夜雨聆风一、背景：赫尔辛基声明与统一通知模板的到来
2025年7月1日至2日，欧洲数据保护委员会（European Data Protection Board，下称EDPB）在芬兰赫尔辛基召开了高级别会议，并通过了《关于增进清晰度、支持与参与的赫尔辛基声明》（The Helsinki Statement on enhanced clarity, support and engagement，下称《赫尔辛基声明》）。声明提出一系列简化《通用数据保护条例》（General Data Protection Regulation，下称GDPR）合规的举措，重点照顾微型、小型和中型组织（micro, small and medium organisations）的合规负担，同时强化欧盟范围内的执法一致性，以及与非数据保护监管机构之间的跨部门协作。
EDPB主席Anu Talus在声明中明确提到，EDPB将通过"贴近实务、可即取即用的资源"——例如统一的数据泄漏通知模板（a common data breach notification template）、检查清单、操作指南和常见问题（FAQ）——帮助各类组织更顺畅地完成GDPR合规。
落到这次的主角：2026年6月10日，EDPB在全体会议上正式通过了统一的数据泄漏通知模板（Template for personal data breach notification）。该模板的作用，是为整个欧洲经济区（EEA）提供一份各成员国数据保护监管机构（Data Protection Authority，下称DPA）共同认可的标准格式，目标是替代此前各国DPA各自维护的、字段和形式各异的本地通知模板，让跨境运营的控制者（controller）和处理者（processor）可以用同一套结构化字段，一次性满足多国的Article 33通知要求。
模板的引入并非另立新规，而是把GDPR第33条、第34条原本就要求的内容固化为一份共通表单。结合赫尔辛基声明的整体方向，新模板与EDPB此前发布的两份关键指南——《关于个人数据泄漏通知的指南9/2022》（Guidelines 9/2022 on personal data breach notification under GDPR，下称Guidelines 9/2022）以及《关于个人数据泄漏通知示例的指南01/2021》（Guidelines 01/2021 on Examples regarding Personal Data Breach Notification，下称Guidelines 01/2021）——构成"原则—示例—工具"三件套。EDPB还在2025年3月发布了一份5页的精简手册《Personal data breaches – what to do》，把上述两份指南的核心内容浓缩为面向一般受众的速查指引。
借着新模板落地的契机，本文按照"时效—两道判断题—向个人沟通的内容—示例"的顺序，把GDPR下的数据泄漏义务体系串讲一次。
二、回顾GDPR下数据泄漏的通知时效
2.1 个人数据泄漏的定义
在谈时效之前，先把对象厘清。GDPR第4(12)条把个人数据泄漏（personal data breach）定义为：导致已传输、已存储或以其他方式处理的个人数据被意外或非法地销毁、丢失、变更，或者被未经授权地披露或访问的安全事件。Guidelines 9/2022沿用了第29条工作组（WP29）2014年第03号意见的分类方式，将其细分为三类：
- 保密性泄漏
（Confidentiality breach）：未经授权地披露或访问个人数据； - 完整性泄漏
（Integrity breach）：未经授权地变更个人数据； - 可用性泄漏
（Availability breach）：意外或未经授权地丢失访问权或销毁个人数据。
同一事件可能同时触发其中多类。
2.2 控制者向DPA通知：72小时
GDPR第33(1)条的核心义务是：控制者在意识到（becoming aware of）发生个人数据泄漏后，应当毫不延迟，并在可行的情况下不迟于72小时内（without undue delay and, where feasible, not later than 72 hours），向第55条所指的主管DPA作出通知。仅当该泄漏不太可能给自然人的权利和自由（rights and freedoms of natural persons）带来风险时，方可豁免通知。若通知超过72小时，则须随附延迟原因（reasons for the delay）。
Guidelines 9/2022在§31至§36中，对"意识到"作了关键澄清：
"意识到"指控制者已经具有合理程度的确定性（a reasonable degree of certainty），认定一起安全事件已经发生并致使个人数据受到影响； 在收到初步线索后，控制者可以有一段简短的初步调查期（short initial investigation period）来核实是否确实构成泄漏；这段时期内，控制者尚未"意识到"，72小时尚未起算； 但调查"应当尽快展开"，"初步动作应在最初告警之后很短时间内完成，例外情况才会更长"； 一旦控制者达成上述合理确定性，72小时计时即开始。
