DATA BREACH TEMPLATE

2026.07

不是普通表格

是一份可以直接照着填的

数据泄露通知清单

EDPB 模板全文翻译 · 填写友好版 · 字段逻辑保留

拿走直接用｜EDPB 数据泄露通知模板

GDPR EDPB

— 配图：EDPB 数据泄露通知模板全文翻译

📦 10 Parts

👉 滑动

PART 01

译者序

先读说明

PART 02

1. 个人数据泄

通知入口

PART 03

2. 数据控制者

主体识别

PART 04

3. 关于个人数

字段展开

PART 05

4. 关于个人数

字段展开

PART 06

5. 向数据主体

字段展开

PART 07

6. 其他可能事

字段展开

PART 08

7. 附件

材料清单

PART 09

说明

阅读提示

LAST

原文疑似笔误与填

复核记录

2026 填写友好版。本版以完整中文翻译稿为基础整理而成；为便于中文呈现、阅读和实际填写，将原模板表格改写为逐项字段块。字段编号、选项、填写提示、是否必填和业务逻辑均按原译文保留。

版本 1.0

2026 年 6 月 8 日通过，作为公众咨询版本发布

PART

译者序

TRANSLATOR NOTE · 先读说明

2026 年 6 月，欧洲数据保护委员会（EDPB）通过了这份个人数据泄露通知通用模板，并将其作为公众咨询文本发布。它的意义不只在于提供一张表格，更在于把 GDPR 第 33 条下的数据泄露通知要求拆解为可执行的字段、选项、提示和条件逻辑，同时覆盖第 34 条向数据主体告知的关键要素。对于需要在不同成员国监管机构之间协调通知口径的组织而言，这类统一模板有助于减少重复解释，也让通知内容更容易被监管机构接收、比较和处理。

本译文以完整翻译稿为基础。为了便于呈现和填写，本版不再机械复刻原 Word 模板中的横向表格，而是改为“填写友好版”：每一项字段单独展开，依次列明是否必填、可选项、填写区域、填写提示和业务逻辑。该调整只改变呈现方式，不改变字段含义、选项顺序或条件逻辑。凡原文存在疑似笔误、编号重复或逻辑不一致之处，本文将尽量采用便于填写的表述，并在相应字段或文末说明中提示。

阅读和填写时可以把这份模板分为三层：第一层是通知基本信息和主体识别；第二层是泄露事实、影响范围、风险评估与补救措施；第三层是向数据主体告知、跨境处理、其他机关通知及附件。真正填写时，最重要的不是把每一个字段都写得很长，而是让时间线、受影响数据、风险判断和补救行动之间能够相互印证。

需要特别说明的是，本译文仅供学习、研究和合规工作参考，不构成法律意见，也不能替代主管监管机构的正式表单或填报系统。若用于实际数据泄露通知，应以相关监管机构当时有效的官方要求、表单入口和个案沟通为准。

PART

1. 个人数据泄露通知信息

DATA BREACH NOTICE · 字段展开

1.1 通知类型

FIELD 3

通知类型

是否必填：

是

可选项：

☐a) 新通知

☐b) 后续通知

填写/选择说明：

填写提示：

请在此说明你是在通知一起新的数据泄露，还是在修改此前的通知

FIELD 4

通知子类型

是否必填：

是

可选项：

☐a) 完整

☐b) 不完整

☐c) 撤回

填写/选择说明：

填写提示：

请在此说明你是提供完整通知、修改一项初步（不完整）通知，还是提供有待修改的初步（不完整）信息。
完整（可以提供所有所需信息）
不完整（目前无法提供全部信息）
撤回（取消此前通知；例如重复、初步评估后无风险）

业务逻辑：

仅当“通知类型”=“后续通知”时，“撤回”可见

FIELD 5

撤回此前通知的理由

是否必填：

是，如可见

填写：

业务逻辑：

仅当“通知类型”=“后续通知”且“后续通知子类型”=“撤回”时可见

FIELD 6

此前已通知的个人数据泄露的 ID

是否必填：

是，如适用

填写：

填写提示：

请提供你正在补充或修改的此前个人数据泄露的 ID。

业务逻辑：

仅当“通知类型”=“补充/修改通知/撤回”时可见。检查此前已通知的数据泄露是否存在

FIELD 7

数据控制者的内部参考编号

是否必填：

否

填写：

填写提示：

如有，请提供你的内部参考编号

PART

2. 数据控制者和报告人的识别信息

CONTROLLER · 主体识别

2.1 关于数据控制者

FIELD 10

标识符类型

是否必填：

是，如适用

可选项：

☐a) 公司 ID

☐b) 组织编号

☐c) 增值税号（……）[…]

