[...] 其在履行个人数据泄露发生时法律为其设定的各项义务方面，已勤勉行事「译文」
阶段0 · 事情发生之前
0.1. 预案形成书面，经批准并载明日期
只存在于两个人脑子里的预案不是预案，是记忆。它必须形成书面，由有权批准的人批准，并载有清晰日期。应留下的书面记录：经批准的文件、批准日期、批准人以及版本历史。（规则A · SAP Madrid 371/2023，2023年7月28日）
0.2. 以书面指定预案启动人与决策人
载明姓名与替补人选。谁说了算的疑问会耗掉几个小时，而小时是要计算的。应留下的书面记录：载明日期的具名指定，以及被指定人已经知悉的凭证。（规则D · SAP Asturias 412/2024，2024年10月3日）
0.3. 逐项处理活动明确谁是数据控制者、谁是数据处理者
安全义务只归属于处理活动的数据控制者或数据处理者。清楚贵司相对于每一家供应商处在哪一种地位，决定了索赔上门时由谁承担责任。应留下的书面记录：处理活动与供应商图谱，以及与每一家签署的《通用数据保护条例》（GDPR）第28条数据处理协议。（规则B · SAP Madrid 371/2023，2023年7月28日）
第0至1小时 · 发现与启动
1. 记录发现的准确时间与发现人
72小时的时钟从贵司知悉事件那一刻起算，而不是从决定作出反应那一刻起算。这个时点应当在当天就以书面固定，而不是事后重构。由谁决定：无需决定，据实记录。应留下的书面记录：发现的日期与时间、发现人、发现途径以及其通知了谁。（规则D · SAP Asturias 412/2024，2024年10月3日）
2. 启动预案并留下启动凭证
启动本身就是一项勤勉行为：请把它举证下来。由谁决定：第0.2点指定的人员。应留下的书面记录：启动时间、下令启动的人、召集了谁以及通过何种方式。（规则A · SAP Madrid 371/2023，2023年7月28日）
3. 建立事件档案并编号
一份档案，一位保管责任人，所有材料都归入其中：邮件、会议记录、截屏、往来函件与各项决定。散落在个人文件夹里的东西无法提交法庭。由谁决定：指定的责任人。应留下的书面记录：从第一分钟起的档案索引，以及保管人姓名。（规则D · SAP Madrid 123/2026）
第1至6小时 · 控制与初步决定
4. 决定控制措施并以书面说明理由
贵司做了什么固然重要，评估过并排除了哪些方案、理由为何，同样重要。一项说明了理由的决定，即便事后看来还有改进余地，也站得住脚；一项毫无痕迹的决定则站不住。由谁决定：管理层，并采纳相应的技术意见。应留下的书面记录：简要记录，载明时间、考虑过的方案、所采取的措施、理由与决策人。（规则A · SAP Madrid 371/2023，2023年7月28日）
5. 在动手处置之前先保全事件信息
最初这几个小时的访问记录与往来沟通，日后就是贵司的证据。请完整保存，并记录由谁收集、何时收集。由谁决定：档案责任人。应留下的书面记录：保存了什么、日期为何、由谁完成、存放在哪里。（规则D · SAP Asturias 412/2024，2024年10月3日）
6. 书面通知相关供应商并要求其说明情况
如果事件发生在数据处理者那里，第28条的数据处理协议要求其协助贵司并不得无故拖延地告知贵司。请以书面提出要求，即便对方已经打过电话。由谁决定：档案责任人。应留下的书面记录：发出的函件及其日期、收到的答复，以及适用的数据处理协议。（规则B · SAP Madrid 371/2023，2023年7月28日）
7. 记录受影响数据原本已有的措施
法院以具体个案为准进行评价，并在措施已获举证证明时认可相当朴素的做法：一个仅两人知晓密码的加密文件，就足以支持免责判决。请现在就把证据收齐，证明受影响的数据在事件之前受到何种保护。应留下的书面记录：适用于这些数据的载明日期的措施清单，以及当时谁可以访问。（规则A · SAP Madrid 371/2023，2023年7月28日）
[...] 数据的交付 [...] 系通过一个以密码加密的Excel文件进行，该密码仅由委员会主席与秘书知悉「译文」
第6至24小时 · 风险评估
8. 确定哪些数据受到影响、涉及多少人
没有这个范围，既无法评估风险，也无法起草通报。如果最初几个小时只有一个估算，请注明它是估算，并记下最终数字确定的时间。由谁决定：档案责任人。应留下的书面记录：数据类别、大致人数，以及这个数字随时间的变化及各自的时点。（规则D · SAP Asturias 412/2024，2024年10月3日）
9. 评估对个人的风险，并说明通报或不通报的理由
