，拿不准就书面向发函部门确认。
同时核实来函真伪：通过委员会公开的官方联系方式回查，不要只看来函上留的电话或邮箱。冒充监管机构要求「先交罚款」「提供全部客户资料」的诈骗并不少见，真实的程序不会要求你把钱转到个人账户。确认是真的之后，当天把来函交给公司的数据保护官（DPO）和管理层，指定一个人负责全程跟进，避免多人各自回复、说法不一。
第二步：冻结证据，把这件事的来龙去脉还原出来
在动笔答复之前，先把与投诉有关的资料和记录冻结住，不删、不改、不补签。事后倒签或删除记录，会把一个可以解释的合规瑕疵变成诚信问题。
需要还原的通常包括：投诉人这份个人资料是什么时候、为什么、通过什么渠道收集的；当时给过什么隐私告知，有没有签收或勾选记录；资料存在哪个系统、谁有权限访问、有没有访问日志；资料有没有交给第三方处理，有没有书面处理协议；投诉人之前有没有向公司提出过查阅、更正、删除等请求，公司当时是怎么回的。很多投诉的起点，就是公司对一封查阅或删除请求没理睬。
如果投诉涉及资料泄露，泄露本身的止血、评估和通报是另一条线，按 客户数据泄露怎么处理 的顺序做，不要等答复写完再处理泄露；设备丢失引起的，见 装着公司资料的电脑或手机丢了怎么办。公司本来应当具备的那套隐私制度文件，清单见 菲律宾数据隐私法对企业的基本要求，这次正好用来对照查缺。
书面答复怎么写：回应指控、拿出文件、说明整改
答复的重点不是辩论法律，而是逐条回应被指控的事实，并用文件证明公司做过什么、正在补什么。拿不出文件，几乎是这类程序里最常见的失分原因。
建议结构：开头写明公司全称、来函编号和答复人身份；逐条回应投诉中的每一项事实，承认确实存在的问题，澄清不准确的部分；附上能证明公司立场的文件，例如隐私告知书及签收记录、DPO 任命文件、权限与访问记录、保存期限政策、与第三方的处理协议、对投诉人此前请求的回复记录；说明已经采取或将要采取的整改措施和时间安排；最后表示愿意配合后续程序。
不要做的事：不要编造当时并不存在的制度或流程；不要在答复里攻击投诉人的人品或动机，尤其投诉人是前员工时；不要附上与本案无关的其他人的个人资料，否则答复本身就可能构成新的违规；不要承诺做不到的整改日期。答复由公司授权的人签署，涉及刑事责任、民事索赔或同时存在劳动争议的，先请执业律师审阅再提交。
调解与会议：能不能和解、和解要写什么
隐私投诉常常有调解或协商的环节，能以合理方式满足投诉人的正当诉求，往往比走完全部程序更省事。是否进入调解、调解怎么进行，以委员会当期程序和通知为准。
投诉人的诉求通常是几类：要求查阅或取得自己的资料；要求更正或删除；要求停止某种处理，例如停止营销信息、停止某种监控；要求道歉或说明；要求赔偿。前几类往往是公司本来就有义务配合的，越早配合，越能体现公司的诚意。涉及赔偿的，要评估事实和证据，不要为了快速结案而承认不存在的事实。
如果达成和解，书面写清楚：公司具体做了什么（例如已删除哪些资料、已停止哪类处理）、完成时间、双方对后续程序的安排。和解不等于不用整改，委员会在个案中仍可能就公司的合规缺陷提出要求。与前员工的隐私投诉常常和劳动争议交织在一起，两条线的说法必须一致，劳动争议侧的常见失分见 劳工仲裁里雇主最常输的情形。
可能的结果：驳回、整改要求、处罚，以及之后要交什么
程序的结果可能是驳回投诉、要求公司整改并提交证明、或者在认定违规时作出处罚或移送其他程序。具体结果、处罚标准以委员会当期规则和个案决定为准，本文不写金额。
如果委员会要求整改，通常会要求公司在一定期限内完成某些事项并提交证明，例如任命或更新 DPO、完善隐私告知、建立资料保存与销毁政策、补签第三方处理协议、对员工进行培训、修正某种监控做法。期限按决定书写明的执行，按时提交证明文件比口头承诺有用得多。员工监控类的常见问题，例如指纹或人脸打卡、摄像头、工作电脑监控，可以对照 指纹与人脸打卡的隐私要求 一并整改。
对决定不服的，是否以及如何寻求复议或上诉，要在规定期限内由律师评估。另外要留意：投诉人可能同时或之后向法院提起民事索赔，或者就同一事实向其他机关投诉，所以本程序中提交的每一份文件，都要按会被再次审视的标准来准备。
避免下一次投诉，以及易行能做什么
大部分隐私投诉的根源，是员工或客户的一封请求没人回，或者一种处理方式从来没告知过对方。把这两个口子堵上，投诉会少很多。
几项最划算的做法：设一个对外公开的隐私联系渠道，指定 DPO 或专人在合理时间内回复查阅、更正、删除请求，并留下回复记录；员工入职、客户签约时给出清楚的隐私告知并留存签收；离职员工的资料按保存期限处理，不要无限期保留，也不要在离职纠纷中拿员工资料做文章；营销信息提供退订方式并真正执行；对外包商、系统服务商签书面处理协议。员工操作失误导致资料发错对象之类的事件，除了隐私这条线，内部处理方式见 员工失误造成公司损失怎么处理。
易行可以协助：整理来函要求的文件清单、协调公司内部还原事实、梳理隐私告知与员工手册、DPO 任命与登记相关事项、对接专业律师，以及把隐私合规纳入公司的年度合规日历，相关服务见 合规托管服务。公司其他监管来函的处理思路，例如 SEC 的说明要求，见 收到 SEC show cause 怎么回复。易行为 SEC 注册公司（注册号 CS202009551），与国家隐私委员会无隶属关系，不能代替你决定程序结果。个案请咨询执业律师，本文不构成法律意见。