数据泄露通知要求

DATA BREACH NOTIFICATION

GDPR引入的最深刻的变化之一是在欧洲范围内要求向监管机构和受影响的个人通报数据泄露情况。

在美国，数据泄露通知法现已在所有50个州生效，对不通知的严厉处罚从根本上改变了美国组织调查和应对数据事件的方式。不通知已经成为一种高风险的选择。

向监管机构发出的通知必须尽可能包括相关个人和记录的类别和大致数量、组织的DPO或其他联系人的姓名、违规的可能后果以及为减轻伤害而采取的措施。——GDPR（第33(3)条）。

控制者被要求实施适当的技术和组织措施，以及定期测试、评估和评价这些措施的有效性，以确保处理的安全性（第32条）。控制者还需要保留所有数据泄露的记录（第33条第5款）（无论是否通知监管机构），并允许监管机构进行审计。

如果不遵守与安全和数据泄露通知有关的条款，将被处以最高1000万欧元的罚款或全球年营业额的2%，可能对控制者和处理者都有影响。由于数据泄露通常会导致监管机构的调查，并经常发现其他不合规的领域，因此很有可能会触发高达2000万欧元的罚款或全球年营业额的4%。

亚太

国家	数据泄露通知要求	备注
中华人民共和国		“发生重要数据或者十万人以上个人信息泄露、毁损、丢失等数据安全事件时，数据处理者还应当在发生安全事件的八小时内向设区的市级网信部门和有关主管部门报告”。——国家网信办《网络数据安全管理条例(征求意见稿)》 银监会、网信、公安、工信通管，以及交通、卫生健康、教育、市场监管、央行等均属于“履行个人信息保护职责的部门”。
印度
新加坡		Submit the notification at https://eservice.pdpc.gov.sg/case/db. For urgent notification of major cases, organisations may also contact the PDPC at [phone] during working hours.
日本
美属萨摩亚
澳大利亚		根据《隐私法》，企业有义务遵守强制性数据泄露通知要求。该制度于2018年2月22日开始。强制性的数据泄露通知包括与以下内容有关的数据泄露： 个人信息 信用报告信息 信用资格信息 税务档案号码 澳大利亚信息专员办公室（OAIC）下属的The Privacy Commissioner隐私专员是负责隐私法监督的国家数据保护监管机构。《隐私法》要求各组织将 "符合条件的数据泄露 "通知OAIC和受影响的个人（根据通知的规定内容）。如果单独通知受影响的个人并不可行，遭受符合条件的数据泄露的组织必须在其网站上发表公开声明，其中包含通知的必要内容。
文莱
柬埔寨
印度尼西亚
中国-香港
中国-台湾
中国-澳门
朝鲜
韩国
老挝
马来西亚
蒙古
缅甸
新西兰
巴布亚新几内亚
菲律宾
泰国
东帝汶
越南

欧洲/中东

北美

南美

非洲