决定不通报与决定通报同样正当，前提是说明了理由并载明日期。无从抗辩的是根本没有作出决定。由谁决定：管理层，并采纳相应的法律意见。应留下的书面记录：风险分析、结论、日期、时间与决策人签字。（规则D · SAP Madrid 123/2026）
10. 核查受影响数据是否准确、是否为最新
个人数据泄露揭出来的，往往是本不该还在那里或者本就有误的数据。数据准确性原则要求不得无故拖延地删除或更正，这项义务不会等到事件结束。应留下的书面记录：做了哪些核查、更正了什么、日期为何、由谁完成。（规则E · SAP Asturias 412/2024，2024年10月3日）
依据GDPR第5条第1款d项，数据应当准确，并在必要时保持更新，这要求数据控制者采取一切合理措施，不得无故拖延地删除或更正不准确的数据「译文」
第24至72小时 · 对外沟通
11. 在期限内向监管机构通报并保存受理凭证
载明日期与时间的提交凭证，就是贵司已经履行义务的证据。请把它存进档案，而不是留在提交人的邮箱里。由谁决定：管理层。应留下的书面记录：已提交的表格、受理凭证以及提交人。（规则D · SAP Asturias 412/2024，2024年10月3日）
12. 若逾期通报或分阶段通报，以书面说明原因
迟延可以有正当理由；沉默没有。应留下的书面记录：迟延或分阶段提交的原因，以及每一次提交的日期。（规则D · SAP Madrid 123/2026）
13. 如有必要，向受影响个人告知并保存确切文本
请保存发出的完整文本、收件人名单、日期与渠道。几个月之后没有人会记得当时究竟说了什么，而那段措辞将在法庭上被宣读。由谁决定：管理层。应留下的书面记录：文本、日期、渠道、收件人数量以及发送凭证。（规则A · SAP Madrid 371/2023，2023年7月28日）
14. 核验因本次事件向贵司索赔或索取数据者的身份
个人数据泄露之后，身份冒用会大量出现。数据控制者适用过错推定，欲行免责，必须举证证明已尽的勤勉，包括为防范身份冒用而采取的措施。应留下的书面记录：做了何种身份核验、依据何种证件、由谁执行。（规则C · SAP Madrid 273/2024）
第72小时之后 · 权利回应与结案
15. 备妥回应删除权及其他权利请求的通道
该程序必须简便且免费，而且即便贵司手中并无请求人的数据，也必须作出明确答复。期限为一个月，只有在情形复杂并于第一个月内告知延期时，方可再延长两个月。应留下的书面记录：每一份请求的收件日期、明确答复、答复发出日期，以及在适用情形下的延期告知。（规则F · SAP Barcelona 307/2023 · SAP Alicante 33/2024）
数据控制者有义务为数据主体提供一项简便且免费的程序，以回应其行使上述权利。「译文」
16. 对已不准确的内容不得无故拖延地删除或更正
并请证明完成的日期。起初合法的处理活动，可能仅因时间推移而不再合法。应留下的书面记录：删除或更正了什么、何时完成、应谁的请求、由谁执行。（规则E · SAP Asturias 412/2024，2024年10月3日 · SAP Alicante 33/2024）
17. 以索引、日期与保管责任人结案
结案是档案从一个工作文件夹变成一份证据的时刻。它应当能够完整、有序、载明日期地整份交出，而不必依赖亲历的那些人是否仍在公司任职。应留下的书面记录：最终索引、结案日期、保管责任人以及留存期限。（规则D · SAP Asturias 412/2024，2024年10月3日）
18. 依据本次事件复查预案并留下复查记录
事件之后一份载明日期的复查记录，是贵司能够提交的最有说服力的勤勉证据之一。应留下的书面记录：改了什么、为什么改、由谁批准、日期为何。（规则A · SAP Madrid 371/2023，2023年7月28日）
谁决定什么
- 管理层：启动预案、采取控制措施、决定是否通报，以及批准对外沟通的文本。
- 档案责任人：建立并保管档案、为每一条记录标注日期、向供应商提出要求，以及结案。
- 法务：评估对个人的风险、起草并审核对外沟通文本，以及回应权利行使请求。
- 任何人都不得擅自：删除记录、不留副本就答复受影响个人，或者与供应商口头约定。
如何使用本预案
- 请打印一份，放在贵司系统之外随时取得的地方：真正需要它的那天，也许无法从系统内部打开。
- 每一步都在发生时记下时间。事后重构的价值，远低于当场记下的内容。
- 不必等到确定无疑才开始记录：把已经知道的和还不知道的都写下来，并注明每一次信息截止的时间。
- 每年复查一次，每次事件之后再复查一次，并留下载明日期的复查记录。
本文为参考范本，不能替代法律咨询。请阅读不构成法律意见声明。© ILP Abogados — www.ilpabogados.com