几乎每一次泄露之后的会议上都会出现这样一句话：「可是这些我们一直都在做」。这很可能是真的。但它与说了假话同样无关紧要，因为《通用数据保护条例》（GDPR）第5条第2款考量的不是您做了什么，而是您能证明什么。
第2款在第1款之上增加了什么
第5条第1款列举了处理的各项原则：合法、公平、透明、最小化、准确、存储期限限制。第2款增加的是一项性质不同的义务。它不要求您多遵守一项原则，而是要求您能够证明自己遵守了前述原则。这是一项第二层级的义务，也正是绝大多数企业在途中丢失的那一项。
并且，根据GDPR第5条第2款：数据控制者应负责遵守第1款的各项规定，并能够证明其遵守情况（问责原则）。「译文」
「问责原则」听起来像行政术语，实际上却是一条程序规则：它把举证责任放在您这一边。您不是到了庭上去反驳对方举出的证据，而是去证明您自己的。
举证责任决定诉讼胜负
在普通民事诉讼中，谁主张，谁举证。这里不是。这里，处理数据的一方必须证明自己处理得当，即便没有任何人证明他处理不当。这一倒置改变了整个案件的策略，更重要的是改变了必须着手的时点：提前。
对经营的影响读起来并不舒服，但仍应读完。两家实际做法完全相同的公司，可能一家获判免责，另一家被判承担赔偿责任。二者之间唯一的差别，是一份整理有序的档案。
西班牙马德里省级法院已把同一原则用到了几乎无人预料的领域：目的。将第5条第2款与第6条第4款结合来看，由数据控制者负责确定并证明后续目的与当初收集数据时的目的相容（SAP Madrid 123/2026）。
落到您的日常：如果您把为某一目的收集的数据用于新的用途——泄露之后这种情形不断发生，比如交叉比对名单以告知受影响个人，或清理记录——仅仅觉得新目的合理是不够的。您必须事先做过评估，并且能够证明这一评估。
数据准确性原则带着时钟
事件之后，第5条中第二块破裂的是数据准确性。它不是装饰性的原则：它是一项行动义务，且附有隐含的期限。
根据GDPR第5条第1款d项，数据应当准确，并在必要时保持更新；这要求数据控制者采取一切合理措施，不得无故拖延地删除或更正不准确的数据。「译文」
有一句话压过其余：「不得无故拖延」。它没有说等到复核文件的时候。也没有说等到下一次更新。它说的是不得无故拖延，也就是从您知道该数据不准确的那一刻起。时钟随知情而启动，而非随投诉而启动。
泄露之后这一点变得关键。数据会流动、会在工作名单中被复制、会被手工更正、会在一个系统里改而在另一个系统里没改。每一处存留下来的差异，几个月后都会成为一项您明知不准确却仍在保有的数据。
有用的登记表长什么样
- 进入日期：您在何时、经由何人得知该数据不准确。
- 决定：更正或删除了什么，涉及哪些系统，由谁批准。
- 完成日期：何时办结，以便衡量是否存在拖延。
- 告知：变更通知了谁，企业内部与外部分别是谁。
- 结案：证明旧数据未在任何工作名单中继续存在的记录。
一张有这五列的表格，就解决了第5条的大部分问题。它不需要任何工具。它需要的是一项组织决定：由某个人以书面方式受托保持其更新。
书面预案与培训同理
问责原则并不止于数据准确性。它涵盖您在开庭当日将要主张的一切。两个总是出问题的例子：事件应对的书面预案，以及员工培训。
几乎每家企业都有「一套流程」。很少有企业拥有一份载明日期的文件，写明由谁决定通报、期限多久、最低应包含哪些信息。也几乎每家企业都「给员工做培训」，却没有签到名单，也没有日期。未被记录的培训不能作为证据：在法官面前，等同于从未进行。
从经营角度看，赌注是什么
能在一周内交出证据档案的企业，可以谈判。需要三个月才能重建档案的企业，只能让步。档案不改变案件的实体是非：它改变的是您坐下来谈判时所处的位置，而这几乎决定了此后的一切。
还要加上一个在诉讼之前就出现的效应：您的大客户开始要求书面证据，而不是口头声明。准备好的企业几天内即可回复。没有准备的，签约就此拖延。在索赔到来时法院会看什么中，列出了这类证据总是缺失的五个环节。
只要把政策写出来就够了吗？
不够。一份没有日期、没有批准、也没有执行痕迹的政策，只能证明有人写过它，不能证明您遵守了它。真正证明合规的是使用留下的痕迹：决定、记录与往来告知。
这些证据应当保存多久？
至少应保存到他人仍可就其所记载的事实向您索赔为止。宜以书面确定期限并统一适用，因为保存过久同样构成违规。
如果您想知道自己在哪些具体环节做到了却无法举证，泄露管理测评会逐项指出，并附上适用的规则。