填写/选择说明：

业务逻辑：

可选字段

FIELD 11

标识符

是否必填：

是，如适用

填写：

业务逻辑：

可选字段，要求填写所选择的标识符

FIELD 12

组织名称

是否必填：

是

填写：

FIELD 13

联系方式*

是否必填：

是

填写：

FIELD 14

部门

是否必填：

否

可选项：

☐a) 私营

☐b) 公共

填写/选择说明：

FIELD 15

组织类型

是否必填：

否

可选项：

☐a) 自由职业者或微型企业

☐b) 中小企业

☐c) 大型企业

☐d) 其他

填写/选择说明：

填写提示：

如你认为你的组织不属于这四类，请选择“其他”并说明。

业务逻辑：

仅适用于私营

FIELD 16

关于组织类型的进一步说明

是否必填：

否

填写：

业务逻辑：

仅当选择其他时

FIELD 17

经济活动分类

是否必填：

否

可选项：

☐A 农业、林业和渔业

☐B 采矿和采石业

☐C 制造业

☐D 电力、燃气、蒸汽和空调供应

☐E 供水；污水处理、废物管理和修复活动

☐F 建筑业

☐G 批发和零售贸易

☐H 运输和仓储

☐I 住宿和餐饮服务活动

☐J 出版、广播以及内容制作和分发活动

☐K 电信、计算机编程、咨询、计算基础设施和其他信息服务活动

☐L 金融和保险活动

☐M 房地产业

☐N 专业、科学和技术活动

☐O 行政和支持服务活动

☐P 公共行政和国防；强制性社会保障

☐Q 教育

☐R 人类健康和社会工作活动

☐S 艺术、体育和娱乐

☐T 其他服务活动

☐U 家庭作为雇主的活动以及家庭为自用而开展的未区分商品和服务生产活动

☐V 域外组织和机构的活动

填写/选择说明：

FIELD 18

EEA 内代表的姓名

是否必填：

是，如可见

填写：

业务逻辑：

仅当控制者未在 EEA 设立时

FIELD 19

EEA 内代表的联系方式*

填写：

2.2 报告人身份

FIELD 21

报告人姓名

是否必填：

是

填写：

FIELD 22

联系方式

是否必填：

是

填写：

FIELD 23

报告人职能

是否必填：

是

可选项：

☐a) DPO

☐b) 法定代表人

☐c) 授权代表或其他（请说明）

填写/选择说明：

FIELD 24

关于报告人职能的说明

是否必填：

是，如可见

填写：

业务逻辑：

仅当 23 为 c) 其他时

FIELD 25

国家识别号码

是否必填：

是，如适用

填写：

业务逻辑：

可选字段，仅在要求时实施

FIELD 26

准确性与责任

是否必填：

是，如适用

参考值/选项：

•复选框：关于所提供信息准确性责任的信息（可与第 13 条信息合并）

填写：

业务逻辑：

可选字段，仅在要求时实施

2.3 数据保护官或可获取更多信息的其他联系点的姓名和联系方式

2.3.1 关于数据保护官

FIELD 29

是否已指定数据保护官？

是否必填：

是

填写：

业务逻辑：

仅当 DPO 尚未作为报告人在第 1 部分提供时

FIELD 30

DPO 姓名

是否必填：

是

填写：

业务逻辑：

仅当尚未提供 DPO 时

FIELD 31

联系方式*

是否必填：

是

填写：

业务逻辑：

仅当尚未提供 DPO 时

2.3.2 关于可获取更多信息的联系点

_业务逻辑：仅当不同于上述联系点时_

FIELD 33

可通过以下人员获取关于事件的更多信息

可选项：

☐a) DPO

☐b) 报告人

☐c) 其他（请说明）

填写/选择说明：

FIELD 34

联系人姓名

是否必填：

是，如可见

填写：

FIELD 35

联系人职能

是否必填：

是，如可见

填写：

FIELD 36

联系方式*

是否必填：

是，如可见

填写：

2.4 其他方的参与

FIELD 38

是否有其他方参与，例如数据处理者或共同控制者？

是否必填：

是

可选项：

☐a) 是

☐b) 否

填写/选择说明：

填写提示：

请在此说明是否有其他组织参与了该数据泄露（例如数据处理者、共同控制者等）

FIELD 39

其他参与方的身份/角色

是否必填：

是

参考值/选项：

•对每一方：

•请说明角色：数据处理者、共同控制者或其他（请说明），并在下方提供识别信息

填写：

业务逻辑：

仅当“是否有其他方参与，例如数据处理者或共同控制者？”= 是时可见

FIELD 40

其他参与方名称

是否必填：

是

填写：

业务逻辑：

仅当“是否有其他方参与，例如数据处理者或共同控制者？”= 是时可见
允许填写多个

FIELD 41

联系方式*

是否必填：

是

填写：

PART

3. 关于个人数据泄露的初步信息

DATA BREACH NOTICE · 字段展开

3.1 个人数据泄露及其发现的日期和时间

FIELD 44

个人数据泄露何时发生？

是否必填：

是

可选项：

☐a) 在某一具体日期

☐b) 从某日期至某日期

☐c) 自某日期起并仍在持续

☐d) 无法确定

☐e) 待确定

填写/选择说明：

填写提示：

如你无法准确知道日期，请在下方说明估计日期

业务逻辑：

“待确定”仅适用于不完整通知。

原文注记：

原文业务逻辑写作 “f) To be determined”，但本字段选项中“待确定”为 e)，疑似原文选项编号笔误。

FIELD 45

只能提供估计日期

是否必填：

否

参考值/选项：

•[复选框]

