发现客户数据被爬走了，内部讨论一整天，结论是「影响不大，先不声张」——这个决定本身就可能违法。个人信息泄露通知义务在个人信息保护法第五十七条写得明确：发生或者可能发生泄露、篡改、丢失，应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人——注意是双通知，不是报一家完事；通知内容有三项法定要素；免于通知个人的口子开得很窄，且监管部门可以反过来要求你通知。本文把第五十七条逐款拆开，给企业一张事件响应清单，也给用户一套发现信息被泄露后的主张路径。
先看这三个要点
- 触发线很低：可能发生泄露即触发——不需要确认已泄露、不需要评估完毕，补救与通知的义务同时启动。
- 双通知＋三要素：既要报监管部门，又要通知个人；通知要写清泄露种类原因与危害、已采取与个人可采取的措施、联系方式。
- 免通知是例外：只有措施能够有效避免危害时才可不通知个人；监管部门认为可能造成危害的，有权要求补通知——最终解释权不在企业。
一、条文原文
- 《中华人民共和国个人信息保护法》第五十七条
- 发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包括下列事项：
- （一）发生或者可能发生个人信息泄露、篡改、丢失的信息种类、原因和可能造成的危害；
- （二）个人信息处理者采取的补救措施和个人可以采取的减轻危害的措施；
- （三）个人信息处理者的联系方式。
- 个人信息处理者采取措施能够有效避免信息泄露、篡改、丢失造成危害的，个人信息处理者可以不通知个人；履行个人信息保护职责的部门认为可能造成危害的，有权要求个人信息处理者通知个人。
二、事件响应义务对照
| 要件 | 条文要求 | 实务要点 |
|---|---|---|
| 触发条件 | 发生或可能发生泄露、篡改、丢失 | 漏洞报告、异常访问、员工误操作均可触发，不必等实锤 |
| 补救措施 | 立即采取 | 断链、改权限、密钥轮换、留存现场证据同步进行 |
| 通知对象 | 履行个人信息保护职责的部门和个人 | 双通知并行，不是先报部门看口径再决定是否通知用户 |
| 通知内容 | 三项法定要素 | 种类原因危害＋双方措施＋联系方式，缺项即不合格 |
| 免通知个人 | 措施能够有效避免危害 | 「有效避免」举证责任在企业；口头自信不算 |
| 部门要求 | 监管部门认为可能造成危害的有权要求通知 | 被要求通知的必须执行，拖延构成新违规 |
三、逐款拆解：三个易错点
易错点一：「可能发生」三个字的分量。本款的触发线放在「可能」，意味着风险预警阶段义务就已启动：安全公司通报你的库在暗网出售、白帽子报告了漏洞、内部发现异常导出——这些情形下，「先查清楚再决定报不报」的拖延方案不可取，应当边补救边按流程报告。把触发线理解成「实锤泄露才报」，是事件响应里最贵的一种误读。
易错点二：双通知的顺序与内容。对监管部门和个人都要通知，且内容法定三项：泄露信息的种类（哪些字段、涉及多少人）、原因（攻击、误操作、第三方失守）、可能造成的危害；补救措施与个人可以采取的减轻危害的措施（改密码、防诈骗提醒、冻结账户）；联系方式。给用户的通知不能是「系统升级完毕」式的含糊话术——写不清种类与危害的通知，等于没通知。
易错点三：免通知例外的窄口。第二款的免通知有两个前置：措施能够有效避免危害＋由此不通知。判断权表面上在企业，实际监督权在监管部门——部门认为可能造成危害的，有权要求通知个人，企业必须补。实操上，「密码已全部重置且泄露数据为加密态无法还原」这类有技术证据支撑的情形才谈得上「有效避免」；「估计没什么人看」的侥幸判断，赌输的代价是第六十六条的处罚与第六十九条的赔偿叠加。
四、边界与误区
- 误区一：「通知了 = 免责」。补救与通知是止损义务，不替代损害赔偿责任——造成个人权益损害的，按第六十九条过错推定担责；情节严重的还有行政罚款。
- 误区二：「只有大型平台需要这套流程」。第五十七条适用于一切个人信息处理者，小商家的客户名单泄露同样要补救与通知；规模只影响方案繁简，不影响义务本身。
- 误区三：「用户自己密码太弱，责任自负」。原因只是定责考量因素之一；处理者不能证明自己没有过错的，仍要承担损害赔偿等侵权责任。
- 不适用：内部测试数据未涉及自然人真实信息的「泄露」；国家机关处理个人信息的事件处置除本条外另有其上级机关与处分机制（第六十八条）。
五、延伸问答