举几个EDPB列出的判断要点：丢失U盘的情形下，控制者一旦意识到U盘丢失，至少已构成可用性泄漏，即应起算；第三方携带充分证据告知数据被错发的情形下，控制者立即"意识到"；网络入侵被确认或勒索要求被验证后，亦同。
2.3 处理者向控制者通知：起算点的关键
GDPR第33(2)条规定，处理者在意识到泄漏后，应毫不延迟地通知控制者。Guidelines 9/2022在§44至§48强调了几条规则：
处理者不需要先做风险评估，只要确认泄漏发生即应通知，风险评估由控制者完成； - 控制者的72小时计时，原则上从处理者通知控制者那一刻起算
——不是从处理者本身意识到的那一刻起算； 处理者的具体时限并未明文规定，但EDPB建议尽快通知，必要时分批补充，以便控制者完成自己的72小时义务； 双方应在GDPR第28(3)(f)条所要求的合同中约定具体协作机制； 处理者可以在控制者授权的情况下代为通知DPA，但法律责任仍归属控制者。
2.4 分阶段通知与延迟通知
GDPR第33(4)条允许信息分阶段提供（in phases）：在初次通知时无法获得全部信息的，可以毫不延迟地分批补充。Guidelines 9/2022建议控制者在首次通知时即明示信息尚不完整，并与DPA约定后续补充节奏。该条与第33(1)条所允许的带原因的延迟通知应作区分：分阶段通知本身仍属及时通知，仅是信息分次到位；延迟通知则是首次通知整体超过72小时，需要附理由。
Guidelines 9/2022还提到打包通知（bundled notification）的概念：对短时间内发生的多起性质相近的小型泄漏，可以集中提交一份通知，但每起事件的关键事实仍需各自记录。
2.5 控制者向个人沟通的时效
GDPR第34(1)条规定，当泄漏可能对自然人权利和自由带来高风险（high risk）时，控制者应毫不延迟地向数据主体沟通。EDPB把"毫不延迟"解释为"尽快"（as soon as possible）。Recital 88和Guidelines 9/2022提到，仅在执法机关明确建议时（例如延迟披露有助于刑事调查），可以暂缓向个人沟通，但事后仍应及时补充告知。
三、第一道判断题：是否会对个人权利和自由造成"风险"
GDPR第33(1)条把"是否给自然人的权利和自由带来风险"作为是否需要通知DPA的开关。Guidelines 9/2022在§100至§102明确：只要不属于"不太可能产生风险"（unlikely to result in a risk）的情形，就应当向DPA通知。这是一个相对宽松的门槛——存在合理可能性即应通知，存疑时应通知。
3.1 风险所指向的损害类型
GDPR的Recital 75与Recital 85列举了泄漏可能造成的损害：身体损害、物质损害、精神损害——具体可能表现为对个人数据的失控、权利受限、歧视、身份盗用或欺诈、经济损失、假名化被未经授权地反向解除（reversal of pseudonymisation）、名誉受损、受职业保密义务保护的数据失密，以及其他严重的经济或社会不利影响。
特别值得注意的是，Guidelines 9/2022 §102指出：当泄漏涉及GDPR第9条所列特殊类别个人数据（special categories of personal data，即种族或民族出身、政治观点、宗教或哲学信仰、工会成员身份、基因数据、生物识别数据用于唯一识别、健康数据、性生活或性取向数据），或第10条所涉刑事定罪与犯罪相关数据，则上述损害"应当被视为可能发生"（should be considered likely to occur）。
3.2 即使不通知，记录义务也跑不掉
GDPR第33(5)条规定了一项与通知义务并行的、与风险等级无关的强制性义务：
控制者应记录任何个人数据泄漏，包括与该泄漏相关的事实、其影响以及所采取的补救措施。
Guidelines 01/2021 §15明确：内部记录是默认义务，无论事件最终被定级为无风险、有风险还是高风险。Guidelines 9/2022 §125进一步建议：当控制者决定不向DPA通知时，应一并记录其判断理由——这是问责原则（accountability，第5(2)条）和第24条的要求。无法提供合规记录可能导致DPA依第58条采取措施、依第83条处以罚款。
3.3 ENISA的严重性评估方法可作工具
Guidelines 9/2022 §120提到，欧盟网络安全署（European Union Agency for Cybersecurity，下称ENISA）的《关于个人数据泄漏严重性评估方法的建议》（Recommendations for a methodology of the assessment of severity of personal data breaches）可以作为风险评估的有用工具。该方法给出一条可量化的公式：
SE = DPC × EI + CB
其中：
- SE
（Severity，严重性得分）：泄漏对个人潜在影响的量化估计； - DPC
（Data Processing Context，数据处理情境）：取值1至4，反映被泄数据本身的敏感程度与处理情境； - EI
