作者：王红燕 沈杨雨岚 汪媛雅 刘珂诗 章雨璐 何炜玟
《中国人工智能企业出海百问百答》第六部分
五十八、发生数据泄露事件后，应在多少小时内向监管机构报告？
面对突发的数据泄露事件，企业的应急响应速度与报告机制往往直接决定了后续法律责任的轻重与行政处罚的尺度。关于数据泄露的报告时限，不同司法辖区有着不同的合规要求。国际上，通常以“72小时”作为企业向监管机构履行报告义务的黄金标尺与法定底线；而在中国，现行法律框架则对企业的反应速度提出了更为严苛的要求，普遍确立了“立即报告”乃至极短时间（如1小时）内的特急报告机制。
从国际视野来看，欧盟《通用数据保护条例》（GDPR）的“72小时”标准，已逐渐演变为全球数据合规的通行惯例。根据GDPR的规定，数据控制者在获知个人数据泄露事件后，除非该事件不太可能对自然人的权利和自由造成风险，否则应当在“不当延误”的情况下，且可行时不得超过72小时向具有管辖权的监管机构进行报告。如果企业未能在72小时内完成报告，还必须向监管机构提供迟延的正当理由[1]。鉴于GDPR强大的长臂管辖效力，对于涉及出海业务、跨国运营或其业务链条触及欧盟境内自然人数据的中国企业而言，将72小时作为内部事件响应机制（IRP）的基准线是基础且必要的。
而在中国，合规语境与监管逻辑有着显著的区别，企业在处理本土数据泄露事件时，切不可照搬国外的固定时间指标。我国《个人信息保护法》与《数据安全法》（针对此类危机确立的核心原则是“立即”报告。当发生或者可能发生个人信息泄露、篡改、丢失，或者发生数据安全事件时，处理者应当“立即”采取补救措施，并通知履行相关职责的监管部门[2]。在中国立法语境和执法实践中，“立即”一词意味着企业必须在发现安全事件的当下，尽可能快地采取行动，不得有任何无正当理由的拖延、瞒报行为。虽然基本法律层面未像GDPR那样给出一个精确到小时的固定倒计时，但这意味着监管部门对于企业拖延报告的容忍度极低。实务中，企业通常需要在完成初步技术核实和紧急止损动作后的第一时间，启动向主管网信部门或公安机关的通报程序。
更为关键的是，中国的数据监管体系呈现出强烈的“分级分类”特征。一旦泄露事件触及重要数据、关键信息基础设施，或发生特定行业领域内的大规模泄露，企业面临的法定报告时限将被大幅压缩。例如，在金融、汽车、医疗、电信等强监管行业，各行业主管部门均制定了细致且严苛的应急预案要求。特别是国家网信办在2023年底发布的《网络安全事件报告管理办法（征求意见稿）》中，为重大安全事件设定了极短的“1小时”红线。该办法明确提出，对于较大、重大或特别重大的网络安全事件（如核心数据库遭勒索病毒攻击、大量敏感数据外泄等），运营者应当在发现事件后1小时内进行报告[3]。这一监管风向表明，面对重大数据危机，企业必须建立起极速上报的合规能力。
在向监管机构履行报告义务的同时，企业还面临着另一层面的合规要求，即向“受影响个人”的告知。根据我国法律要求，法定通知的内容应当全面且透明，必须包括发生或可能发生泄露的信息种类、原因、可能造成的危害、企业已经采取的补救措施、个人可以采取的防范建议，以及企业的专属联系方式。仅当企业采取的补救措施能够有效避免危害发生时，才可免除向个人的通知义务。但需要警惕的是，即便企业自行判断无需通知，若监管部门认定该泄露仍存在风险，依然拥有强制要求企业履行个人通知义务的职权[4]。这就要求企业在研判报告策略时，必须将对内审查、对上监管通报与对外公众危机公关进行统筹考量。
综上所述，建议企业在构建数据安全应急预案时，采取“分级分类、就高不就低”的梯度报告策略。具体而言，企业应建立多维度的应急时间表：在发现疑似泄露后的1至2小时内，完成内部核心团队通报并启动预案，精准研判是否触发国内“1小时报告”等特急门槛；在8至24小时内，完成初步的技术定损、事件定性及法律风险评估；对于涉及多法域管辖的事件，则必须确保在72小时内向相关国际监管机构提交详尽的阶段性书面报告。
五十九、进行数据处理活动前，是否必须进行“数据保护影响评估”（DPIA）？
不应一概而论，企业处理个人数据前应确认适用法、合法性基础与安全措施，例如我国《个人信息保护法》（PIPL）和欧盟《通用数据保护条例》（GDPR）并未要求所有的个人信息处理活动都必须开展个人信息保护影响评估；通常DPIA在特定风险场景下才会成为强制义务。[5]