问：发现泄露后先内部排查几天再报，行不行？ 义务是「立即」补救＋通知，排查不能成为暂停义务的理由。合理顺序是边控制边报告：先断链止损、留存证据，同步启动双通知；「查清再报」的空窗期，在监管评价里往往是扣分最重的一段。
问：通知个人可以用站内信吗？ 渠道要让用户实际知悉：受影响的用户已无法登录（封号、停服）的，站内信等于没发；此时要用短信、电话、公告等外部可及渠道。判断标准是通知的到达效果，不是发出动作。
问：只泄露了加密数据，密钥没泄，要不要通知个人？ 这是「有效避免危害」论证的典型场景：加密强度充分、密钥未失守、泄露数据无法还原的，可以主张免通知个人——但要把技术论证写成书面结论留档，且仍要通知监管部门；监管有不同意见的，按要求补通知。
问：第三方供应商泄露的，谁来通知？ 委托处理链条上，处理者对个人与监管部门的通知义务不因「是供应商的锅」而转移（第二十一条的委托关系里处理者负责对外）；对内再依委托合同向受托人追责，两条线分开走。
问：用户收到「您的信息可能被泄露」的通知，该做什么？ 按通知里的指引操作（改密码、开启验证、警惕诈骗），并核验通知是否包含三项法定要素；缺失种类、原因、危害描述的通知，可以追问平台并留证——这些细节在后续索赔里都有分量。
问：监管部门已处罚，还要继续通知用户吗？ 行政处罚与通知义务并行不悖；处罚针对的是过去行为的责任，通知解决的是未来危害的止损，被处罚后按要求补通知的，仍是义务履行，不是可选择的态度问题。
问：五十七条的通知和影响评估、应急预案是什么关系？ 三件套联动：第五十一条第五项的应急预案是事前准备，第五十五条的影响评估覆盖处理活动风险，第五十七条是事发时的执行动作。预案做得实，事件响应就是「按剧本跑」；没有预案的企业，事发时的每个决定都在裸奔。
问：报告监管部门后会有什么后果？ 报告本身是履行义务，不等于自认违法受罚；监管关注的是后续补救是否到位、通知是否合规。隐瞒不报被事后发现的，性质从「事件处置」升级为「义务违反」，处理天差地别——报比不报的后果轻得多。
问：通知用户的文案要「认错」吗？ 通知的核心是三项法定要素的事实陈述；是否构成法律意义上的过错承认，要看具体表述。稳妥写法是客观描述发生了什么、做了什么、用户该做什么，避免主观定性；但绝不能写成回避事实的公关稿——要素缺失本身就是违规。
问：泄露涉及多种信息、多批用户，通知要分类吗？ 要。不同信息种类的危害与用户应对不同（密码类改密、证件类防冒用、支付类冻结），按受影响信息分类通知，用户才能采取对应的减轻措施；一条模板打天下，等于没履行「个人可以采取的措施」这一项。
问：免通知个人的决定被监管推翻了，怎么办？ 立即按要求补通知，并保存监管要求文件与补通知记录；此前的书面论证不影响义务履行，但能反映企业的善意与流程完整性。对抗或拖延，只会把一次技术判断分歧变成责任事件。
问：小企业没有安全团队，出了泄露怎么办？ 义务不因规模打折：立即补救可以借助外部安全服务商，通知按三要素执行；更重要的是把第五十一条的基础措施（哪怕简化版）先建起来——多数中小企业的泄露，源自连基础访问控制都没有。
问：补通知用户时，之前的沉默要解释吗？ 要。补通知文案应说明此前未通知的原因与现在的判断变化，遮掩式补发只会加深不信任；把「为何现在才通知」写清楚，是修复义务也是证据意识。
问：泄露事件后用户集体投诉，监管会怎么查？ 查的重点：触发是否及时报告、补救是否真实有效、通知是否合规完整、基础安全措施（第五十一条）是否具备。事件是审查的入口，查的常是整个合规体系——平时欠的账，这时一起算。
六、实操建议：事件响应用清单跑
企业侧：把响应做成本手而非急智——预案先行（对应第五十一条第五项），触发即启动：第一步断链补救并留存证据；第二步同步报监管部门与发用户通知，通知模板按三项法定要素预制；第三步对「免通知」决定做书面论证留档，接受监管复核。
用户侧：发现账户异常登录、收到陌生精准骚扰时，书面要求平台说明是否发生泄露及其种类原因——这直接对应第五十七条通知内容；平台答复含糊的，向网信部门投诉；因泄露遭受诈骗等损失的，按第六十九条主张赔偿，通知义务是否履行、通知是否合规，都是过错判断的关键证据。
站内《个人信息泄露怎么索赔：因果关系举证与赔偿数额的确定》《网络平台泄露用户数据，要担责吗》《个人信息被平台泄露，可以索赔吗？》对索赔路径有专文，可对照使用。
一句话总结：泄露事件的法定动作是「立即补救＋双通知＋三要素」，免通知个人只在「能有效避免危害」时成立且随时可被监管部门推翻——把通知当公关问题处理，是合规上最贵的错误。
以上内容为一般性法律知识介绍，不构成正式法律意见。具体案件请结合事件情况与证据，咨询执业律师后主张。