填写：

填写提示：

请在字段 49 中说明你如何估计泄露日期

FIELD 46

个人数据泄露开始日期和时间

是否必填：

是，如可见

填写：

FIELD 47

个人数据泄露结束日期和时间

是否必填：

是，如可见

填写：

业务逻辑：

仅当选择 a、b 时

FIELD 48

数据控制者知悉个人数据泄露的日期和时间

是否必填：

是

填写：

FIELD 49

迟延通知个人数据泄露的理由

是否必填：

是，如可见

填写：

业务逻辑：

填写友好提示：仅当当前时间已超过“知悉泄露日期 + 72 小时”且为“新通知”时，通常需要说明迟延理由。

原文注记：

原文写作“知悉泄露日期 + 72 小时 > 当前时间”时可见，疑似与迟延通知场景相反；如用于系统配置，应以主管机构正式表单逻辑为准。

FIELD 50

个人数据泄露是如何被发现的？

是否必填：

是

可选项：

☐a) 由数据控制者发现

☐b) 由数据处理者发现并告知

☐c) 由数据主体告知

☐d) 由外部方告知

☐e) 新闻报道

☐f) 其他（请在进一步说明中说明）

填写/选择说明：

FIELD 51

关于个人数据泄露发现情况的进一步说明

是否必填：

是

填写：

填写提示：

请说明个人数据泄露是如何被发现的，例如恶意软件或入侵检测系统、协调漏洞披露等

FIELD 52

其他方通知的日期

是否必填：

是，如可见

填写：

填写提示：

如你无法准确知道该日期，请说明大致日期。

业务逻辑：

仅当存在外部通知时（50 为 b)、c)、d)、e)、f)）

FIELD 53

关于时间线和补充信息的进一步评论

是否必填：

如选择“只能提供估计日期”，则必填

填写：

填写提示：

请概述有关时间线的相关事件和其他事项（如适用），例如对可用性、完整性和保密性的影响持续时间、处理者知悉日期等。
请说明你如何估计泄露日期（如适用）

原文注记：

原文必填条件写作 “Yes, if 41a”。结合上下文，该处更可能指向字段 45“只能提供估计日期”。

3.2 个人数据泄露的性质、情形和摘要

FIELD 55

个人数据泄露的性质

是否必填：

是

可选项：

☐a) 保密性泄露 - 未经授权或意外披露个人数据，或未经授权或意外访问个人数据。

☐b) 完整性泄露 - 未经授权或意外更改个人数据。

☐c) 可用性泄露 - 意外或未经授权丧失对个人数据的访问，或个人数据被销毁。

填写/选择说明：

FIELD 56

保密性泄露类型

是否必填：

是，如可见

可选项：

☐a) 个人数据已被外传或披露

☐b) 个人数据可能已被外传或披露（无证据）

☐c) 个人数据未被外传且未被披露（存在合理证据）

☐d) 无法评估

☐e) 待确定

填写/选择说明：

业务逻辑：

仅当涉及保密性时
“待确定”仅适用于不完整通知。

FIELD 57

对无权访问数据的任何人而言，数据是否不可理解，或者个人是否不可识别？

是否必填：

是，如可见

可选项：

☐a) 是，且保护仍然完好（例如数据已被安全加密或以其他方式受到保护）

☐b) 已采取保护措施，但这些措施很可能被绕过或破解（例如未经授权方可能能够使用解密密钥，或利用已适用措施中的技术弱点）

☐c) 否

☐d) 无法评估

☐e) 待确定

填写/选择说明：

填写提示：

如你回答 d)，请说明为何无法进行评估（例如技术原因）

业务逻辑：

仅当涉及保密性时
“待确定”仅适用于不完整通知。

FIELD 58

完整性泄露类型

是否必填：

是，如可见

可选项：

☐a) 数据被更改或修改，但没有非法或错误使用的证据

☐b) 数据被更改或修改，并有非法或错误使用的证据，但仍有可能逆转/恢复对数据主体造成的损害

☐c) 数据被更改或修改，并有非法或错误使用的证据，且无法逆转/恢复对数据主体造成的损害

填写/选择说明：

业务逻辑：

仅当涉及完整性时

FIELD 59

可用性泄露类型

