先判斷：這算不算法律意義上的「個人數據泄露」
只要個人數據被未經授權地獲取、披露、篡改或丟失，就屬於個人數據泄露，不限於黑客入侵。中資公司最常見的泄露其實很「土」：員工把客户名單表格發錯了羣、離職員工帶走了客户資料、裝着客户護照掃描件的筆記本被偷、共享網盤的鏈接被設成任何人可查看、客服賬號被盜後有人批量導出訂單。這些都算，都要按事件處理，而不是當成一次內部小失誤。
判斷時先回答三個問題：一，涉及的是不是個人數據（能識別到具體自然人的姓名、電話、地址、證件號、賬户、健康或財務信息）；二，這些數據是不是已經離開了你的控制，或者你無法確認有沒有離開；三，涉及的人裏有沒有菲律賓境內的個人，或者數據是不是在菲律賓處理的。三個問題裏只要第一、二個答「是」，就先按泄露事件啓動響應，不要等「確認被濫用」才動。
反過來，有些情況不算個人數據泄露但同樣緊急：比如只是公司內部報價單、合同底價泄露，這屬於商業秘密問題，走的是合同與民事途徑；又比如官網被篡改但後台數據庫沒被碰，這屬於系統被黑，處置見 公司官網或社媒賬號被黑怎麼辦。先把事件定性，後面的通報義務、對外口徑和取證重點才不會走偏。不確定就按較重的情形準備，這比事後被認定為隱瞞要安全得多。
發現當天的二十四小時：按順序做這六件事
第一，止血但不毀證。關掉泄露的鏈接、停用被盜賬號、重置相關密碼、把被入侵的設備斷網隔離。注意是「隔離」不是「格式化」：重裝系統、清空日誌會把你唯一能説明「泄露了多少、何時開始」的證據一併抹掉。第二，指定一個事件負責人。有數據保護官（DPO）的由DPO牽頭，沒有的由老闆指定一名能調動技術、客服和行政的人，所有對內對外信息只從這一個口出。
第三，把時間線寫下來。誰在什麼時候發現的、怎麼發現的、當時看到了什麼、之後採取了哪些措施，逐條帶時間記錄。通報文件裏最先被問的就是這條時間線。第四，保全證據。導出訪問日誌、登錄記錄、郵件轉發規則、網盤分享記錄、聊天截圖，另存到一個只讀的位置；如果涉及員工個人設備，先書面要求其不得刪除任何內容。
第五，初步清點。泄露的是哪張表、哪個系統、多少條記錄、包含哪些字段、涉及哪些人羣（客户、員工、供應商聯繫人）。先給出一個保守的估計，後面再修正。第六，暫時不對外定性。在弄清範圍之前，不要在社交媒體或客户羣裏説「沒有泄露」或「只是小問題」，也不要公開指認某個員工或前員工是內鬼——説錯了前者是誤導，後者可能反過來構成 網絡誹謗。這一天的目標只有三個：口子堵上、證據留住、範圍有數。
要不要通報NPC和當事人：三個判斷條件與通報裏要寫什麼
通報不是「出事就報」，也不是「能瞞就瞞」，而是看三個條件是否同時成立。一是泄露的數據屬於敏感個人信息，或者可能被用於身份冒用的信息（證件號、賬户、健康、財務、密碼等）；二是有理由相信這些數據已經被未經授權的人獲取；三是這種獲取很可能給當事人帶來嚴重的現實風險。三者同時成立，就落入強制通報範圍：要在NPC規定的時限內向NPC報告，並通知受影響的個人。這個時限很短，是從公司「知道或有理由相信」發生泄露的時點起算，不是從調查結束起算，具體以NPC當期規定為準。
通報文件通常要説明：事件的性質和經過、涉及的數據類型與大致人數、可能的後果、公司已經採取和準備採取的補救措施、以及當事人可以聯繫的負責人。調查沒做完也可以先報已知部分，後續補充，「信息不全」不是遲報的理由。向NPC的報告目前通過其線上系統提交，提交後要保存回執。
不確定是否達標怎麼辦？務實的做法是：把判斷過程寫成一份內部評估記錄，説明為什麼認為達到或未達到通報標準，由事件負責人簽字留檔。即使最終不通報，這份記錄也是日後被問起時證明公司認真評估過的依據。另外，如果公司是替別人處理數據的一方（比如外包客服、代運營），還要第一時間通知委託方，由對方判斷通報義務。涉及是否通報、怎麼措辭的決定，建議讓執業律師過目。