（Ease of Identification，识别难易度）：作为系数取值0.25、0.5、0.75或1，反映从被泄数据中识别出特定个人的难易； - CB
（Circumstances of Breach，泄漏情境）：对保密性、完整性、可用性的损失以及恶意意图分别加分（每项0、0.25或0.5，恶意意图加0.5），逐项相加。
DPC的基础分按数据类别分档：
DPC再按上下文加减分（如涉及未成年人或对人身安全至关重要时上调）。
EI的分档为：可忽略（Negligible）0.25、有限（Limited）0.5、显著（Significant）0.75、最大（Maximum）1。
最终SE落入四档：
- SE < 2
：低（Low），个人未受影响或仅受可轻易克服的轻微不便； - 2 ≤ SE < 3
：中（Medium），显著但可克服的不便（额外费用、被拒绝服务、恐惧、压力、轻微身体不适）； - 3 ≤ SE < 4
：高（High），严重后果，仅在重大困难下可克服（资金被挪用、被银行拉黑、财产损失、失业、传讯、健康恶化）； - SE ≥ 4
：极高（Very High），重大或不可逆后果（重大债务、丧失工作能力、长期心理或身体疾患、死亡）。
需要说明的是，ENISA方法在GDPR下的定位是辅助工具，最终判断仍以控制者结合具体情境作出的综合评估为准。Guidelines 9/2022在§119同时提示："存疑时应倾向通知"。
四、第二道判断题：是否会造成"高风险"
GDPR第34(1)条把高风险作为是否需要向数据主体沟通的开关。Guidelines 9/2022 §82与§815至§817明确，第34条的门槛高于第33条——立法者刻意拉开两个台阶，避免"通知疲劳"（notification fatigue）使个人对真正严重的事件反应迟钝。
4.1 评估高风险的七个因素
Guidelines 9/2022 §103至§118（其判断框架沿袭WP29的WP250号文件）列出了应同时考量"可能性与严重性"的七项因素：
- 泄漏类型
（Type of breach）：保密性、完整性、可用性的不同性质会导向不同的伤害路径。例如，保密性泄漏可能引发身份盗用，可用性泄漏在医疗场景下可能直接危及生命。 - 数据的性质、敏感性与体量
（Nature, sensitivity and volume of personal data）：越敏感越高风险；将身份、健康、财务数据组合起来，伤害风险将显著提升；少量高敏感数据，或大量普通数据，都可能构成高风险。 - 识别难易度
（Ease of identification）：直接识别（如配有姓名）与间接识别（需结合其他信息）的风险存在差异；恰当的加密或假名化（pseudonymisation）会降低识别难度，但单纯的假名化不等同于使数据不可识读。 - 后果的严重性
（Severity of consequences）：是否涉及特殊类别数据、是否会导致身份盗用或欺诈、是否会带来人身伤害、心理痛苦、羞辱、名誉损失；数据是否落入恶意之手；后果是否不可逆转。 - 个人的特殊属性
（Special characteristics of the individual）：未成年人和其他脆弱群体面临的风险更高。 - 控制者的特殊属性
（Special characteristics of the controller）：例如医疗机构本身就大量处理特殊类别数据，因此其泄漏天然带有更高敏感度。 - 受影响个人的数量
（Number of affected individuals）：通常人数越多影响越大，但即便仅涉及一人，也可能构成高风险。
4.2 第34(3)条的三项例外
即便已认定高风险，GDPR第34(3)条仍提供了三种无需向个人沟通的例外，Guidelines 9/2022 §97对其逐项作了解释：
- (a) 事前的保护措施使数据不可识读
：控制者已对受影响数据采取了适当的技术与组织措施，特别是使数据对未授权人员不可识读的措施——典型例子是符合当时技术水平（state-of-the-art）的加密或令牌化（tokenisation）。一旦密钥可能受损或加密强度不足，本例外即不再适用。 - (b) 事后的措施使高风险不再可能发生
：泄漏发生后，控制者迅速采取了能够确保高风险不再可能实现的措施。例如及时识别并制止了访问数据的人员，使其无法实际利用数据。 - (c) 直接沟通将构成不成比例的努力
：例如联系方式已丢失或不存在。这种情况下，控制者应改采"公开沟通或类似措施"（public communication or similar measure），使个人以同等有效（equally effective manner）的方式获得通知。
控制者必须能够证明（demonstrate）所主张的例外成立——这是问责原则的延伸。GDPR第34(4)条还赋予DPA否决权：DPA可以直接命令控制者向个人沟通，即便控制者认为已具备豁免条件。
五、向个人沟通的关键内容
5.1 GDPR第33(3)条：向DPA通知的内容
GDPR第33(3)条要求向DPA的通知至少包含四项内容：
- (a) 泄漏的性质
