網站或 App 裡的使用者資訊洩露了，馬上補救，通知使用者和主管部門，被人攻擊的去公安報案

成本

不花錢。要提前寫好一份出事時的處置預案：誰拍板，先堵哪個口子，通知使用者的話怎麼寫。難在出事那一刻的本能是捂住，不想讓使用者知道

收益

個人資訊保護法原話是「發生或者可能發生個人資訊洩露、篡改、丟失的，個人資訊處理者應當立即採取補救措施，並通知履行個人資訊保護職責的部門和個人」。通知要寫三樣：洩露了哪類資訊、原因和可能的危害；你做了什麼補救、使用者自己能做什麼來減輕危害；你的聯絡方式。你的補救確實能避免危害的，可以不通知使用者。但主管部門認為可能造成危害的，有權要求你通知。網路資料安全管理條例說，通知可以用「電話、簡訊、即時通訊工具、電子郵件或者公告等方式」。處置時發現涉嫌犯罪線索的，要向公安機關、國家安全機關報案。不履行這些義務的，責令改正、警告、沒收違法所得，違法的 App 可以被責令暫停或者終止服務。拒不改正的，罰 100 萬元以下，直接負責的人罰 1 萬到 10 萬元。情節嚴重的，罰 5000 萬元以下或者上一年營業額 5% 以下，負責人罰 10 萬到 100 萬元。民事上，使用者因此受了損害，你「不能證明自己沒有過錯的，應當承擔損害賠償等侵權責任」。洩露規模大的還要按時報告。國家網信辦的辦法規定，洩露 100 萬人以上個人資訊算「較大網路安全事件」。這類事件，一般網站和 App 要向所在省的網信部門報告，「最遲不得超過4小時」，渠道之一是 12387 熱線。處置結束後 30 日內還要交一份總結報告。遲報、漏報、謊報、瞞報造成重大危害後果的，從重處罰。反過來，已經採取合理必要的防護、按預案處置、並且及時報告的，「可視情從輕或不予追究」（全國，報告辦法 2025 年 11 月起）

備註

小站洩露幾百、幾千人，也要按個人資訊保護法補救和通知，只是達不到 4 小時報告那道門檻。通知使用者時，把能做的事寫具體：改哪個密碼，提防冒充客服打來的電話。日誌留夠 6 個月，出事時才查得清是從哪裡漏的，見第 11 節第 16 條（按等級保護要求留日誌）。使用者被洩露之後自己怎麼防，見第 14 節

證據等級

A : 有具體數字，來自薈萃分析、大型佇列或隨機試驗；法律政策類指引到了法條或官方原文.

來源

1. 全国人大常委会 (2021). 个人信息保护法（第五十七、六十六、六十九条）. https://www.spp.gov.cn/spp/fl/202108/t20210820_527244.shtml
2. 全国人大常委会 (2025). 网络安全法（2025 年修正，2026 年 1 月 1 日施行，第二十七、四十四、七十一条；2016 年文本为第二十五、四十二条）. https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm
3. 国务院 (2024). 网络数据安全管理条例（国务院令第 790 号，第十一条）. https://www.gov.cn/gongbao/2024/issue_11646/202410/content_6980863.html
4. 国家互联网信息办公室 (2025). 国家网络安全事件报告管理办法（第四、八、九、十、十一条，附件《网络安全事件分级指南》）. https://www.cac.gov.cn/2025-09/15/c_1759583017717009.htm

原書第 26 節第 12 條. 這一節講法律規定，只作一般參考，不構成法律意見；自己的案子請諮詢律師或當地法律援助機構。 內容可能過時，不少政策各地執行不一樣，真去辦事、看病、打官司時以當地部門、醫生和律師的說法為準。 免責宣告