在欧盟法下，GDPR第35条以某类处理“可能对自然人的权利和自由造成高风险”为门槛，判断时应结合处理性质、范围、背景和目的。[6]法规列举三类典型场景：以系统、广泛的自动化评价作出对个人有法律或类似重大影响的决定；大规模处理特殊类别或刑事数据；大规模系统监控公共区域。[7]监管机构还可公布必须评估或无需评估的清单，WP29指南另提出九项高风险筛查标准。[8]控制者应在处理前听取数据保护官意见，说明处理及目的、必要性与比例性、权利风险和缓解措施。[9]采取措施后仍存在高风险的，应在启动前咨询主管监管机构。
中国《个人信息保护法》第55条规定，处理敏感个人信息、进行自动化决策、委托处理或向他方提供、公开个人信息、向境外提供个人信息，以及其他对个人权益有重大影响的处理，均须事前评估并记录。与GDPR的概括性高风险相比，中国法前四项更接近行为类型触发，不能仅因数据量小或自认风险低而免除评估。评估至少审查目的和方式是否合法、正当、必要，对个人权益的影响及安全风险，以及保护措施是否有效并与风险相称；报告和处理记录至少保存三年。
实务中，企业可在产品立项、采购第三方服务、算法上线和跨境架构变更等重大节点前设置“触发判断表”。建议先确认适用地域与处理角色，再对照两法标准及当地监管清单；触发时由业务、法务、隐私和安全团队等共同审查数据流、必要性、风险及措施，风险未降至可接受水平前不宜上线。[10]GB/T 39335-2020《信息安全技术 个人信息安全影响评估指南》虽属推荐性国家标准，但可作为评估流程和报告结构的操作参考。处理目的、数据类别、规模、技术、接收方或风险实质变化时应重新评估；未触发法定评估的，也宜保留筛查结论及依据。
六十、 如何利用“匿名化”或“假名化”技术降低数据处理的合规门槛？
匿名化与假名化在数据保护法下具有不同的法律效果。匿名化后的数据原则上不再属于GDPR意义上的个人数据，因此不再适用GDPR关于个人数据处理的大部分要求；假名化虽然仍属于个人数据处理，但可以有效降低处理风险、增强数据安全，并为企业落实数据保护义务提供更灵活的技术路径。
匿名化：使数据脱离个人数据范畴。GDPR序言第26条要求从“合理可能被使用的手段”判断个人是否仍可被识别。[11]有效匿名化后的数据原则上不再属于个人数据，不适用GDPR关于个人数据处理的相关要求。ICO在2025年发布的匿名化指南进一步指出，企业应重点评估现实环境下自身或第三方是否存在合理可能使用的识别手段，而无需考虑纯理论或高度假设性的重识别方式。[12]
假名化：仍属个人数据，但可以降低处理风险。 GDPR第4条第5款将假名化定义为在不使用额外信息的情况下无法将数据归属于特定个人的处理方式，且额外信息应当单独保存并受到技术和组织措施保护。假名化数据仍属于个人数据，GDPR仍然适用，但假名化有助于降低数据泄露风险，并支持数据最小化、隐私设计等原则的落实；在兼容性评估、科研统计等场景下，也可以作为重要的风险降低措施。[13]
常见技术包括令牌化（Tokenization）、哈希加盐（Salted Hashing）、格式保持加密（Format-Preserving Encryption）以及查找表映射等；匿名化则通常通过泛化（Generalisation）、随机化（Randomisation）等方式降低数据与特定个人之间的关联性。需要注意的是，哈希加盐通常属于不可逆的标识符保护手段，而加密则具有可逆性；采用令牌化或查找表映射的情况下，如仍存在重新识别个人的可能，相关数据通常仍属于个人数据。
2025年，EDPB发布《假名化指南》01/2025，ICO发布匿名化与假名化相关指南，进一步细化了两项技术的适用标准；同年，欧盟法院在SRB诉EDPS案中进一步明确，判断数据是否匿名化，需要结合数据接收方实际掌握的信息及其合理可能使用的识别手段进行判断。[14]
企业应在DPIA或其他隐私风险评估中记录所采用的匿名化或假名化方法、处理对象、技术措施及剩余重识别风险，不能仅以“脱敏”或“去标识化”等名称直接认定数据已经匿名化。在AI训练场景中，如希望使数据脱离GDPR适用范围，应重点验证匿名化是否具有不可逆性以及是否仍存在合理的重识别手段；对于假名化数据，则应继续履行GDPR项下的数据主体权利、安全保护等义务，并确保用于重新识别的额外信息受到独立保护。在中国法下，《个人信息保护法》第七十三条区分了匿名化与去标识化：匿名化后的信息不属于个人信息；去标识化后的数据仍属于个人信息，继续适用《个人信息保护法》的相关要求。[15]
