一句话定义：数据安全事件是指数据遭到篡改、破坏、泄露或者非法获取、非法利用，已经发生或者可能发生的情形。法律对它的要求集中在四个动作上：立即处置、及时告知、按规定报告、留存记录。数据安全法第二十九条把前三个动作写成一句话——「发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告」；网络数据安全管理条例第十一条把报告和通知拆开细化，并对涉及危害国家安全、公共利益的情形加了一道二十四小时的时限。★实务中最容易踩空的是「告知用户」和「报告主管部门」这两件事被当成一件，实际上对象、内容、时限都不同。
本词条属于网络与数据栏目。企业出事之后最常见的两种反应都不对：一种是先内部查清楚再报，查了两周，报告时已经超过时限；另一种是立刻发公告，还没弄清楚泄露了什么就先向社会披露，结果被认定为信息不实。这两种反应的方向相反，问题相同：把「查清」和「报告」绑在一起。法律要求的顺序恰好相反：先报告已知情况，边处置边补充，而不是查清了再报。
构成要件
一、事件的形态：泄露、篡改、丢失，以及「可能发生」。
法律列举的形态有四种。数据安全法第二十九条用的是「数据安全缺陷、漏洞等风险」和「数据安全事件」两组词，前者是事件的前状态，后者是已发生的状态。网络数据安全管理条例第十一条用的是「发生网络数据安全事件」，并在第二款要求「对个人、组织合法权益造成危害的」时通知利害关系人。保护个人信息场景下，个人信息保护法第五十七条把形态写得更具体：「发生或者可能发生个人信息泄露、篡改、丢失的」。
「可能发生」这四个字很关键。个人信息保护法第五十七条把「可能发生」写进了触发条件，意思是只要存在现实风险，就可能触发通知义务，不必等到实际泄露。典型场景是配置错误导致存储桶一度公开、权限设置失误导致内部可访问范围扩大，数据可能尚未被下载，但风险已经现实存在。这类情形最容易漏报，因为技术上「没有证据证明被拿走」，管理上就当成没发生。
二、四个动作的顺序不能颠倒。
第一个动作是「立即处置」。数据安全法第二十九条用「立即」，网络数据安全管理条例第十一条用「立即启动预案，采取措施防止危害扩大，消除安全隐患」。处置的内容包括：切断泄露路径、封禁涉事账号、修补漏洞、隔离受影响系统、保全日志和现场。注意最后一项是保全而不是清理：很多企业第一反应是删日志、重装系统，这会把后续定责和举证的基础一起删掉。
第二个动作是「报告主管部门」。数据安全法第二十九条的表述是「按照规定及时……向有关主管部门报告」，「按照规定」说明报告的具体办法由主管部门规定，不同行业口径不同。网络数据安全管理条例第十一条的表述是「按照规定向有关主管部门报告」，并在第十条对另一种情形给了硬时限：「涉及危害国家安全、公共利益的，网络数据处理者还应当在24小时内向有关主管部门报告」。注意第十条讲的是「网络产品、服务存在安全缺陷、漏洞等风险」，属于隐患阶段；第十一条讲的是事件阶段。两个阶段两条时限，不要混用。
第三个动作是「告知用户或者利害关系人」。数据安全法第二十九条用的是「告知用户」，网络数据安全管理条例第十一条第二款用的是「通知利害关系人」，方式包括「电话、短信、即时通信工具、电子邮件或者公告」。个人信息保护法第五十七条用的是「通知……个人」，并要求通知包含三项内容：泄露、篡改、丢失的信息种类、原因和可能造成的危害；已采取的补救措施和个人可以采取的减轻危害的措施；处理者的联系方式。
第四个动作是「留痕」。法律没有单独写一条「留痕义务」，但留痕是前面三个动作能被证明的前提。需要留的东西包括：发现时间、发现途径、影响范围初判、处置措施及时间、报告时间与受理机关、通知对象与通知方式、后续整改。这些材料在检查、处罚、民事诉讼三个场景里都要用，而且三个场景关注点不同：检查看有没有按时报，处罚看有没有过失，民事诉讼看有没有尽到义务。
三、报告的两个层次：常规报告与二十四小时加急。
常规报告的依据是数据安全法第二十九条和条例第十一条，要求「及时」「按照规定」，没有给统一的小时数。这类报告的特点是「先报后补」：首次报告讲清已知情况，后续可以补充。实务中正确的做法是首次报告控制在发现后数小时内，内容允许不完整，但要写明「正在核查，将于某日补充」。
