场景
苏州工业园区一家做智能硬件的公司，半夜发现后台有异常下载。查下来，是离职两个月的技术主管老周（化名）的账号还在被使用，里面存着几万条客户信息，包括姓名、电话、收货地址。公司赶紧改了密码、封了账号，然后按流程给涉及的客户发泄露通知。问题来了：通知发出去，一部分客户根本不回，打电话不接，短信不回；还有几个客户明确说“你们别来烦我，我不配合”。公司负责人急了——法律要求我通知，我通知了，对方不配合，这责任算谁的？万一后面客户说自己权益受损，公司是不是还得背锅？
这个场景在苏州不算少见。数据泄露通知这件事，难的不是“发”，而是“发出去之后对方不理你”。
法律规定
先说清楚义务从哪来。《个人信息保护法》第4条界定了个人信息的范围，第17条要求处理个人信息前要告知相关事项；发生泄露、篡改、丢失时，第57条虽然不在你给的清单里，但规则本身是明确的：处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知内容要包括泄露的信息种类、原因、可能的危害、已采取的补救措施、个人可以采取的减轻危害措施、联系方式等。
《数据安全法》第29条要求发生数据安全事件时立即处置并按规定告知用户和有关主管部门。《网络安全法》第42条也规定，发生或者可能发生个人信息泄露、毁损、丢失的，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。
关键点在于：法律要求的是“通知”，不是“取得对方同意配合”。通知是单方义务，对方回不回应，不影响你履行通知义务本身。这一点很多人搞混了，以为客户不配合就等于自己没做到位。
法院实务怎么判
从苏州法院公开裁判文书的常见审理思路看，涉及个人信息泄露的纠纷，法院通常关注几件事：一是泄露事实是否真实存在、范围多大；二是处理者有没有及时采取补救措施；三是有没有按规定通知个人和主管部门；四是个人主张的损害与泄露之间有没有因果关系。
对于“对方不配合”这个情节，法院一般不会把它当成处理者的免责理由，但会作为判断处理者是否尽到合理注意义务的一个因素。也就是说，你发了通知、留了记录、对方明确拒绝配合，这些事实在责任划分时会被考虑进去。法院通常会结合通知的方式、内容是否完整、是否留有送达凭证、对方拒绝的具体表现来综合判断。个案差异很大，有的法院更看重处理者的补救动作是否及时，有的更关注个人能否证明实际损害。
需要提醒的是，法院不会因为你“通知了但对方不理”就直接认定你无责，也不会因为对方不配合就加重你的责任。核心还是看你作为处理者，该做的做到没有。
边界与例外
通知义务不是无边界的。如果泄露的信息经过加密、去标识化处理，或者泄露的信息类型本身风险很低，通知的方式和范围可以相应调整。但这不是说可以不发，而是说通知的紧迫程度、详细程度可以结合风险评估来定。
另一个边界是：对方明确表示不愿意接收通知，你怎么办？法律没有要求你必须“说服”对方配合。合理的做法是保留你已经尝试通知的证据，比如短信发送记录、邮件投递记录、电话沟通记录，必要时通过公告方式补充告知。对方拒绝配合，你记录在案，这本身就是履行义务的一部分。
还有一种情况：通知可能引发更大的风险，比如通知内容本身会暴露更多安全漏洞。这时候通知的表述要谨慎，但“谨慎”不等于“不发”。
普通人能怎么做
如果你是企业方：第一，泄露发生后先控制事态，改密码、封账号、堵漏洞，别急着发通知；第二，通知内容按法律要求写全，别漏项；第三，发通知要留痕，短信、邮件、站内信、电话都行，关键是能证明你发过；第四，对方不配合的，记录下来，别反复骚扰，也别因为对方不配合就放弃后续的补救措施；第五，该报告主管部门的报告，别只盯着客户。
如果你是个人用户：收到泄露通知，先看内容是否具体——泄露了什么、可能有什么风险、你能做什么。不配合是你的权利，但建议至少保留通知本身，万一后续出现异常电话、诈骗短信，这是重要的时间线证据。你有权依据《个人信息保护法》第44、45、46、47条查阅、复制、更正、删除你的个人信息，也可以要求处理者说明情况。
律师温馨提示
董坤律师在苏州执业期间，处理过不少涉及数据合规和个人信息保护的咨询与争议，包括企业泄露事件后的通知流程设计、客户沟通留痕、主管部门报告衔接等实务问题。这类事情最怕的不是对方不配合，而是自己流程上留了缺口——通知发了没记录、记录有了不完整、该报告的报告晚了。如果你正卡在“发了通知对方不理”这一步，建议把已经做的动作梳理一遍，看看证据链缺哪一环，再决定下一步怎么走。个案情况不同，具体处理方式需要结合事实判断。