六十一、处理敏感个人数据（生物识别、种族、政治观点）在海外有哪些特殊禁令？
【风险等级提示：红线问题】
欧盟GDPR把种族或族裔、政治观点以及“用于唯一识别”的生物识别数据列为特殊类别：企业既需第6条一般合法基础，还要满足第9条例外之一；商业项目通常依赖明确同意，大规模处理还应先做DPIA。[16]欧盟《人工智能法》又划出同意也绕不开的红线：不得无差别抓取互联网或CCTV人脸扩充识别库，不得用生物特征推断种族、政治观点等，公共场所实时远程生物识别执法须受必要性、比例性、事前授权等条件约束。[17]英国仍按UK GDPR第6、9条“双门槛”审查；2025年Clearview上级审裁院判决确认，境外公司的处理活动只要与监控英国境内个人行为有关，也受英国法约束。[18]
美国国家安全规则和州法要叠加理解。司法部依据第14117号行政令建立的数据安全计划，并非全面禁止跨境传输，而是禁止或限制涉“受关注国家”及相关人员的特定交易；12个月累计超过1000名美国人的生物识别标识符、超过100名的基因组数据即达“批量”门槛，去标识化或加密也不当然例外。[19]伊利诺伊州BIPA要求采集前书面告知目的和期限、取得书面授权、公开留存销毁政策，且原则上不得买卖，个人可起诉。[20]科罗拉多州处理敏感数据须事前同意；[21]加州法将种族或族裔来源及为唯一识别而处理的生物识别信息列为敏感个人信息，但一般制度是限制使用、披露权及法定例外，而非一律要求单独明示同意。[22]德州2026年起实施的HB 149虽对不用于唯一识别个人的AI训练、开发或评估设有例外，但从公开网络取得图像本身不能推定当事人已同意商业性采集。[23]
越南2026年起适用《个人数据保护法》及第356/2025号实施法令，种族或民族来源、政治观点和生物识别数据均属敏感个人数据；取得同意时须明示其敏感属性，控制者还应在开始处理后60日内提交处理影响评估，跨境传输另备档案。[24]
巴西LGPD第11条列举敏感数据处理事由，不能拿一般“正当利益”兜底。[25]韩国通常要求对政治观点及识别性生物特征另行同意。[26]日本对种族、信条等原则上要求事前同意，但人脸模板不当然属于特殊类别。[27]澳大利亚要求收集敏感信息既属合理必要又取得同意。[28]新加坡虽不单列敏感类别，监管指南仍主张尽量只保存模板、尽快删除原始样本。[29]
落地时，应按“字段-用途-国家”建台账：先排除绝对禁止的功能，再记录一般处理依据、敏感数据例外和跨境路径；人脸原图、模板分库存放，默认不得用于训练或种族、政治倾向推断，并设置最短留存期和自动删除。
六十二、 海外子公司与国内母公司之间进行数据交互，如何签署数据处理协议（DPA）？
DPA（Data Processing Agreement，数据处理协议）是约定个人数据处理规则的专门合同，通常作为主合同的附件或者配套文件。同时，DPA的订立是一项强制性法律义务。根据GDPR Article 28，处理者（Processor）代表控制者（Controller）进行数据的处理，处理者的处理应当受某类合同（即DPA）或其他欧盟法与成员国法的约束。EDPB特别提及集团内企业之间的数据交互，明确就企业集团内部的数据处理活动而言，必须特别关注某一机构是否担任数据控制者或数据处理者的认定问题，例如在代表母公司处理数据时[30]。
若公司间未签署DPA或DPA应设条款不全，可能会触发Article 28及Article 83项下最高1,000万欧元或全球年营业额2%的行政罚款。收费公路运营商Ferde AS曾因违反GDPR被罚款500万挪威克朗，原因在于其在向中国的数据处理商传输收费公路的通行数据的过程中并未满足签订DPA的要求，这被认定为违反了GDPR第28条第3款[31]。此外，如果同一处理过程中涉及多个控制者或处理者，或者控制者和处理者都参与其中，并且对处理造成的任何损害负有责任，则触发Article 82的对外连带赔偿机制，即每个控制者或处理者都应承担全部损害赔偿责任，以确保数据主体得到有效补偿。
