欧盟数据泄露通知义务实操指南（0106）
Tina · 资深法务首席 · 2026-07-26
一、法律依据
GDPR 第33条（通知监管机构）和第34条（通知数据主体）规定了数据泄露后的强制通知义务。跨境电商卖家无论是作为数据控制者（Controller）还是数据处理者（Processor），均需建立数据泄露应急响应机制。
二、通知时间线
2.1 监管机构通知（GDPR Art. 33）
| 节点 | 时限 | 要求 |
|---|---|---|
| 发现泄露 | 0小时 | 立即启动内部评估 |
| 通知监管机构 | 72小时 | 从发现泄露时起算 |
| 初步通知 | 72小时内 | 如有延迟需说明理由 |
| 完整报告 | 后续补充 | 调查完成后提交完整报告 |
2.2 数据主体通知（GDPR Art. 34）
| 条件 | 动作 | 时限 |
|---|---|---|
| 可能对个人权利和自由产生高风险 | 必须通知数据主体 | 无延迟 |
| 已采取有效措施降低风险 | 可不通知 | 需记录决策 |
| 需过度努力（如联系方式丢失） | 可改为公开声明 | 同等时效 |
三、泄露类型分类
常见跨境电商数据泄露场景
买家数据泄露（最常见）：
- 原因：数据库被黑客入侵、内部员工窃取、第三方插件漏洞
- 影响：姓名+地址+电话+支付信息
- 风险评级：高
卖家账户泄露：
- 原因：弱密码、钓鱼攻击、API 密钥泄露
- 影响：店铺操作权限、资金信息
- 风险评级：中至高
员工数据泄露：
- 原因：HR 系统被攻破、文件错误共享
- 影响：身份信息、银行账户
- 风险评级：中
四、72小时响应清单
阶段一：发现与评估（0-6小时）
- 确认泄露事件是否真实发生
- 确定泄露数据类型和规模
- 评估是否涉及敏感数据（支付信息/身份证号/生物数据）
- 通知 DPO（数据保护官）或指定负责人
阶段二：紧急处置（6-24小时）
- 切断泄露源（关停受影响系统/重置密码/撤销 API 密钥）
- 保留取证数据（日志、镜像、时间戳）
- 初步确定受影响的数据主体范围
- 评估是否触发第34条的高风险通知义务
阶段三：正式通知（24-72小时）
- 确定主管监管机构（DPC / CNIL / BfDI 等）
- 编写通知材料：
- 泄露性质描述
- 数据类别和受影响人数
- 联络点信息（DPO 联系方式）
- 已采取或拟采取的措施
- 建议数据主体采取的保护措施
- 通过监管机构指定通道提交通知（各成员国线上系统不同）
阶段四：数据主体通知（如适用）
- 用清晰易懂的语言编写通知信
- 发送至受影响数据主体的联系方式
- 公开声明（如联系方式不可用）
五、罚则与风险
| 违规类型 | 最高罚款 |
|---|---|
| 未在72小时内通知监管机构 | €10,000,000 或全球年营收2%（取高者） |
| 未通知数据主体（当强制要求时） | €10,000,000 或全球年营收2%（取高者） |
| 未记录泄露事件 | €10,000,000 或全球年营收2%（取高者） |
六、合规储备建议
- 提前建立响应 SOP：不等泄露发生再写流程
- 指定责任人：明确 DPO 或应对第一联系人
- 购买网络保险：大多数网络保险包含数据泄露应对费用
- 保留日志：至少6个月的访问日志和操作日志
- 跨境传输：如数据涉及从欧盟向中国传输，需先评估是否已通过 SCC 或 BCR 机制
七、关联文档
- GDPR 卖家义务：
gdpr_eu_seller.md - 儿童隐私：
children_privacy_coppa.md - 数据出境安全评估：
data_export_security_assessment.md - CCPA 跨境：
ccpa_cross_border.md