二十四小时加急的依据是条例第十条，触发条件是「涉及危害国家安全、公共利益」。这一条的原文是：「网络数据处理者提供的网络产品、服务应当符合相关国家标准的强制性要求；发现网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告；涉及危害国家安全、公共利益的，网络数据处理者还应当在24小时内向有关主管部门报告」。注意三个限定：一是主体是「网络数据处理者」，二是对象是「网络产品、服务」的缺陷漏洞，三是后果要件是「涉及危害国家安全、公共利益」。不满足第三个要件的不适用二十四小时，但也不等于可以慢慢报。
报告对象要选对。「有关主管部门」在不同情形下指向不同：网络数据安全由网信部门统筹协调，公安机关、国家安全机关在各自职责范围内承担监督管理职责，国家数据管理部门在具体承担数据管理工作中履行相应职责，行业主管部门负责本行业本领域。涉及个人信息泄露的，还要向履行个人信息保护职责的部门报告。实务中的稳妥做法是「主送加抄送」：主送本行业主管部门，抄送属地网信部门和公安机关，并在报告中写明「如不属贵部门职责，请依法移送」。
四、通知用户：什么必须通知，什么可以不通知。
必须通知的情形，法律给了两层。第一层是数据安全法第二十九条的「及时告知用户」，针对数据安全事件；第二层是个人信息保护法第五十七条的「通知……个人」，针对个人信息泄露、篡改、丢失。两层的共同点是「及时」，不同点在内容要求：个人信息保护法第五十七条明确列了三项必含内容，数据安全法没有列。
可以不通知的情形，只有一条法定豁免。个人信息保护法第五十七条第二款：「个人信息处理者采取措施能够有效避免信息泄露、篡改、丢失造成危害的，个人信息处理者可以不通知个人；履行个人信息保护职责的部门认为可能造成危害的，有权要求个人信息处理者通知个人」。注意这条豁免有三个限定：一是「采取措施能够有效避免危害」，不是「认为不会造成危害」；二是判断权最终在监管部门，部门认为可能造成危害的，仍可要求通知；三是豁免只针对「通知个人」，不豁免「报告部门」。
通知的写法要防两个风险。第一个风险是「说太少」：只说「部分数据可能受影响」，不说什么数据、可能造成什么危害，用户无法采取防护措施，这种通知在监管看来等于没通知。第二个风险是「说太多」：在事实未查清时宣布「全部数据泄露」，可能引发恐慌并构成不实信息。正确写法是「三段式」：已确认的事实、尚在核查的部分、用户可以立即采取的动作，并对「尚在核查」明确下一次更新时间。个人收到通知后要主张权利的，可参照个人信息侵权投诉函范本提交书面投诉，并可先用个人信息保护维权判定器判断属于哪一类情形。
五、三条线交叉：数据安全事件、网络安全事件、个人信息泄露。
这三条线在同一件事上经常同时触发，但依据、报告对象、义务内容都不同。
数据安全事件的依据是数据安全法和网络数据安全管理条例，关注的是「数据」这一客体，报告对象是网信、数据管理、行业主管部门。
网络安全事件的依据是网络安全法，关注的是「网络」这一客体，网络安全法第二十七条要求网络运营者制定应急预案，发生危害网络安全的事件时立即启动预案、采取补救措施，并按照规定向有关主管部门报告，报告对象偏公安和行业主管部门。注意网络安全法已于 2025 年 10 月 28 日修正、2026 年 1 月 1 日施行，原第二十五条改为第二十七条，原第五十九条罚则改为第六十一条，引用旧条号会被认为不专业。
个人信息泄露的依据是个人信息保护法，涉及个人信息本身的处理规则，见个人信息处理，关注的是「个人权益」，报告对象是履行个人信息保护职责的部门，同时要通知个人。
三条线的关系是「一次事件、三套动作」，不是「选一条走」。实务中的正确做法是做一张对照表：左列三个维度，右列分别填报告对象、时限、内容、留痕，出事时按表执行，不要临场判断。这张表也是检查时最容易被认可的材料，因为它证明企业有预案而不是临时应付。
法条依据
- 《中华人民共和国数据安全法》第二十九条开展数据处理活动应当加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。
- 《中华人民共和国数据安全法》第四十五条开展数据处理活动的组织、个人不履行本法第二十七条、第二十九条、第三十条规定的数据安全保护义务的，由有关主管部门责令改正，给予警告，可以并处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款。
