拿到通知先看清：是投訴、問詢，還是主動調查
收到國家隱私委員會（NPC）的來函，先確認它是個人投訴立案、要求提供資料的問詢，還是委員會主動發起的調查或合規檢查。三者的程序和你要交的東西不一樣，但共同點是：期限以來函寫明的為準，不能拖。
把來函的關鍵信息摘出來：來函編號、涉及的公司名稱是否正確、投訴人是誰（員工、前員工、客户還是第三方）、被指控的處理行為是什麼（未經同意收集、超範圍使用、泄露、拒絕查閲或刪除請求、監控過度等）、要求公司做什麼（書面答覆、提交文件、出席調解或會議）、回覆期限和方式。期限從哪天起算按來函説明，拿不準就書面向發函部門確認。
同時核實來函真偽：通過委員會公開的官方聯繫方式回查，不要只看來函上留的電話或郵箱。冒充監管機構要求「先交罰款」「提供全部客户資料」的詐騙並不少見，真實的程序不會要求你把錢轉到個人賬户。確認是真的之後，當天把來函交給公司的數據保護官（DPO）和管理層，指定一個人負責全程跟進，避免多人各自回覆、説法不一。
第二步：凍結證據，把這件事的來龍去脈還原出來
在動筆答覆之前，先把與投訴有關的資料和記錄凍結住，不刪、不改、不補簽。事後倒簽或刪除記錄，會把一個可以解釋的合規瑕疵變成誠信問題。
需要還原的通常包括：投訴人這份個人資料是什麼時候、為什麼、通過什麼渠道收集的；當時給過什麼隱私告知，有沒有簽收或勾選記錄；資料存在哪個系統、誰有權限訪問、有沒有訪問日誌；資料有沒有交給第三方處理，有沒有書面處理協議；投訴人之前有沒有向公司提出過查閲、更正、刪除等請求，公司當時是怎麼回的。很多投訴的起點，就是公司對一封查閲或刪除請求沒理睬。
如果投訴涉及資料泄露，泄露本身的止血、評估和通報是另一條線，按 客户數據泄露怎麼處理 的順序做，不要等答覆寫完再處理泄露；設備丟失引起的，見 裝着公司資料的電腦或手機丟了怎麼辦。公司本來應當具備的那套隱私制度文件，清單見 菲律賓數據隱私法對企業的基本要求，這次正好用來對照查缺。
書面答覆怎麼寫：回應指控、拿出文件、説明整改
答覆的重點不是辯論法律，而是逐條回應被指控的事實，並用文件證明公司做過什麼、正在補什麼。拿不出文件，幾乎是這類程序裏最常見的失分原因。
建議結構：開頭寫明公司全稱、來函編號和答覆人身份；逐條回應投訴中的每一項事實，承認確實存在的問題，澄清不準確的部分；附上能證明公司立場的文件，例如隱私告知書及簽收記錄、DPO 任命文件、權限與訪問記錄、保存期限政策、與第三方的處理協議、對投訴人此前請求的回覆記錄；説明已經採取或將要採取的整改措施和時間安排；最後表示願意配合後續程序。
不要做的事：不要編造當時並不存在的制度或流程；不要在答覆裏攻擊投訴人的人品或動機，尤其投訴人是前員工時；不要附上與本案無關的其他人的個人資料，否則答覆本身就可能構成新的違規；不要承諾做不到的整改日期。答覆由公司授權的人簽署，涉及刑事責任、民事索賠或同時存在勞動爭議的，先請執業律師審閲再提交。
調解與會議：能不能和解、和解要寫什麼
隱私投訴常常有調解或協商的環節，能以合理方式滿足投訴人的正當訴求，往往比走完全部程序更省事。是否進入調解、調解怎麼進行，以委員會當期程序和通知為準。
投訴人的訴求通常是幾類：要求查閲或取得自己的資料；要求更正或刪除；要求停止某種處理，例如停止營銷信息、停止某種監控；要求道歉或説明；要求賠償。前幾類往往是公司本來就有義務配合的，越早配合，越能體現公司的誠意。涉及賠償的，要評估事實和證據，不要為了快速結案而承認不存在的事實。
如果達成和解，書面寫清楚：公司具體做了什麼（例如已刪除哪些資料、已停止哪類處理）、完成時間、雙方對後續程序的安排。和解不等於不用整改，委員會在個案中仍可能就公司的合規缺陷提出要求。與前員工的隱私投訴常常和勞動爭議交織在一起，兩條線的説法必須一致，勞動爭議側的常見失分見 勞工仲裁裏僱主最常輸的情形。
可能的結果：駁回、整改要求、處罰，以及之後要交什麼
程序的結果可能是駁回投訴、要求公司整改並提交證明、或者在認定違規時作出處罰或移送其他程序。具體結果、處罰標準以委員會當期規則和個案決定為準，本文不寫金額。
如果委員會要求整改，通常會要求公司在一定期限內完成某些事項並提交證明，例如任命或更新 DPO、完善隱私告知、建立資料保存與銷燬政策、補簽第三方處理協議、對員工進行培訓、修正某種監控做法。期限按決定書寫明的執行，按時提交證明文件比口頭承諾有用得多。員工監控類的常見問題，例如指紋或人臉打卡、攝像頭、工作電腦監控，可以對照 指紋與人臉打卡的隱私要求 一併整改。
對決定不服的，是否以及如何尋求複議或上訴，要在規定期限內由律師評估。另外要留意：投訴人可能同時或之後向法院提起民事索賠，或者就同一事實向其他機關投訴，所以本程序中提交的每一份文件，都要按會被再次審視的標準來準備。
避免下一次投訴，以及易行能做什麼
大部分隱私投訴的根源，是員工或客户的一封請求沒人回，或者一種處理方式從來沒告知過對方。把這兩個口子堵上，投訴會少很多。
幾項最划算的做法：設一個對外公開的隱私聯繫渠道，指定 DPO 或專人在合理時間內回覆查閲、更正、刪除請求，並留下回復記錄；員工入職、客户簽約時給出清楚的隱私告知並留存簽收；離職員工的資料按保存期限處理，不要無限期保留，也不要在離職糾紛中拿員工資料做文章；營銷信息提供退訂方式並真正執行；對外包商、系統服務商簽書面處理協議。員工操作失誤導致資料發錯對象之類的事件，除了隱私這條線，內部處理方式見 員工失誤造成公司損失怎麼處理。
易行可以協助：整理來函要求的文件清單、協調公司內部還原事實、梳理隱私告知與員工手冊、DPO 任命與登記相關事項、對接專業律師，以及把隱私合規納入公司的年度合規日曆，相關服務見 合規託管服務。公司其他監管來函的處理思路，例如 SEC 的説明要求，見 收到 SEC show cause 怎麼回覆。易行為 SEC 註冊公司（註冊號 CS202009551），與國家隱私委員會無隸屬關係，不能代替你決定程序結果。個案請諮詢執業律師，本文不構成法律意見。