是否必填：

是，如可见

可选项：

☐a) 临时可用性问题

☐b) 永久可用性问题

☐c) 未确定

填写/选择说明：

填写提示：

请从数据主体视角评估可用性问题

业务逻辑：

仅当涉及可用性时

FIELD 60

事件性质

是否必填：

是

可选项：

☐a) 员工滥用访问权限

☐b) 设备被加密 / 勒索软件

☐c) 检测到黑客攻击 / 恶意软件活动

☐d) 网络钓鱼 / 社会工程

☐e) 安全漏洞（可能）被利用（已知 CVE 或零日漏洞）

☐f) 未经授权访问 IT 系统中的个人数据

☐g) 数据外传 / 未经授权提取个人数据

☐h) 显示了错误数据主体的数据（记录混淆）

☐i) 设备遗失或被盗

☐j) 电子废弃物（废旧设备上仍留有个人数据）

☐k) 纸质个人数据处置不当

☐l) 邮件遗失或被打开 / 投递错误（邮寄/电子邮件）

☐m) 配置错误

☐n) 访问权限不正确（例如云存储、共享文件夹）

☐o) 纸质资料遗失、被盗或留在不安全地点

☐p) 个人数据被删除/销毁

☐q) 个人数据被显示给错误接收人

☐r) 个人数据被错误发送（邮寄/电子邮件）

☐s) 向多个接收人发送电子邮件时未使用密送 / 使用了公开分发列表

☐t) 技术故障

☐u) 未经授权修改数据

☐v) 非预期发布（例如公开链接 / 公开网站 / 共享驱动器）

☐w) 口头未经授权披露个人数据

☐x) 待确定

☐y) 其他（请在进一步说明中说明）

填写/选择说明：

FIELD 61

个人数据泄露原因

是否必填：

是

可选项：

☐a) 内部非恶意

☐b) 内部恶意

☐c) 外部非恶意

☐d) 外部恶意

☐e) 待确定

☐f) 未知

填写/选择说明：

业务逻辑：

“待确定”仅适用于不完整通知。

FIELD 62

关于事件性质的进一步说明

是否必填：

是

填写：

填写提示：

请简要说明泄露的性质（发现、知悉、原因、已采取措施），并说明你的判断所依据的事实。如可能，请说明事件的根本原因。

FIELD 63

涉及个人数据泄露的系统、软件、服务和基础设施的说明及其所在地

是否必填：

是

填写：

填写提示：

请按语义分组列出说明，例如
系统：
• 生产数据库：
o 客户数据库（完整/部分），包含 ****，位于 ***
o 内部 HR 数据库（完整/部分），包含 ****，位于 ***
• 测试基础设施
o 测试数据库（完整/部分），包含 ****；位于 ***
软件：
• 会计软件
• 支付系统软件

3.3 受影响数据主体的类别和数量

FIELD 65

受影响数据主体的类别

是否必填：

是

可选项：

☐a) 客户（现有客户和潜在客户）

☐b) 员工（前员工、现员工和候选人）

☐c) 军事或执法人员

☐d) 未成年人

☐e) 患者

☐f) 学生

☐g) 订阅者

☐h) 用户

☐i) 脆弱个人（老年人、难民、残障人士、受害者等）

☐j) 其他受影响数据主体（请在进一步说明中说明）

☐k) 尚不知悉

填写/选择说明：

填写提示：

如你回答 i)，请说明是哪类脆弱人群。如你不确定受影响数据主体是否脆弱或如何脆弱，请简要说明其情况，以及你为何认为其属于脆弱人群。

业务逻辑：

“尚不知悉”仅适用于不完整通知。

FIELD 66

关于受影响数据主体类别和其他数据主体的进一步说明

是否必填：

是

填写：

FIELD 67

受个人数据泄露影响的数据主体

是否必填：

是

可选项：

☐a) 确切数量

☐b) 近似数量

☐c) 无法确定数量

☐d) 数量待确定

填写/选择说明：

业务逻辑：

“数量待确定”仅适用于不完整通知。

FIELD 68

受个人数据泄露影响的数据主体数量

是否必填：

是，如上一问题选择“确切数量”或“近似数量”

填写：

业务逻辑：

仅当选择 a/b 时
根据此前所选择的值询问，填写提示：“如 c)，当前估计为：……”