- 《网络数据安全管理条例》第十条网络数据处理者提供的网络产品、服务应当符合相关国家标准的强制性要求；发现网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告；涉及危害国家安全、公共利益的，网络数据处理者还应当在24小时内向有关主管部门报告。
- 《网络数据安全管理条例》第十一条网络数据处理者应当建立健全网络数据安全事件应急预案，发生网络数据安全事件时，应当立即启动预案，采取措施防止危害扩大，消除安全隐患，并按照规定向有关主管部门报告。
- 网络数据安全事件对个人、组织合法权益造成危害的，网络数据处理者应当及时将安全事件和风险情况、危害后果、已经采取的补救措施等，以电话、短信、即时通信工具、电子邮件或者公告等方式通知利害关系人；法律、行政法规规定可以不通知的，从其规定。网络数据处理者在处置网络数据安全事件过程中发现涉嫌违法犯罪线索的，应当按照规定向公安机关、国家安全机关报案，并配合开展侦查、调查和处置工作。
- 《中华人民共和国个人信息保护法》第五十七条发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包括下列事项：
- （一）发生或者可能发生个人信息泄露、篡改、丢失的信息种类、原因和可能造成的危害；
- （二）个人信息处理者采取的补救措施和个人可以采取的减轻危害的措施；
- （三）个人信息处理者的联系方式。
- 个人信息处理者采取措施能够有效避免信息泄露、篡改、丢失造成危害的，个人信息处理者可以不通知个人；履行个人信息保护职责的部门认为可能造成危害的，有权要求个人信息处理者通知个人。
- 《中华人民共和国个人信息保护法》第六十六条违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。
- 有前款规定的违法行为，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。
- 《中华人民共和国网络安全法》第二十七条网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险；在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。
- 《中华人民共和国网络安全法》第六十一条网络运营者不履行本法第二十三条、第二十七条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告，可以处一万元以上五万元以下罚款；拒不改正或者导致危害网络安全等后果的，处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。
- 关键信息基础设施的运营者不履行本法第三十五条、第三十六条、第三十八条、第四十条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告，可以处五万元以上十万元以下罚款；拒不改正或者导致危害网络安全等后果的，处十万元以上一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。
- 有前两款行为，造成大量数据泄露、关键信息基础设施丧失局部功能等严重危害网络安全后果的，由有关主管部门处五十万元以上二百万元以下罚款，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款；造成关键信息基础设施丧失主要功能等特别严重危害网络安全后果的，处二百万元以上一千万元以下罚款，对直接负责的主管人员和其他直接责任人员处二十万元以上一百万元以下罚款。
与相邻概念的区别
第一，与网络安全事件的区别。两者的客体不同：数据安全事件针对「数据」，网络安全事件针对「网络」，即系统、设施、链路。同一次入侵可能同时构成两者：黑客入侵服务器（网络安全事件）并导出了客户名单（数据安全事件）。依据不同：前者走数据安全法和网络数据安全管理条例，后者走网络安全法。报告对象也不同：数据安全事件主送网信、数据管理、行业主管部门，网络安全事件偏公安和行业主管部门。判断方法就是问「受损的是数据还是系统」，两者都受损的，两条线都要走。
