邮件通知的数据泄露：书面全程

误区 · 要是严重，他们不会只发一封邮件。我把它删了。

误区：“没有挂号信，就没有真问题” 欧盟官方页面说的恰好相反：当泄露带有严重风险时，公司必须直接告知你。一封低调的邮件不是一个微弱的信号，它就是规则所规定的渠道。把它删掉，等于扔掉一份刚刚自己打开的卷宗的第 1 号材料。

“the data controller (the person or body handling your personal data) must report it to the national data protection authority. The data controller must also inform you directly if there are serious risks related to your personal data or privacy due to the breach.”

非官方译文：这封讯息是一项针对你的法律义务。法律义务是要存卷的，不是扔进回收站的。

误区 · 他们说的是“内部事件”，不是入侵：那不算真正的泄露。

误区：“泄露必定意味着黑客” 条例对个人数据泄露的定义远比一部劫案片宽：毁坏、丢失、篡改、未经授权的披露或者未经授权的访问，无论是意外的还是不法的。一台忘在列车上的笔记本电脑就符合这个定义。“事件”这个词并不能把任何人带出条文之外。

“‘personal data breach’ means a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, personal data transmitted, stored or otherwise processed;”

非官方译文：不需要戴帽衫的黑客。一次内部失误、一次丢失、一次多出来的访问：定义把这些全都覆盖，而随之而来的义务同样适用。

误区 · 他们必须在 72 小时内提醒我：超过期限，自动赔偿。

误区：“72 小时内提醒我，否则中大奖” 第 33 条的 72 小时计的是向监管机构发出的通知，不是寄给你的那封邮件。而条文没有规定任何自动赔偿：向机构迟到的通知要的是理由，不是一张支票。把你的主张建立在错误的期限上，等于把世上最容易的答复递给公司：“那个期限与你无关”，而它会是对的。

“Where the notification to the supervisory authority is not made within 72 hours, it shall be accompanied by reasons for the delay.”

非官方译文：即便他们对机构迟到了，写明的后果也是要提供一份理由，不是一笔从天上掉下来的钱。你真正的牌在别处：告知的内容，以及在你自己国家提出的投诉。

误区 · 调查还在进行：他们不被允许告诉我更多，保密优先。

误区：“他们什么都不能说，这是保密的” 条例已经在谨慎和你的知情之间做过裁断：寄给你的告知要用简明易懂的语言描述泄露的性质，并且至少包含联络点、可能的后果和已采取的措施。这份清单是法律上的最低限度，不是危机之后的一份人情。一家用保密来把它掏空的公司，念的是自己的内部政策，不是条文。

“2. The communication to the data subject referred to in paragraph 1 of this Article shall describe in clear and plain language the nature of the personal data breach and contain at least the information and measures referred to in points (b), (c) and (d) of Article 33(3).”

非官方译文：告知的最低内容由条例本身设定。缺失的东西可以拿来主张，而公司不能拿自己的调查来对付你。

误区 · 这是技术话题，术语躲不掉：跟得上是我的事。

误区：“泄露只能用术语来解释” “用简明易懂的语言”：条例里的五个词，恰好安放在那里，在描述告知邮件的那一条里。清晰不是留给公司好意去做的一种文风努力，它是对讯息形式的法律要求。一份读不懂的文字不是一份合规的文字，而你可以要一个能读的版本。

“The communication to the data subject referred to in paragraph 1 of this Article shall describe in clear and plain language the nature of the personal data breach”

非官方译文：让人看得懂是他们的活，当工程师不是你的活。法律既要求讯息的内容，也同样要求讯息的清晰。

误区 · 没有针对个人的邮件就等于违规行为，没别的。她要求立即赔偿。

误区：“我没收到邮件，所以必定是违规行为” 条文明明白白地写出了不要求针对个人的告知的情形：对受影响的数据采取诸如加密这样的保护措施，或者在给每一个人写信需要付出不成比例的努力时作出一次同样有效的公开告知。对着一个写明的例外发火，会让你在下一回合失掉说法。正确的问题不是“为什么不是我？”，而是“这个例外站得住吗？”，而这个问题有一位裁判。

“3. The communication to the data subject referred to in paragraph 1 shall not be required if any of the following conditions are met: (a) the controller has implemented appropriate technical and organisational protection measures, and those measures were applied to the personal data affected by the personal data breach, in particular those that render the personal data unintelligible to any person who is not authorised to access it, such as encryption;”

非官方译文：妥当加密的数据可以免掉针对个人的邮件。这个例外存在，它很精确，而且可以被核查：写信之前先知道这一点更好。

误区 · 如果他们写了已经加密，就此结案：没人能去核查。

误区：“他们的公开声明算作证据” 一份声明是一次宣称，不是一次核实。而本国数据保护机构其实已经被告知了：泄露一发生，就应当向它发出通知。它了解这份卷宗，它可以把声明拿去对照事实，而且如果风险很高，它可以要求作出针对个人的告知。因为公司自称没有过错就放弃，等于把被告当成了法院的书记官。

“the data controller (the person or body handling your personal data) must report it to the national data protection authority.”

非官方译文：你所在国家的机构因为义务而已经在局内。公司对公众说的话，必须能够向一个有权核查的对象证明。

误区 · 没有经过证明、可以量化的损失，投诉就不会被受理。我要等到真的损失了钱再说。

误区：“要投诉，先得有一张发票” 门槛条件不是一项损失，而是一个有理由的看法：你认为你的权利没有得到尊重，于是你可以直接向本国机构投诉，机构会调查并在 3 个月内答复。等着被偷了再去报告那扇敞开的门，把顺序弄反了：投诉之所以存在，恰恰是为了让卷宗在事情变得更糟之前得到审查。

“If you think your data protection rights have not been respected, you can make a complaint directly to your national data protection authority which will investigate your complaint and give you a response within 3 months.”

非官方译文：“如果你认为”就够了。走进机构那扇门之前，没有什么损失需要证明。

误区 · 这样的卷宗，没有律师或者集体诉讼是走不动的。我不参与了。

误区：“只有一支律师大军才能对付数据泄露” 向机构提出投诉不是一场诉讼：它是一道你自己就能启动的行政程序，而条文使机构有义务把进展和结果持续告知你，包括其后司法救济的可能性。法院始终是一个选项，绝不是一个前置条件。你手上这份卷宗，连那封含糊的邮件一起，已经够开始了。

“2. The supervisory authority with which the complaint has been lodged shall inform the complainant on the progress and the outcome of the complaint including the possibility of a judicial remedy pursuant to Article 78.”

非官方译文：投诉一旦提出，机构就开始工作，并且向你回报。你没有支出任何费用，没有律师，没有审判。