——在可能的情况下，包括受影响数据主体的类别和近似数量、受影响个人数据记录的类别和近似数量； - (b) 数据保护官
（Data Protection Officer，下称DPO）或其他联系人的姓名与联系方式； - (c) 泄漏的可能后果
； - (d) 控制者已采取或拟采取的措施
，包括在适当情况下用于减轻可能不利影响的措施。
Guidelines 9/2022 §52强调，在精确数字尚不可得时可以使用近似值，且不应因等待精确数字而延迟通知；§54指出"至少"二字意味着控制者可以提供更多信息。新版统一通知模板正是把上述四项内容固化为结构化字段，并在跨境场景下允许一次性提交、由首席DPA分发。
5.2 GDPR第34(2)条：向个人沟通的内容
GDPR第34(2)条要求向个人的沟通：
应用清晰、平实的语言（clear and plain language）描述个人数据泄漏的性质，并至少包含第33(3)条(b)、(c)、(d)三项所规定的信息。
也就是说，向个人的沟通至少需要覆盖：
泄漏的性质（用易懂语言陈述发生了什么、涉及哪些数据）； DPO或联系人； 可能后果； 已采取或拟采取的措施，包括减轻不利影响的建议（例如建议立即重置密码、警惕仿冒邮件等）。
Guidelines 9/2022 §85至§92对沟通方式提出了具体期待：
应作专门通知（dedicated message），避免与新闻简报、营销邮件等捆绑发送； 应通过最大化触达的渠道——电子邮件、短信、应用内直接消息、显眼的网站横幅、纸质邮件、报刊广告等；仅靠新闻稿或博客文章并不够； 不应使用因泄漏本身已被攻陷的渠道（例如外泄的邮箱）； 应考虑语言、可访问性需求和受影响群体的特殊性。
六、Guidelines 01/2021的示例：把规则落到事件类型上
Guidelines 01/2021把实务中常见的泄漏归为六类、合计18个案例（CASE 01–18）。每个案例都给出三种动作的勾选——内部记录（默认必做）、是否通知DPA、是否向个人沟通。下面挑出代表性案例，以便快速把握判断逻辑。
6.1 勒索软件（Ransomware）
- 案例1
：勒索软件 + 数据有妥善备份 + 未发生外泄 + 静态数据采用了当时技术水平的加密。结论：仅内部记录。 - 案例2
：勒索软件 + 未做妥善备份 + 未发生外泄。结论：记录 + 通知DPA。 - 案例3
：医院遭勒索软件 + 有备份 + 未外泄。健康数据的可用性中断本身即可能危及生命，构成高风险。结论：记录 + 通知DPA + 向个人沟通；对早已出院、联系方式不全的患者，可借助公开沟通履行第34(3)(c)条。 - 案例4
：勒索软件 + 无备份 + 同时外泄身份与信用卡数据。结论：记录 + 通知DPA + 向个人沟通。
6.2 数据外泄攻击（Data Exfiltration）
- 案例5
：求职网站被外泄213份求职表（无特殊类别数据）。结论：记录 + 通知DPA + 向个人沟通（高风险）。 - 案例6
：烹饪网站的密码哈希被外泄，使用了带盐值的强哈希算法、用户名为假名。结论：仅内部记录。EDPB额外建议出于良好实践仍可向用户告知。 - 案例7
：银行网站遭凭据撞库（credential stuffing）攻击，约10万账号受波及，财务与身份信息泄漏。结论：记录 + 通知DPA + 向全部10万人沟通——包括最终未被实际盗用的账号。
6.3 内部人员风险
- 案例8
：员工在离职前外泄业务联系信息（无特殊类别数据，意图不明）。结论：记录 + 通知DPA；是否向个人沟通可由控制者酌情。 - 案例9
：信息被误发给受职业保密义务约束的保险代理（约二十余名客户），代理自行报告并删除。结论：仅内部记录。
6.4 设备或纸质材料丢失
- 案例10
：被盗平板已加密、设强密码、有备份、可远程擦除。结论：仅内部记录。 - 案例11
：被盗笔记本未加密、无密码，涉及十万余客户。结论：记录 + 通知DPA + 向个人沟通（身份欺诈高风险）。 - 案例12
：康复机构纸质日志本被盗，记录了健康数据，无备份、无访问控制。结论：记录 + 通知DPA + 向个人沟通（GDPR第9条特殊类别数据，高风险）。
6.5 邮寄/投递错误
- 案例13
：两份鞋类订单的发货单被互寄（仅2人）。结论：内部记录为主；按第34条不构成强制向个人沟通，向DPA通知亦非必需，但控制者仍需联系收件方以便补救。 - 案例14
：超过6万名求职者数据（含社会保障号）误发。结论：记录 + 通知DPA + 向个人沟通（高风险）。 - 案例15
：课程参与名单（姓名、邮箱、饮食偏好，含两人乳糖不耐受）误发给15位错误收件人。结论：仅内部记录（低风险，少量健康相关信息不致造成损害）。 - 案例16
：自动套封错误，把含车牌、车险费率等信息的保单误寄给一位错误的投保人。结论：记录 + 通知DPA（中等风险），无须向个人沟通。
6.6 其他与社工攻击
- 案例17
：呼叫中心被以静态知识问答方式冒名身份盗用，账单邮箱被改。结论：记录 + 通知DPA + 向个人沟通（高风险），并建议引入带外多因素认证。 - 案例18
：连锁超市邮箱被入侵，攻击者通过转发规则与冒充供应商欺诈，99名员工的薪资数据被泄。结论：记录 + 通知DPA + 向全部99名员工沟通——而不仅限于薪资详情被外泄的10人。