3.4 受影响个人数据记录的类别和数量

FIELD 70

泄露数据类型

是否必填：

是

可选项：

☐a) 基本数据（例如姓名、姓氏、出生日期）

☐b) 联系方式（例如地址、电话号码、电子邮件）

☐c) 生物识别数据

☐d) 刑事定罪、违法行为或安全措施

☐e) 揭示政治观点的数据

☐f) 揭示种族或族裔出身的数据

☐g) 揭示宗教或哲学信仰的数据

☐h) 揭示性生活或性取向的数据

☐i) 揭示工会会员身份的数据

☐j) 遗传数据

☐k) 健康数据（例如医疗记录、检测结果等）

☐l) 经济和金融数据

☐m) 与就业有关的健康数据（例如病假证明、就医证明、体检结果或类似数据）

☐n) 身份识别数据（例如国家识别号码、身份证号码）

☐o) 位置数据

☐p) 官方文件（例如扫描件）

☐q) 支付方式（例如信用卡、银行账户）

☐r) 画像数据（例如社交网络、信用评分、心理或其他画像）

☐s) 用户凭据（例如用户名、密码、令牌）

☐t) 尚不知悉

☐u) 其他数据类型（请在进一步说明中说明）

填写/选择说明：

业务逻辑：

“尚不知悉”仅适用于不完整通知。

FIELD 71

关于泄露数据和其他数据类别的进一步说明

是否必填：

是

填写：

FIELD 72

受个人数据泄露影响的个人数据记录

是否必填：

是

可选项：

☐a) 确切数量

☐b) 近似数量

☐c) 无法确定数量

☐d) 数量待确定

填写/选择说明：

填写提示：

请说明记录类型：关于每名受影响数据主体的数据数量。例如，应避免仅提及“500”。因为“关于 100 人的 5 类数据（即 *、*、*、*、*）”和“关于 5 人的 100 类数据（即 *、*、*、*、*）”可能不会导致相同的风险评估，即使二者都可以概括为“500 条记录”。