就DPA的签署要点而言，企业应该留意以下事项：
首先，海外子公司与中国母公司发生个人数据交互时，应先按每一类数据流判断双方角色。控制者单独或与他人共同决定个人数据处理目的和方式，而处理者依据控制者的指示处理数据。EDPB明确，控制者/处理者的身份是功能性判断，应依据具体处理活动中的实际角色认定。合同名称或合同中的角色约定可以辅助判断角色定位，但不能取代事实判断；若事实判断与合同称谓不一致，应以事实上的目的和数据处理的决定权为准[32]。
再者，DPA正文应覆盖Article 28的最低限度条款，应具体写明处理的主题和期限、性质和目的、个人数据的类别、数据主体的类别以及控制者的义务和权利。具体还应包括：处理者仅根据数据控制者的书面指令进行处理；数据的保密；采取适当的技术和组织措施确保数据处理的安全性；另聘次处理者的限制；对个人行使权利请求的回应；数据泄露事件的通知；数据保护影响评估的执行；终止返还/删除路径；GDPR合规的留痕和报告；允许并协助进行审计。
最后，若欧盟子公司向中国母公司传输个人数据，还同时构成向第三国传输；而中国目前不属于欧盟充分性认定国家[33]，通常需叠加欧盟标准合同条款（SCC）及传输影响评估（TIA）[34]。
编辑|王佳佳
[1]参见欧盟《通用数据保护条例》（GDPR）第33条第1款：“个人数据泄露发生时，控制者应在不当延误的情况下，且可行时不超过获知后的72小时，向根据第55条具有管辖权的监管机构报告，除非该个人数据泄露不太可能对自然人的权利和自由造成风险。未在72小时内向监管机构报告的，应当附具迟延的理由。
[2]参见《中华人民共和国个人信息保护法》第57条第1款：“发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。”
[3]参见国家互联网信息办公室《网络安全事件报告管理办法（征求意见稿）》（2023年12月发布）第4条：“发生较大、重大或特别重大网络安全事件的，应当于1小时内进行报告。”同时，对于一般网络安全事件，若涉及重要数据等敏感信息，实务中也受到极高的时效约束。
[4]参见《中华人民共和国个人信息保护法》第57条第2款：“个人信息处理者采取措施能够有效避免信息泄露、篡改、丢失造成危害的，个人信息处理者可以不通知个人；但是，履行个人信息保护职责的部门认为可能造成危害的，有权要求个人信息处理者通知个人。”
[5]宁宣凤、吴涵、方禹：《慎独自律，修己安人——个人信息保护影响评估的作用？》，金杜律师事务所，2024年6月25日，https://mp.weixin.qq.com/s/VdCpfXgNI_fAql1gosFUzw。
[6]Regulation (EU) 2016/679 (General Data Protection Regulation), Article 35(1), EUR-Lex, https://eur-lex.europa.eu/eli/reg/2016/679/oj。
[7]Regulation (EU) 2016/679, Article 35(3)。
[8] Guidelines on Data Protection Impact Assessment (DPIA) (wp248rev.01), 13 October 2017, https://ec.europa.eu/newsroom/article29/items/611236/en。
[9]肖君拥、张雪亭：《欧盟数据保护影响评估制度及其镜鉴》，《电子科技大学学报（社科版）》2022年第5期，第55-66页。
[10]朱力明：《场景数据合规的前置保护——谈谈企业如何开展个人信息安全影响评估》，国枫律师事务所，2022年6月17日，https://mp.weixin.qq.com/s/c1GgLvHNeZn-81MJ56wEoQ。
[11]Regulation (EU) 2016/679 (General Data Protection Regulation), Art. 4(5), Art. 25 & Recital 26, https://eur-lex.europa.eu/eli/reg/2016/679/oj.
