数据泄露时，倒计时开始：GDPR是72小时，91/2025号法律要求及时通报。数据保护负责人（DPO）是按着秒表的人——这就是他的手册。
DPO是谁、做什么
DPO（数据保护官）按GDPR是独立的合规监督者：提供义务咨询、监督影响评估（DPIA）、做监管机关和数据主体的对接人。法律保护DPO不因履职被解雇/处分。
按91/2025号法律，组织须指定个人数据保护部门/专员——角色类似：受理数据主体请求、配合主管机关、监督内部合规。名称不同，职能是一个：组织里对数据负责的人。
何时须设DPO/负责人
- GDPR：三种情形强制——公权力机关；核心活动是大规模监控；大规模处理特殊类别（健康、生物识别）或犯罪数据。
- 91/2025号法律：指定要求更宽——处理个人数据的组织须有保护部门/专员；门槛和标准细则见第356/2025号议定。
- 实务建议：即使不确定是否强制，处理大规模客户/人事数据的企业应早指定——出事时“没有DPO”不是借口而是不利情节。
事件响应手册：六步
第一步——发现（第0小时）：监控系统+内部报告渠道（员工发现泄露找谁？）。DPO立即被通知。
第二步——遏制（0–4小时）：隔离被侵系统、收回访问权，保全数字现场（日志）供取证——别急着“打扫”再报告。
第三步——评估（4–24小时）：什么数据泄露、多少主体、多敏感、风险（诈骗、勒索）。DPO决定要不要通报。
第四步——通报（72小时内）：按91/2025号法律报主管机关；（涉欧盟境内个人数据）按GDPR在72小时内报欧盟监管机关；高风险时通报数据主体——清楚、不隐瞒。
第五步——补救：堵漏洞、重置凭证、帮受影响主体（信用监控、防诈提醒）。
第六步——复盘：事后报告，更新影响评估和流程——档案留全，主管机关会来问。
违规通报的内容
给主管机关和数据主体的通报须包括：
- 性质：发生了什么、何时发现。
- 受影响数据的类型和规模（估计主体数）。
- 对数据主体可能的后果。
- 已采取和将采取的遏制补救措施。
- 对接人：DPO/负责人——姓名、邮箱、电话。
原则：诚实、完整、及时——隐瞒或虚假报告罚得更重，信任丢了找不回来。
处理事件的经典错误
- 瞒：“没人知道就没事”——被发现时（一定会被发现），罚款加倍、声誉危机加倍。
- 报得太晚：超72小时（GDPR）或拖延（91/2025号法律）又无正当理由=多违反一项义务。
- 没有DPO：出事才找“谁负责”——混乱、迟缓、丢证据。
- 删日志：急着恢复系统删了日志——丢取证证据，被怀疑掩盖。
- 通报打官腔：“我们对事件深表遗憾”却不说什么数据泄露了——主体没法自保，机关认定不配合。
在事件发生前建能力
- 今天就指定DPO/负责人——有名字、有权限、有预算。
- 发书面的事件响应流程，传达到所有相关人员。
- 演练（桌面推演）至少每年一次——假设一个泄露场景跑完六步。
- 和处理方的合同：事件通报条款——处理方一发现须立即告诉控制者，不许瞒。
- 保险：考虑网络风险保险——事件成本（取证、律师、通报、赔偿）很大。
常见问题
DPO是什么？
数据保护负责人：GDPR下是独立的合规监督者（三种情形强制）；91/2025号法律下组织须指定数据保护部门/专员，角色类似。
数据泄露多久内须通报？
GDPR：72小时内报监管机关；91/2025号法律：向主管机关和主体通报（时限细则见第356/2025号议定）——宜按72小时标准建流程，两边都满足。
违规通报须有什么内容？
违规性质和时间、受影响数据的类型规模、可能的后果、已采取和将采取的措施、对接人（DPO）。
出事时没有DPO会怎样？
“没有DPO”不是借口而是不利情节——混乱、迟缓、丢证据；即使不确定是否强制也应早指定。
联系 FLAT Law Firm
FLAT Law Firm提供DPO建设与数据事件响应手册咨询（91/2025号法律与GDPR）：指定、六步流程、演练。请在事件发生前联系我们。
本文已通过 FLAW AI Legal Council 质量审核