业务逻辑：

“数量待确定”仅适用于不完整通知。

FIELD 73

受个人数据泄露影响的个人数据记录数量

是否必填：

是

填写：

填写提示：

请在此说明受泄露影响的记录数量，即受泄露影响的数据库中单项条目的数量。

业务逻辑：

根据此前所选择的值询问

3.5 个人数据泄露发生时已采取的措施

FIELD 75

个人数据泄露发生时已采取的相关措施

是否必填：

是

可选项：

☐a) 假名化

☐b) 备份 / 恢复计划

☐c) 数据加密

☐d) 数据保护和信息安全政策

☐e) 数据保护和安全培训

☐f) 事件日志

☐g) 数据访问级别

☐h) 逻辑访问控制（例如 MFA）

☐i) 定期审计

☐j) 物理访问控制

☐k) 已保持更新的 IT 系统

☐l) 其他措施（请在进一步说明中说明）

填写/选择说明：

填写提示：

该清单并非穷尽，仅涵盖常见措施。
你可能因某些措施不适用或无用而未适用。
同时，你可能适用了清单之外但有用的措施。如是，请通过回答 L 加以说明。

FIELD 76

关于个人数据泄露发生时已采取的相关措施的进一步说明

是否必填：

是

填写：

填写提示：

提醒：你已说明技术措施很可能被攻击者绕过或破解。请在此补充这些措施的相关详细程度，并说明其他相关措施。

业务逻辑：

如 57 表明已采取的措施很可能被攻击者绕过或破解，请在此通过填写提示提醒数据控制者详细说明

PART

4. 关于个人数据泄露的进一步信息

DATA BREACH NOTICE · 字段展开

4.1 个人数据泄露的可能后果以及对数据主体的潜在不利影响

FIELD 79

保密性泄露情况下的可能后果

是否必填：

是，如可见

可选项：

☐a) 数据被披露，超出了隐私政策或相关法律规定的范围

☐b) 数据可能在无需不合理努力的情况下与关于数据主体的其他信息相链接

☐c) 数据可能被用于非预期目的或被非法使用

☐d) 其他

☐e) 正在评估

填写/选择说明：

业务逻辑：

仅当“保密性”= 是时可见
“正在评估”仅适用于不完整通知。

FIELD 80

关于其他保密性后果的说明

是否必填：

是，如可见

填写：

业务逻辑：

仅当“其他”= 是时可见

FIELD 81

完整性泄露情况下的可能后果

是否必填：

是，如可见

可选项：

☐a) 数据可能已被修改并被使用，尽管其已不再有效

☐b) 数据可能已被修改为其他有效数据，并随后被用于其他目的

☐c) 其他

☐d) 正在评估

填写/选择说明：

业务逻辑：

仅当涉及可用性泄露时可见
“正在评估”仅适用于不完整通知。

原文注记：

原文写作仅当 “Integrity”= 1 时可见；结合字段标题和选项，此处疑似应为可用性泄露。

FIELD 82

关于其他完整性后果的说明

是否必填：

是，如可见

填写：

业务逻辑：

仅当“其他”= 是时可见

FIELD 83

可用性泄露情况下的可能后果

是否必填：

是，如可见

可选项：

☐a) 无法访问服务

☐b) 服务中断和服务使用困难

☐c) 其他

☐d) 正在评估

填写/选择说明：

业务逻辑：

仅当“完整性”= 1 时可见
“正在评估”仅适用于不完整通知。

FIELD 84

关于其他可用性后果的说明

是否必填：

是，如可见

填写：

业务逻辑：

仅当“其他”= 是时可见

FIELD 85

对数据主体的潜在影响性质

是否必填：

是

可选项：

☐a) 失去对其个人数据的控制

☐b) 其权利受到限制

☐c) 歧视

☐d) 身份盗窃或身份冒用

☐e) 欺诈

☐f) 经济损失

☐g) 未经授权逆转假名化

☐h) 声誉损害

☐i) 受职业保密义务保护的个人数据失去保密性

☐j) 向未经授权的第三方披露数据

☐k) 重大经济或社会不利影响

☐l) 身体或精神伤害

☐m) 对财产造成物质或非物质损害

☐n) 其他影响（请在进一步说明中说明）

☐o) 待确定

填写/选择说明：

填写提示：

请在此说明对数据主体权利和自由的影响性质。

FIELD 86

关于数据主体其他影响的进一步说明

是否必填：

是，如可见

填写：

业务逻辑：

仅当“对数据主体的潜在影响说明”=“其他”时可见

FIELD 87

潜在影响的严重程度

是否必填：

是

可选项：

☐a) 轻微

☐b) 中等

☐c) 严重

☐d) 待确定

填写/选择说明：

填写提示：

请在此说明你对数据主体所受泄露影响严重程度进行自我评估的结果。如可能发生多种潜在影响，请选择最高严重程度。

4.2 对自然人权利和自由所面临风险的评估

FIELD 89

控制者开展的风险评估结果

是否必填：

是

可选项：

☐a) 个人数据泄露很可能对自然人的权利和自由造成高风险

☐b) 个人数据泄露很可能对自然人的权利和自由造成（非高）风险

☐c) 个人数据泄露不太可能对自然人的权利和自由造成风险

☐d) 需要补充信息，以评估自然人的权利和自由所面临的风险

填写/选择说明：

业务逻辑：

“需要补充信息，以评估自然人的权利和自由所面临的风险”仅适用于不完整通知。

原文注记：

原文将后两项均编号为 c)。本填写友好版为避免误填，将最后一项顺延为 d)。

FIELD 90

关于数据控制者所开展风险评估的进一步说明

是否必填：

是

填写：

填写提示：

请说明所使用的方法以及你纳入考虑的相关因素。

4.3 为处理个人数据泄露并减轻其可能不利影响而已采取（或拟采取）的措施

FIELD 92

为处理个人数据泄露并减轻其后果而已采取的措施

是否必填：

是

填写：

填写提示：

请说明这些措施在何种程度上解决了问题。

4.4 为防止类似个人数据泄露而已采取（或拟采取）的措施

FIELD 94

为防止类似个人数据泄露而采取的相关措施

是否必填：

是

可选项：

☐a) 匿名化

☐b) 备份 / 恢复计划

☐c) 流程变更

☐d) 数据加密

☐e) 数据保护和信息安全政策

☐f) 数据保护和安全培训

☐g) 删除数据

☐h) 事件日志

☐i) 数据访问级别

☐j) 逻辑访问控制（例如 MFA）

☐k) 定期审计

☐l) 物理访问控制

☐m) 假名化

☐n) 已保持更新的 IT 系统

☐o) 其他措施（请在进一步说明中说明）

填写/选择说明：

FIELD 95

关于为避免今后发生类似事件而更新的相关永久性措施的进一步说明

是否必填：

是

填写：

填写提示：

请说明这些措施在何种程度上解决了问题并改善了情况。
如你在上一问题中选择“其他措施”，应提供说明。
尽管如此，如你认为相关，请不要犹豫说明泄露后已采取或拟采取的进一步措施。

原文注记：

原文提到上一问题 m) 为 Other measures，但字段 94 中“其他措施”为 o)，m) 为“假名化”。

PART

5. 向数据主体的告知

DATA BREACH NOTICE · 字段展开

FIELD 97

是否已向数据主体告知个人数据泄露？

是否必填：

是

可选项：

☐a) 是

☐b) 否，但将在某一具体日期告知

☐b1) 否，但将在待确定日期告知

☐c) 否，调查仍在进行

☐d) 否，不会告知，因为个人数据泄露不太可能对自然人的权利和自由造成高风险

☐e) 否，不会告知，因为符合 GDPR 第 34(3) 条所述条件之一

填写/选择说明：

填写提示：

如你尚未评估是否将进行通知，请注意，一旦作出决定，你必须提交后续通知。
如你分阶段向数据主体告知数据泄露，或者尚无法联系所有数据主体，请在字段 98 和 98a 中说明。