第二，与个人信息泄露通知的区别。个人信息泄露是数据安全事件的一种特例，区别在于「是否涉及个人信息」。涉及个人信息的，除了数据安全法上的报告义务，还叠加个人信息保护法第五十七条的通知个人义务，并且多了一项「可能发生」也触发。内容是三项法定事项，缺一项就是通知不完整。豁免规则也不同：个人信息保护法第五十七条第二款允许「采取措施能够有效避免危害」时不通知个人，数据安全法第二十九条没有对应的豁免条款。所以一次涉及个人信息的事件，通知个人的口径按个人信息保护法，报告部门的口径按数据安全法和条例，不能合并成一份文书。
第三，与生产安全事故报告的区别。两者的报告对象和逻辑完全不同。生产安全事故报告依据安全生产法，走应急管理体系，报告对象是应急管理部门，目的是救援与调查；数据安全事件报告走网信和行业主管部门，目的是风险控制与合规。同一次事故可能同时触发两者：机房火灾导致数据丢失，既是生产安全事故，也是数据安全事件。此时两套报告都要做，不能因为报了应急管理部门就认为数据安全事件的报告义务已履行。实务中最容易出错的地方就在这里：企业安全部门以为报了应急就完了，结果数据合规部门被单独处罚。
第四，与主动披露的区别。主动披露是企业的公关或者治理行为，不是法定义务，法律义务是「报告主管部门」和「通知利害关系人」。两者的区别在于对象和后果：报告和通知有法定对象、法定内容，做不好会被处罚；主动披露面向社会，做不好可能引发舆情或者被认定为不实陈述。正确的顺序是先履行法定报告和通知，再做对外披露，披露内容要与已报告的内容保持一致，不能对外说「影响有限」而对内报告说「涉及千万级用户」，两份口径不一致在调查阶段会被直接指出。
实操指引
第一步，发现后三十分钟内：控制现场、固定证据。动作包括：隔离受影响系统或者账号、暂停相关接口、保全日志（注意是复制不是删除）、记录发现时间和发现人。这一步的关键是不做两件错事：不重装系统、不清理日志。很多企业为了「尽快恢复」直接重装，恢复之后再也无法判断泄露范围和入口，后续报告只能写「情况不明」。
第二步，两小时内：成立处置小组，完成初判。小组成员至少要包括技术、法务、业务、公关四个角色，初判要回答四个问题：涉及哪些数据、涉及多少人、数据是否已被外传、是否涉及重要数据或者敏感个人信息。这四个问题的答案决定后面报什么、报给谁、要不要通知个人。初判结论要写成书面记录并注明「初步判断，待核查」，这份记录是后续免责的重要依据。
第三步，二十四小时内：完成首次报告。报告对象按「主送加抄送」处理：主送本行业主管部门，抄送属地网信部门和公安机关。报告内容按「五要素」写：事件基本情况、影响范围初判、已采取的措施、下一步安排、联系人。涉及危害国家安全、公共利益的，适用条例第十条的二十四小时时限，要在报告中明确写出这一判断。首次报告允许不完整，但要写明补充报告的时间。
第四步，七十二小时内：完成通知个人的方案并启动。方案要回答三件事：通知对象（全部还是分批）、通知方式（电话、短信、即时通信工具、电子邮件或者公告）、通知内容（按个人信息保护法第五十七条三项）。分批通知的排序建议按风险高低：敏感个人信息优先、资金账户类优先、其余按批次。通知文案要留存版本，每一版都记录发送时间、发送渠道、触达数量。
第五步，事后三十天：复盘、整改、补制度。复盘的重点不是追责，而是找出三个断点：发现环节为什么没早发现、处置环节为什么慢、报告环节为什么犹豫。整改要落到可验证的动作上：补监控规则、改权限配置、修订应急预案、做一次演练。制度和演练记录是下一次检查时最能加分的东西，企业合规体检可以参照企业合规体检全流程把这几项列成自查清单。
常见问题
不确定是不是「数据安全事件」，要不要报？
先报，再核。数据安全法第二十九条把「可能发生」的风险也纳入处置范围，个人信息保护法第五十七条更直接写了「发生或者可能发生」。判断上的稳妥口径是「三看」：看数据是否离开了原有的控制范围、看是否有未授权访问记录、看是否涉及敏感个人信息或者重要数据。三者命中任何一个，就按事件处理并报告。报错了的后果通常是被要求补充说明，不报的后果是「未履行报告义务」，两害相权，先报。
报告了会不会被处罚？
报告本身不构成处罚理由，反而可能构成从轻情节。处罚针对的是「不履行义务」，不是「发生事件」。数据安全法第四十五条的处罚前提是「不履行本法第二十七条、第二十九条、第三十条规定的数据安全保护义务」，网络数据安全管理条例第五十九条还专门规定，主动消除或者减轻违法行为危害后果、违法行为轻微并及时改正且没有造成危害后果、初次违法且危害后果轻微并及时改正的，依照行政处罚法的规定从轻、减轻或者不予行政处罚。所以正确的策略是「早报、实报、边报边改」，而不是「查清再说」。