每一类的末尾，Guidelines 01/2021都列举了非穷尽的预防性技术与组织措施（如经测试的离线备份、最新防恶意软件、强加密与多因素认证、输入校验与Web应用防火墙、最小化访问、默认密送、四眼原则、设备加密与移动设备管理、带外多因素认证）。这些清单本身已是日常合规自查的优良起点。
七、把模板用起来：从形式合规走向内容合规
新版统一通知模板的价值，主要体现在三个层面：
- 跨境一次提交
：跨多个EEA国家运营的控制者，可以用同一份结构化表单满足所有相关DPA的Article 33通知形式要求。 - 倒逼内部流程对齐
：模板的字段（受影响数据主体类别与近似数量、记录类别与近似数量、可能后果、已采取与拟采取的措施、DPO联系人）正是GDPR第33(3)条与Guidelines 9/2022反复强调的事项。把这些字段映射到事件响应剧本（incident response playbook），可以减少72小时内的临场拼凑。 - 把72小时变成可执行节奏
：新模板鼓励"先就已知信息提交、再分阶段补充"，与GDPR第33(4)条的分阶段通知机制相互印证。
当然，模板只是表单。决定事件最终走向的，仍然是两道判断题——是否对个人权利和自由造成风险，以及是否构成高风险。把Guidelines 9/2022的七因素方法、ENISA的SE评分、Guidelines 01/2021的18个案例放在一起对照，再结合自身行业、数据类型、个人群体特征做出书面化判断，并把判断过程纳入第33(5)条所要求的记录之中——这才是新模板真正想要支撑的实质合规。
参考文件
EDPB. The Helsinki Statement on enhanced clarity, support and engagement(3 July 2025). https://www.edpb.europa.eu/news/news/2025/helsinki-statement-enhanced-clarity-support-and-engagement_en ；声明全文：https://www.edpb.europa.eu/system/files/2025-07/edpb-statement-20250702-enhanced-clarity-support-engagement_en_0.pdf
EDPB. Guidelines 01/2021 on Examples regarding Personal Data Breach Notification, Version 2.0 (adopted 14 December 2021). https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012021-examples-regarding-personal-data-breach_en
EDPB. Guidelines 9/2022 on personal data breach notification under GDPR, Version 2.0 (adopted 28 March 2023). https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-92022-personal-data-breach-notification-under_en
EDPB. Personal data breaches – what to do（Guidelines 9/2022 与 01/2021 摘要手册，March 2025）。https://www.edpb.europa.eu/system/files/2025-03/edpb_summary_092022-012021_data_breach_en.pdf
ENISA. Recommendations for a methodology of the assessment of severity of personal data breaches, Working Document v1.0 (December 2013)。报告页：https://www.enisa.europa.eu/publications/dbn-severity ；PDF：https://www.enisa.europa.eu/sites/default/files/publications/Data%20breach%20severity%20methodology_1.0.pdf
EDPB. EDPB meets with EU Commissioner McGrath and adopts common data breach notification template(10 June 2026). https://www.edpb.europa.eu/news/news/2026/edpb-meets-eu-commissioner-mcgrath-and-adopts-common-data-breach-notification_en