请先接受这一出发点，因为它有违直觉，却决定了一切。在因数据处理引发的损害索赔中，您并不是以一个需要被证明有过错的人的身份走进法庭。您是以被推定有过错的数据控制者身份出庭，并由您负责证明相反的事实。
第82条第3款究竟规定了什么
《通用数据保护条例》（GDPR）第82条赋予数据主体就违规行为所致损害获得赔偿的权利。其第3款给出了唯一的出口：数据控制者或数据处理者若证明其对造成损害的事件不负任何责任，即可免责。动词是「证明」，不是「主张」。
西班牙马德里省级法院对这一标准的适用十分明确：要不承担责任，就必须证明已采取旨在避免违规的适当勤勉措施；而且这一义务同样及于因身份冒用而发生的违规（SAP Madrid 273/2024）。
有必要看看在实务中，一份被法院认定成立的勤勉是什么样子。同一法院在一起泄露案件中判决免责时，作出了描述。
[...] 其在履行个人数据泄露发生时法律为其设定的各项义务方面，行为是勤勉的。「译文」
这就是推翻推定所必须达到的标准。不是「这不是我们的过错」，而是「我们做了这些，有据可查，日期在此」。
身份冒用不是自动的免责理由
这是最常见、也最容易被误解的情形。有人冒充客户，要求变更或索取数据，对方给了，损害由此产生。经营者自然的反应是：受骗的人是我。
您可能完全有理，却仍可能败诉。因为受审查的不是您是否被骗，而是您的身份核验流程是否适当，以及您能否证明在那一天、针对那一份具体请求，确实执行了该流程。
因此，抗辩的关键不是接听电话那位员工的证言，而是留痕：向申请人索取了什么、核验了什么、由谁批准、记录在何处。证言会自相矛盾，载明日期的记录不会。
也有必要理解法院为何这样看。如果只要说一句自己被骗了就足够，第82条第3款的推定便毫无意义：按定义，每一起泄露都始于有人做了不该做的事。因此受审查的，只是您力所能及的那一部分：您是否设置了合理的防线，以及您能否把它们拿出来。
为什么事后重建几乎从不奏效
当档案事后拼凑时，总会出现同样的裂缝：大概的日期、各部门之间对不上的说法、未经签署的文件，以及写着「我们谈过，说好是……」的邮件。这些都不是勤勉的证据：它们是对方交叉询问的素材。
稳固的立场恰恰相反，而且有一个非常简单的判别方式。如果法官今天要求您提交勤勉的证据，您能否在一周内交出，且无需临时制作任何材料？如果答案是三个月，您已经知道自己真实的风险敞口。
此外还有一种任何法条都没有写、却决定许多庭审的可信度效应。第一天就交出完整档案的企业，传达出的是这件事一直处于管控之中。另一家被要求一份才补一份的企业，传达的是相反的信息，即便文件本身很好。在一个过错被推定的案件中，这种印象很有分量。
什么能证明勤勉，什么不能
有用
- 一份载明日期的措施清单，日期早于事件发生。
- 一份书面预案，写明由谁决定通报、期限多久。
- 身份核验记录，载有结果、经办人与时间。
- 培训记录，附签到名单与日期。
- 对已作出的决定、以及被否决方案的简要纪要。
没用
- 「这件事我们一直都是这么做的」这种真诚的确信。
- 一份无人批准、也未载明日期的优秀手册。
- 在收到要求的那一周才凑齐的截图与邮件。
- 一位已经离职的员工的说法。
两份清单的差别不在于投入的精力或费用，而在于时点：前者做在事前，后者做在事后。
对经营的影响：连环索赔
过错推定让每一位受影响个人都成为已完成一半工作的索赔人。因此，泄露之后索赔会成串到来：同一份文书，只换名字。也因此，抗辩同样要成批组织。
您的证据档案不必每来一件索赔就准备一次。准备一次，即可用于全部。这是这一领域里唯一站在您这边的规模效应，而且只有事先构建过档案的人才拥有它。这些索赔得以切入的具体环节，已在索赔到来时法院会看什么中列明。
如果我证明这次攻击极为复杂精密，能否免责？
仅凭这一点不能。攻击的复杂程度会被权衡，但要求您证明的是您自身的行为：您当时有哪些措施、自何时起，以及在发现事件后如何处置。
这一推定是否也及于替我处理数据的供应商？
它及于数据控制者与数据处理者，各在其职责范围内。在每个系统中谁是哪一方，由数据处理协议（第28条）确定，因此合同层面的责任划分是第一道防线。
已向监管机构通报，有用吗？
有用，因为它属于被评价的勤勉行为的一部分。但它证明的是您如何反应，而不是您此前已经落实了什么；两者缺一不可。
泄露管理测评正是围绕这一个问题构建的：如果今天有人向您索要，您能否在不重建任何材料的前提下，交出勤勉的证据？