只泄露了几条记录，要不要通知用户？
看数据的性质，不看条数。个人信息保护法第五十七条的触发条件是「发生或者可能发生个人信息泄露、篡改、丢失」，没有设数量门槛。几条敏感个人信息（比如病历、金融账户、行踪轨迹）的泄露，风险可能高于几万条普通信息。判断口径是「能不能识别到具体个人、泄露后会不会导致人格尊严受侵害或者人身财产安全受危害」。如果确实只有极少量的普通信息、且已采取措施能够有效避免危害，可以援引第五十七条第二款的豁免不通知个人，但报告部门的义务仍然存在。
通知用户的内容能不能含糊一点，避免恐慌？
不能含糊，但可以分阶段。个人信息保护法第五十七条列了三项必含内容，缺一项就是通知不完整：信息种类、原因和可能造成的危害；已采取的补救措施和个人可以采取的减轻危害的措施；处理者的联系方式。「避免恐慌」不是省略法定内容的理由。可行的做法是分阶段通知：首次通知讲清已确认事实和用户可以立即做的动作（改密码、冻结账户、警惕诈骗电话），并说明后续会更新；核查有结论后再发补充通知。两次通知都要留存版本。
客户要求不要报，能不能不报？
不能。报告义务是法定义务，不因客户要求而免除。数据安全法第二十九条、网络数据安全管理条例第十一条、个人信息保护法第五十七条的义务主体都是数据处理者本人，不是客户。客户要求不报的，正确做法是书面回复说明法律义务，同时把客户的意见记录在案。如果客户是数据来源方，可以与其协商由谁主报、谁配合，但不能协商「不报」。反过来，如果企业是受托处理方，应当立即通知委托方，由委托方履行报告义务，受托方配合并提供必要信息。
报告后又被媒体曝光，责任会加重吗？
责任看的是履行义务的情况，不是舆情大小；但舆情会影响执法尺度。法律上的责任基础是「有没有按规定处置、报告、通知」，不是「有没有上热搜」。不过实务中，造成严重社会影响的事件往往被认定为「情节严重」或者「造成严重后果」，从而适用更高的罚款档次。比如个人信息保护法第六十六条第二款对「情节严重」的，处五千万元以下或者上一年度营业额百分之五以下罚款。所以舆情管理的正确位置是「把已履行的义务讲清楚」，而不是「压热度」，压热度被查实反而可能被认定为妨碍调查。
内部员工误操作导致数据外发，要不要报？
要报，员工误操作不改变事件性质。数据安全法第二十九条的触发条件是「发生数据安全事件」，没有区分原因。员工误操作、配置错误、第三方服务商失误，都属于事件。是否报告与是否追责是两件事：报告是企业的义务，追责是企业的内部管理。实务中还有一个连带问题：如果误操作涉及个人信息，还要按个人信息保护法第五十七条通知个人；如果涉及重要数据，还要判断是否触发条例第十条的二十四小时报告。内部处理完毕不能替代对外报告。
法条核对日期：2026 年 10 月 27 日。
★版本提示：《中华人民共和国网络安全法》已于 2025 年 10 月 28 日修正，自 2026 年 1 月 1 日起施行，条号整体后移——原第二十五条网络安全事件应急预案改为第二十七条，原第五十九条罚则改为第六十一条，本站另存有 2016 年版法规页（路径含 20161107），对照阅读时注意区分，正式引用一律以现行版本为准。《中华人民共和国数据安全法》为 2021 年 6 月 10 日公布、2021 年 9 月 1 日施行；《网络数据安全管理条例》为 2024 年 9 月 24 日公布、2025 年 1 月 1 日施行；《中华人民共和国个人信息保护法》为 2021 年 8 月 20 日公布、2021 年 11 月 1 日施行。
★缺口提示：本词条涉及但本地法规库未收录的规范性文件包括《国家网络安全事件应急预案》、《公共互联网网络安全突发事件应急预案》、《网络安全事件报告管理办法》、《数据安全事件应急预案》以及各行业主管部门发布的数据安全事件报告规则。上述文件只在正文中提及名称，不引条号、不复述条文内容，引用时应当写明文件全称与发布机关。各类事件的「级」如何划分、报告时限的具体小时数，均由上述预案和办法规定，本词条不代拟具体数字。
★口径提示：① 二十四小时时限的适用条件是「涉及危害国家安全、公共利益」，且针对的是网络产品、服务的缺陷漏洞，不是所有数据安全事件都适用。② 「告知用户」与「通知个人」在不同法律中表述不同，义务主体和内容要求也不同，不能合并处理。③ 个人信息保护法第五十七条第二款的豁免只针对「通知个人」，不豁免「报告部门」。④ 报告义务不因客户要求、内部追责、舆情考虑而免除。