EDPB发布数据泄露通知模板,跨国企业GDPR通报负担有望减轻2026 年 6 月 8 日，欧洲数据保护委员会（EDPB）通过《2026 年个人数据泄露通知模板》（Template [2026] for Personal Data Breach Notification，1.0 版），并于 6 月 10 日对外发布，同步启动公开咨询。统一模板旨在使 GDPR 合规更容易，并加强欧洲范围内的一致性。
一、发布背景
GDPR第 33 条要求数据控制者在知悉个人数据泄露后无不当迟延地通知监管机构，可行情况下不得迟于 72 小时。长期以来，各成员国数据保护机构（DPA）使用各自的通报表单，跨国经营的企业需按不同格式重复填报，合规成本与口径差异问题突出。统一模板是 EDPB 落实《赫尔辛基声明》中简化 GDPR 合规、增强执法一致性承诺的具体举措，也与欧盟委员会 2025 年 11 月 19 日提出的《数字综合法案》（Digital Omnibus）提案中设置统一通报模板的思路相互衔接。发布模板的同次全体会议期间，EDPB 还与欧盟委员会民主、司法、法治与消费者保护事务委员迈克尔·麦格拉思（Michael McGrath）举行会谈，重申欢迎该提案中的多项简化安排，但不应修改个人数据的定义。EDPB 主席阿努·塔卢斯（Anu Talus）表示，EDPB 支持简化，但绝不以基本权利为代价。二、主要内容
（一）整体结构
第二部分为控制者与申报人身份，涵盖组织名称与标识、所属部门与经济活动分类、申报人职能、数据保护官（DPO）或其他联络点，以及处理者、共同控制者等相关方信息。第三部分为泄露初始信息，包括发生与发现的日期时间、发现途径、泄露性质与情形、受影响数据主体和数据记录的类别与数量、泄露发生时已有的安全措施。第四部分为进一步信息，覆盖可能后果、对数据主体影响的性质与严重程度、控制者的风险评估结论以及补救与预防措施。第六部分为其他事项，包括是否已向司法机关或其他监管机构报告、跨境处理与域外处理。（二）填报机制
模板的每个字段均标注预设选项、填写提示、是否必填及条件显示逻辑，多数信息以勾选方式完成。一是支持先报后补，通知分为完整与不完整两类，控制者可先提交不完整通知，再以后续通知补全、修正或撤回，多个待确定选项仅对不完整通知开放，与 GDPR 第 33 条第 4 款分阶段提供信息的安排相对应；控制者知悉泄露已超过 72 小时的，表单将自动要求说明迟延通知的理由。二是情形高度结构化，泄露性质按保密性、完整性、可用性三分，事件情形预设勒索软件、网络钓鱼、邮件错发、系统配置错误、设备遗失等 20 余种常见类型，受影响数据预设基础信息、健康数据、生物识别数据、支付方式、用户凭证等约 20 个类别，泄露原因按内部或外部、恶意或非恶意组合划分。三是评估结论留痕，控制者须自评影响严重程度（轻微、中等、严重）并给出风险评估结论，结论分为高风险、有风险但未达高风险、不太可能产生风险等档位，向数据主体通报部分内置第 34 条第 3 款的三项豁免情形供援引说明。（三）跨境与域外安排
设立于欧洲经济区（EEA）内的控制者，若泄露涉及跨境处理，须指明主导监管机构，列出设有营业所的国家、受影响数据主体所在国及各国大致人数，并从覆盖全部 EEA 的监管机构名录中勾选已通知或拟通知的对象。设立于 EEA 之外但其处理活动受 GDPR 管辖的控制者另设专节填报，且须提供其在 EEA 境内代表的名称与联系方式。三、后续步骤
模板文本载明，本版系为公开咨询而通过。咨询自 2026 年 6 月 10 日开始，截止日期为 2026 年 8 月 5 日，各方可就模板内容提交意见。咨询结束后，EDPB 将决定全体 DPA 实际启用该模板的时间表。四、总体评价
该模板只统一通报的形式与载体，GDPR 第 33 条的实体义务并未改变，泄露是否须报、何时报的判断仍由企业自行作出。其价值主要在程序层面：通报格式归一后，在多个成员国运营的企业可明显减少重复劳动，监管机构之间的案件比对与协作也更为顺畅，预设选项与填写提示对缺少专职 DPO 或法务资源的中小组织尤为友好。对在欧开展业务的我国企业而言，域外控制者专节意味着即便未在 EEA 设立机构，只要处理活动落入 GDPR 适用范围，未来也将按此模板向监管机构通报，可提前对照字段清单完善事件响应流程与记录留存。模板尚处咨询阶段，最终文本与启用时间均存在变数，相关企业可在 8 月 5 日前提交意见。
夜雨聆风