[12] UK Information Commissioner’s Office (ICO), Anonymisation and Pseudonymisation Guidance (2025), https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/anonymisation-and-pseudonymisation/.
[13]European Data Protection Board (EDPB), Guidelines 01/2025 on Pseudonymisation, adopted 16 January 2025, https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012025-pseudonymisation_en.
[14] Court of Justice of the European Union (CJEU), Case C-413/23 P, Single Resolution Board v European Data Protection Supervisor (SRB v EDPS), 4 September 2025, https://curia.europa.eu.
[15] 中华人民共和国《个人信息保护法》第七十三条，http://www.npc.gov.cn/npc/c2/c30834/202108/t20210820_313088.html
[16]Regulation (EU) 2016/679（GDPR）第6条、第9条第1、2款及第35条第3款(b)。第9条列有十项允许处理特殊类别数据的条件；大规模处理特殊类别数据属于法定DPIA场景。官方文本：https://eur-lex.europa.eu/eli/reg/2016/679/oj。
[17]Regulation (EU) 2024/1689（EU AI Act）第5条第1款(e)-(h)及第5条第2至7款。官方文本：https://eur-lex.europa.eu/eli/reg/2024/1689。
[18]UK GDPR第3条第2款(b)、第6条、第9条；英国《Data Protection Act 2018》第10条及附表1。另见The Information Commissioner’s Office v Clearview AI Inc (Privacy International intervening), [2025] UKUT 319 (AAC)，上级审裁院认定Clearview处理与监控英国境内数据主体行为有关，撤销原审并发回实质审理；截至2025年12月，Clearview已获准向上诉法院继续上诉。判决：https://www.gov.uk/administrative-appeals-tribunal-decisions/the-information-commissioners-office-v-clearview-ai-inc-privacy-international-intervening-2025-ukut-319-aac。
[19]Executive Order 14117；美国司法部Data Security Program最终规则，28 C.F.R. Part 202，尤其§§ 202.206、202.224、202.601。‘批量’按覆盖交易前12个月累计计算，且包括匿名化、假名化、去标识化或加密数据；并非所有跨境传输均被禁止。司法部官方资料及2025年9月更新FAQ：https://www.justice.gov/nsd/data-security。
[20]Illinois Biometric Information Privacy Act, 740 ILCS 14/15(a)-(d)、14/20。官方文本：https://www.ilga.gov/Legislation/ILCS/Articles?ActID=3004&ChapterID=57。
[21]Colorado Privacy Act, Colo. Rev. Stat. §§ 6-1-1303(24), 6-1-1308(7)；Colorado Attorney General,《Colorado Privacy Act (CPA)》。敏感数据包括揭示种族、族裔来源的数据及用于识别个人的生物识别数据，处理前须取得有效同意：https://coag.gov/resources/colorado-privacy-act/。
[22]California Consumer Privacy Act, Cal. Civ. Code §§ 1798.140(ae)(1)(B)-(C), 1798.121；California Code of Regulations, tit. 11, § 7027。官方法典：https://leginfo.legislature.ca.gov/faces/codes_displayText.xhtml?division=3.&chapter=1.&part=4.&lawCode=CIV&title=1.81.5。
[23]Texas H.B. 149 (89th Leg., Reg. Sess. 2025)第2节。官方文本：https://capitol.texas.gov/tlodocs/89R/billtext/html/HB00149F.HTM。
[24]越南《Law on Personal Data Protection》No. 91/2025/QH15第9、11、20、21、31条；Decree No. 356/2025/ND-CP第4条、第6条第4款、第19条。法律官方页面：https://vanban.chinhphu.vn/?docid=214590&pageid=27160&typegroupid=3；法令官方页面：https://vbpl.moj.gov.vn/bocongan/Pages/vbpq-thuoctinh.aspx?ItemID=187276。
