法院不会因为您遭遇了个人数据泄露而判您败诉。它判您败诉，是因为当被问到事发前一天您究竟部署了什么时，您拿不出文件来回答。差别仅此而已。而这个差别只能事先准备，绝不可能事后补上。
第32条并不要求您有一套完美的系统
《通用数据保护条例》（GDPR）第32条要求采取适当的技术与组织措施。它没有说万无一失，也没有说市面上最好的。它说的是适当，而这个词是经过斟酌选定的：它要求逐案判断，考量数据的性质、处理的具体情境，以及您实际承担的风险。
对于签字的人来说，问题的形态就变了。真正可操作的问题不再是「我受到保护了吗」，那是一个无法回答、也没有尽头的问题。问题是另一个：「如果明天我要在法官面前解释自己的作为，我拿什么来解释」。前一个问题用预算回答，后一个用文件回答。
勤勉是就具体情形来评价的
西班牙马德里省级法院在一起个人数据泄露案件中把这一点说得很清楚。它衡量的不是被告技术上有多先进，而是被告的行为：做了什么、什么时候做的、留下了什么记录。
[...]其在履行个人数据泄露发生时法律为其设定的各项义务方面，行为是勤勉的。「译文」
法院判决免责。不是因为事件没有发生，而是因为被告面对该事件的行为经得起检验。请慢慢读这句话：法院评价的不是结果，而是行为。而行为要么能够证明，要么不能。
那项您确实能够证明的普通措施
同一份判决认定为适当的，是一项没有任何供应商会向您推销为「足够」的措施。
[...]数据的交付[...]是通过一份以密码加密的Excel文件进行的，该密码仅由委员会主席与秘书知悉。「译文」
一份有密码保护的文件，两名有权访问的具名人员。仅此而已。让这项普通措施成为抗辩的，不是它的强度，而是法官可以核实的三个特征：它在事件发生之前就已存在，它把访问权限制在特定人员范围内，并且在庭审中可以被毫不含糊地描述出来。
为什么没有留痕的投入无法为您抗辩
泄露发生后来找我们的企业，几乎都在防护上花过钱。问题不在于没有措施，而在于没有日期。没有人说得清每一项措施是什么时候部署的、由谁决定的，上一年又复核了什么。
这一空白会立刻产生诉讼上的后果。没有记录的事项，无从主张；而事后靠零散邮件和员工记忆拼凑出来的内容，进入庭审时的分量不过是一份草稿。对方只需指出其中的空缺即可。在索赔到来时法院究竟看什么中，您会看到这些空缺总是出现的五个环节。
什么能让一项措施变成证据
- 确切日期：何时部署，自何时起实际运行。
- 书面决定：由谁批准、理由为何，哪怕只是会议纪要中的三行字。
- 具名的范围：谁可以访问、访问什么、依据何种授权。
- 定期复核：留有已经核查、且仍然有效的记录。
- 事件留痕：发现了什么、在几点发现、由谁作出决定、对外告知了什么。
这五点没有一点属于系统层面的事务。它们是五项公司治理事务，因此由您来决定。
等到事件发生才动手，是个错误
泄露会把时间压缩。它一旦发生，通报的时限就开始计算，受影响个人不断询问，对方律师已经在起草文书。那是开始整理勤勉档案的最糟糕时机，因为从那一刻起产生的一切材料，天然带有「为诉讼而作」的嫌疑。
证据档案要在平静时期建立，在公司正常运转、没有紧迫压力的时候。成本不高，平时也感觉不到它的存在。只有在需要它的那一天才会显现，而那一天，它抵得上一切。
在批准下一笔预算之前，先问三个问题
- 这项措施会留下载明日期的文件记录，还是仅仅被安装上去？
- 借助它，我能否用一页纸说清谁可以访问什么？
- 如果明天法官要求我提供当时确已具备该措施的证据，我能否在一周内交出，而无需临时拼凑？
如果第三个问题的答案不是一个笃定的「是」，那么这笔支出改善的是您的防护水平，而不是您在法院面前的处境。这是两件不同的事，批款时不宜混为一谈。
这是否意味着只要记录做得好，防护少一点也无妨？
不是。安全措施仍须与您处理活动的实际风险相适当。该判决说明的是：适当并不等于昂贵。把一项不充分的措施记录下来，不会使它变得充分；但不记录一项适当的措施，确实会使它在抗辩上毫无用处。
内部邮件可以作为日期的证据吗？
比什么都没有强，但不如一份有条理的登记。一封孤立的邮件只能证明某一个时点；而持续维护的清单证明的是一种长期的行为方式，这才是被评价的对象。
如果泄露是供应商造成的呢？
那么第一场较量并不围绕您的安全措施，而是围绕在该系统中由谁具备数据控制者或数据处理者的身份。这一点由数据处理协议决定，而不是由实际的访问情况决定。
您可以在几分钟内看清自己所处的位置：泄露管理测评衡量的是您举证证明既有做法的能力，而不是您系统的安全水平。