业务逻辑：

“否，风险评估仍在进行”仅适用于不完整通知。

原文注记：

原文业务逻辑中的“风险评估仍在进行”与选项 c) 的“调查仍在进行”存在表述不一致。

FIELD 98

向数据主体提供信息的日期

是否必填：

是，如可见

填写：

填写提示：

请在此说明你已开始通知数据主体的日期。

业务逻辑：

仅当“数据主体告知”= 是时可见

FIELD 99

将向数据主体告知数据泄露的未来日期

是否必填：

如“数据主体告知”=“否，但将会告知”，则其中一个字段为必填

填写：

业务逻辑：

仅当“数据主体告知”=“否，但将会告知”时可见

FIELD 100

关于符合 GDPR 第 34(3) 条所述条件的进一步信息

是否必填：

是，如可见

可选项：

☐a) 控制者已实施适当的技术和组织保护措施，且这些措施已适用于受个人数据泄露影响的个人数据，特别是使任何无权访问该个人数据的人无法理解该数据的措施，例如加密。

☐b) 控制者已采取后续措施，确保第 1 款所述对数据主体权利和自由的高风险不再可能发生。

☐c) 告知将涉及不成比例的努力。在这种情况下，应改为发布公开告知或采取类似措施，使数据主体以同等有效的方式获知。

填写/选择说明：

业务逻辑：

仅当“数据主体告知”=“否，他们不会被告知”时可见

FIELD 101

关于为何符合 GDPR 第 34(3) 条所述条件以及所采取措施的进一步说明

是否必填：

是，如可见

填写：

业务逻辑：

仅当“数据主体告知”=“否，他们不会被告知”时可见

FIELD 102

已被告知的数据主体数量

是否必填：

是，如可见

可选项：

☐a) 所有数据主体均已被告知

☐b) 并非所有数据主体均已被告知

填写/选择说明：

业务逻辑：

仅当“数据主体告知”= 是时可见

FIELD 103

关于为何并非所有数据主体均已被告知的进一步说明

是否必填：

是，如可见

填写：

填写提示：

请说明部分数据主体未被告知的原因，例如有些人可能因理由 A 未被告知，另一些人可能因理由 B 未被告知等。
原因可以具有各种性质，不仅应考虑技术原因：流程仍在进行、部分数据主体无法以同样方式联系、其他法律适用于其、告知成本高得多等

业务逻辑：

仅当“b) 并非所有数据主体均已被告知”时可见

FIELD 104

用于告知数据主体的沟通方式

是否必填：

是，如可见

可选项：

☐a) 个别沟通（信函/电子邮件/个人沟通）

☐b) 公开公告（网站/新闻稿/社交网络）

☐c) 其他

填写/选择说明：

业务逻辑：

仅当“数据主体告知”= 是时可见

FIELD 105

关于其他沟通方式的进一步说明

是否必填：

否

填写：

业务逻辑：

仅当“数据主体告知”= 是时可见

FIELD 106

提供给数据主体的信息内容

是否必填：

是，如可见

填写：

填写提示：

请以最相关的方式提供该内容。例如，如果所提供的信息只是仅含纯文本的电子邮件，在此复制文本即可。又如，如果你的信息包含有助于理解的图片/视频，请提供数据保护机构查阅该内容的方式（网页、电子邮件截图、下载页面等）。