[25]Lei No. 13.709/2018（Brazilian General Data Protection Law, LGPD）第5条第II项、第7条第IX项、第11条。第11条对敏感个人数据另列处理事由，未纳入第7条的一般legitimate interests。巴西国家数据保护局官方英译本：https://www.gov.br/anpd/pt-br/centrais-de-conteudo/outros-documentos-e-publicacoes-institucionais/lgpd-en-lei-no-13-709-capa.pdf。
[26]韩国《Personal Information Protection Act》Article 23(1)；《Enforcement Decree of the Personal Information Protection Act》Article 18。前者要求对敏感信息取得separate consent或具有法律明文依据；后者把用于识别个人的特定生理、身体或行为特征信息纳入敏感信息。官方英文入口：https://www.pipc.go.kr/eng/user/lgp/law/lawsRegulations.do。
[27]日本《Act on the Protection of Personal Information》（Act No. 57 of 2003）第2条第2、3款及第20条第2款；《Cabinet Order to Enforce the Act on the Protection of Personal Information》第1条。种族、信条等属于special care-required personal information；可识别个人的身体特征代码属于individual identification code。日本个人信息保护委员会官方入口：https://www.ppc.go.jp/en/legal/。
[28]澳大利亚《Privacy Act 1988》第6条第1款‘sensitive information’定义及附表1 Australian Privacy Principle 3.3-3.4。另见Office of the Australian Information Commissioner,《Chapter 3: APP 3 Collection of solicited personal information》（2026年5月13日更新）第3.12、3.24-3.27段：https://www.oaic.gov.au/privacy/australian-privacy-principles/australian-privacy-principles-guidelines/chapter-3-app-3-collection-of-solicited-personal-information。
[29]新加坡《Personal Data Protection Act 2012》第13、18、24、25条；Personal Data Protection Commission,《Guide on the Responsible Use of Biometric Data in Security Applications》（2022年5月17日）第11-13、20-21页及附录B。官方文本：https://www.pdpc.gov.sg/-/media/files/pdpc/pdf-files/other-guides/guide-to-biometric_17may2022.pdf。
[30]European Data Protection Board, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, Version 2.0, adopted on 7 July 2021, para. 17, p. 10.
[31]Jeppe Songe-Møller & Sondre Arora Aaserud, “Recent Fines Imposed By The Norwegian Data Protection Authority (‘NDPA’)”, Mondaq, 29 November 2021, https://www.mondaq.com/data-protection/1136070/recent-fines-imposed-by-the-norwegian-data-protection-authority-ndpa.
[32]European Data Protection Board, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, Version 2.0, adopted on 7 July 2021, paras. 12, 28-29, pp. 9, 13.
[33]European Commission, “Adequacy decisions”, European Commission, accessed 4 September 2026, https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en.
[34]European Commission, “New Standard Contractual Clauses - Questions and Answers overview”, European Commission, accessed 4 September 2026, https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/new-standard-contractual-clauses-questions-and-answers-overview_en.
本文版权归「科技法全球合规观察」所有，如需转载，请联系下方秘书号洽谈授权。
如果您有相关法律咨询需求，
欢迎添加团队秘书号：
