个人数据泄露

个人数据泄露是指因安全漏洞导致个人数据遭到意外或非法销毁、丢失、更改、未经授权的披露或访问。并非所有事件都需要上报，但您必须能够证明您是如何得出该结论的。

法律基础

该定义见于《通用数据保护条例》(GDPR)第4条第12款。第33条要求数据控制者在知悉数据泄露后，最迟不得超过72小时，且必须立即通知荷兰数据保护局，除非该泄露不太可能对个人的权利和自由造成风险。第34条规定，如果风险较高，数据控制者有义务告知相关个人。数据处理者无需通知监管机构，而是通知数据控制者，且必须立即通知。第33条第5款要求登记所有数据泄露事件，包括未通知的数据泄露事件。

在实践中如何运作

72 小时通知期限从您有合理把握确定发生了涉及个人数据的安全事件之时起算，而非从调查结束之时起算。因此，通知可以分阶段进行：首先是已知的信息，然后是补充信息。评估的关键在于对个人的影响：是否涉及特殊类别数据、可能导致身份盗窃的组合、大量数据，或者涉及弱势群体？丢失一台带有加密磁盘的笔记本电脑通常无需通知；而寄错地址且包含健康数据的邮件几乎总是需要通知。

哪里出了问题

大多数执法行动都侧重于事件的后续影响，而非事件本身。组织之所以延迟通知，是因为他们想先在内部查明责任人，或者即使风险很高，也因为担心声誉受损而选择不通知相关人员。第三个陷阱是缺少内部登记册：没有登记册，就无法证实为何未通知事件，你的评估也就失去了意义。

相关术语

数据泄露直接与数据处理协议相关，该协议应规定供应商的报告期限，同时也与荷兰网络安全法相关，该法对某些行业规定了更短的报告期限。

不确定是否需要上报事件？我们的IT法律专家将与您一起评估，包括在72小时期限内。