业务逻辑：

仅当“数据主体告知”= 是时可见

PART

6. 其他可能事项

DATA BREACH NOTICE · 字段展开

6.1 是否已通知其他机关或机构

FIELD 109

该事件是否已作为刑事犯罪报告给警方/司法机关？

是否必填：

否

可选项：

☐a) 是

☐b) 否

☐c) 未知

填写/选择说明：

FIELD 110

该事件是否已根据其他相关立法通知其他监管机构或控制机构？（例如国家网络安全中心等）

是否必填：

否

可选项：

☐a) 是

☐b) 否

☐c) 未知

填写/选择说明：

FIELD 111

关于通知其他机关或机构的进一步信息

是否必填：

是，如可见

填写：

填写提示：

请说明是哪一机关（无论是否涉及数据保护），并在可能情况下提供该机关使用且可供引用的案件 ID。

业务逻辑：

仅当 109/110 为是时可见

6.2 个人数据泄露是否涉及跨境处理

FIELD 113

个人数据泄露是否涉及由在欧洲经济区（EEA）设立的控制者开展的跨境处理？

是否必填：

是

可选项：

☐a) 是

☐b) 否

☐c) 未知

填写/选择说明：

业务逻辑：

章节：仅当数据控制者位于 EEA 时

FIELD 114

主导监管机构为：

是否必填：

是，如可见

参考值/选项：

•监管机构清单/未知

填写：

FIELD 115

控制者设有机构的 EEA 国家清单

是否必填：

是，如可见

参考值/选项：

•EEA 国家清单

•BE;BG;DK;DE;EE;FI;FR;GR;IE;IT;HR;LV;LT;LU;MT;NL;AT;PL;PT;RO;SE;SK;SI;ES;CZ;HU;CY;IS;LI;NO

填写：

填写提示：

请在此说明受泄露影响的国家。

业务逻辑：

仅当“这是否是向你的主导监管机构作出的跨境通知”= 是时可见

FIELD 116

受影响数据主体所在地的 EEA 国家清单

是否必填：

是，如可见

参考值/选项：

•EEA 国家清单

•BE;BG;DK;DE;EE;FI;FR;GR;IE;IT;HR;LV;LT;LU;MT;NL;AT;PL;PT;RO;SE;SK;SI;ES;CZ;HU;CY;IS;LI;NO

填写：

填写提示：

请在此说明受泄露影响的国家。

业务逻辑：

仅当“这是否是向你的主导监管机构作出的跨境通知”= 是时可见

FIELD 117

每个国家的数据主体近似数量

是否必填：

是，如可见

参考值/选项：

•对每个受影响国家询问数量

填写：

业务逻辑：

仅针对所选择的国家

FIELD 118

已经或将要通知该泄露的 EEA 监管机构清单

是否必填：

是，如可见

参考值/选项：

•Austria - Datenschutzbehörde

•Austria - Parlamentarisches Datenschutzkomitee

•Belgium - Autorité de protection des données / Gegevensbeschermingsautoriteit

•Bulgaria - Комисия за защита на личните данни

•Cyprus - Γραφείο Επιτρόπου Προστασίας Δεδομένων Προσωπικού Χαρακτήρα

•Croatia - Agencija za zaštitu osobnih podataka

•Czech Republic - Úřad pro ochranu osobních údajů

•Denmark - Datatilsynet

•Estonia - Andmekaitse Inspektsioon

•Finland - Tietosuojavaltuutetun Toimisto / Dataombudsmannens Byrå

•France - Commission Nationale de l’Informatique et des Libertés

•Germany (Federal) - Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit

•Germany (Baden-Württemberg) - Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg

•Germany (Bavaria - Private sector) - Bayerisches Landesamt für Datenschutzaufsicht

•Germany (Bavaria - Public sector) - Der Bayerische Landesbeauftragte für den Datenschutz

•Germany (Berlin) - Berliner Beauftragte für Datenschutz und Informationsfreiheit

•Germany (Brandenburg) - Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg

•Germany (Bremen) - Die Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen

•Germany (Hamburg) - Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit

•Germany (Hesse) - Hessische Beauftragte für Datenschutz und Informationsfreiheit

•Germany (Lower Saxony) - Der Landesbeauftragte für den Datenschutz Niedersachsen

•Germany (Mecklenburg-Western Pomerania) - Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern

•Germany (North Rhine-Westphalia) - Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen

•Germany (Rhineland-Palatinate) - Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz

•Germany (Saarland) - Unabhängiges Datenschutzzentrum Saarland / Landesbeauftragte für Datenschutz und Informationsfreiheit

•Germany (Saxony) - Sächsische Datenschutz- und Transparenzbeauftragte

•Germany (Saxony -Anhalt) - Landesbeauftragte für den Datenschutz Sachsen-Anhalt

•Germany (Schleswig-Holstein) - Landesbeauftragte für Datenschutz Schleswig-Holstein / Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

•Germany (Thuringia) - Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit

•Greece - Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα

•Hungary - Nemzeti Adatvédelmi és Információszabadság Hatóság

•Iceland - Persónuvernd

•Ireland - Data Protection Commission / An Comisiún um Chosaint Sonraí

•Italy - Garante per la protezione dei dati personali

•Latvia - Datu valsts inspekcija

•Liechtenstein - Datenschutzstelle

•Lithuania - Valstybinė duomenų apsaugos inspekcija

•Lithuania - Žurnalistų etikos inspektoriaus tarnyba

•Luxembourg - Commission Nationale pour la Protection des Données / Nationale Kommission für Datenschutz Großherzogtum

•Malta - Office of the Information and Data Protection Commissioner

•Norway – Datatilsynet

•The Netherlands - Autoriteit Persoonsgegevens

•Poland - Urząd Ochrony Danych Osobowych

•Portugal - Comissão Nacional de Proteção de Dados

•Romania - Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal

•Slovakia - Úrad na ochranu osobných údajov Slovenskej republiky

•Slovenia - Informacijski pooblaščenec

•Spain - Agencia Española de Protección de Datos

•Sweden - Integritetsskyddsmyndigheten

填写：

填写提示：

请在此列明你已经通知或计划通知的其他欧盟监管机构清单。

6.3 是否涉及非 EEA 设立机构开展的处理

FIELD 120

个人数据泄露是否涉及由未在欧洲经济区（EEA）设立的控制者开展、且 GDPR 适用的处理？

是否必填：

是

可选项：

☐a) 是

☐b) 否

☐c) 未知

填写/选择说明：

业务逻辑：

章节：仅当数据控制者不位于 EEA 时

FIELD 121

受影响数据主体所在地的 EEA 国家清单

是否必填：

是，如可见

参考值/选项：

•EEA 国家清单

•BE;BG;DK;DE;EE;FI;FR;GR;IE;IT;HR;LV;LT;LU;MT;NL;AT;PL;PT;RO;SE;SK;SI;ES;CZ;HU;CY;IS;LI;NO

填写：

填写提示：

请在此说明受泄露影响的国家。

业务逻辑：

仅当第一个问题回答是时

FIELD 122

每个国家的数据主体近似数量

是否必填：

是，如可见

参考值/选项：

•对每个受影响国家询问数量

填写：

业务逻辑：

仅当第一个问题回答是时
仅针对所选择的国家

FIELD 123