怎麼通知客户：説清楚四件事，不推責、不恐嚇、不承諾做不到的
給客户的通知要直接説清四件事：發生了什麼、涉及你的哪些信息、我們做了什麼、你現在該做什麼。不要寫成一篇公關稿，也不要把責任推給「不明黑客」了事。客户最在意的是自己該不該改密碼、該不該警惕冒充來電、證件信息外流後要注意什麼，通知裏要給出具體可執行的動作，比如更換密碼、留意冒充本公司要求轉賬的信息、任何付款要求都通過原有官方渠道回撥核實。
通知方式上，優先用客户原本留下的聯繫渠道逐一送達；人數很多或聯繫方式不全時，再輔以官網公告。通知裏不要再次暴露數據——羣發郵件時用密送，不要把所有客户地址列在收件欄；不要在通知裏附上「你的資料如下」的完整明細。同時準備一個專門的諮詢入口（一個郵箱或一條客服線），並給一線客服一份統一口徑，避免十個人説出十種版本。
語氣上，承認事實、説明措施、給出聯繫人，就夠了。不要承諾「絕不會再發生」，也不要承諾賠償方案中你還沒有決定的內容；不要威脅客户不得外傳。華人客户羣體往往互相認識，消息傳得很快，一份誠實且有用的通知比任何闢謠都更能穩住信任。如果泄露被詐騙團伙利用來冒充公司收款，另見 郵箱被盜、貨款被騙到假賬户的處置，並儘快按 網絡犯罪舉報流程 報案。
善後：報案、追責、保險與內部整改，各走各的線
數據泄露的善後分四條線，互不替代。第一條是刑事線：如果泄露來自入侵、盜號或內部人員非法拷貝，可以向警方或國家調查局的網絡犯罪部門報案，帶上時間線和已保全的日誌。報案的作用一是啓動調查，二是留下官方記錄，日後面對客户索賠或監管詢問時能説明公司是受害方之一併已採取行動。
第二條是內部追責線：如果源頭是在職或離職員工，處理要走勞動法要求的正當程序——書面通知、給予説明機會、再作決定，不能一怒之下當場開除或公開點名。證據和程序的順序可參考 發現員工偷東西的處理順序，邏輯相同。第三條是合同與保險線：翻一翻與客户、平台、外包商的合同裏有沒有數據安全條款和通知義務；如果公司買過網絡安全或責任類保險，按保單要求的時限報險。
第四條是整改線，也是監管最看重的一條：改掉導致泄露的那個具體原因（權限過寬、共享鏈接公開、離職賬號未回收、設備未加密），並形成書面的整改記錄。設備丟失導致的泄露，具體動作見 裝着公司資料的電腦被偷怎麼處理。監管和客户都能接受「出過事」，不能接受「出了事什麼都沒改」。涉及賠償談判、監管問詢答覆和勞動處分的環節，個案請諮詢執業律師。
事後把制度補上：最低限度的五樣東西，以及易行能做什麼
經歷過一次泄露的公司，最值得補的不是昂貴的安全產品，而是五樣基礎的東西。一是一張數據清單：公司到底收了哪些個人數據、放在哪、誰能看。很多公司是出事後才發現客户護照掃描件散落在三個員工的個人網盤裏。二是權限與離職回收：按崗位給最小權限，員工離職當天回收所有賬號。三是一份一頁紙的事件響應流程：發現泄露找誰、誰有權決定通報、對外誰説話。
四是數據保護官與登記義務：確認公司是否需要指定DPO、是否落入NPC的登記範圍，並把聯繫人信息保持更新。五是員工的基本訓練：不用個人郵箱傳客户資料、不點來歷不明的鏈接、發羣前看清收件人。這些做法與日常的打卡、監控等處理一樣受數據隱私法約束，邊界見 指紋與人臉打卡的隱私要求。
易行國際旅行社（SEC 註冊號 CS202009551，菲律賓移民局認證代辦 CA-202624381-1）為在菲中資企業提供 合規託管服務：協助梳理數據清單與內部制度文件、準備對監管的登記與報送材料、在事件發生後整理時間線和通報所需的文件，並協調對接執業律師與技術取證人員。我們不是律師事務所，也不是網絡安全公司，不替代兩者的專業判斷；我們做的是讓老闆在最亂的那幾天有人統籌文件和節奏。個案請諮詢執業律師，本文不構成法律意見。