场景
苏州工业园区一家做智能家居的中型企业，去年秋天出了件事。运维人员小周（化名）在调试设备时，误将一份包含两万多条用户信息的测试数据包上传到了公网可访问的服务器，里面有姓名、手机号、家庭住址，还有部分用户的门锁开锁记录。三天后，一位用户接到冒充客服的诈骗电话，对方能准确报出他家地址和门锁型号，用户觉得不对劲，回头找公司投诉。
公司负责人老李（化名）第一反应是“赶紧处理”，但真到要准备材料的时候，问题来了：谁该写什么、留什么、报什么？技术部门说日志有，但只保留七天；客服说投诉记录在工单系统里，但没单独归档；法务问“泄露通知”到底要通知谁、通知里写什么、怎么证明自己已经通知了。老李找到董坤律师时，最关心的一句话是：真要被查、被诉，我手里得攥着哪些证据才算说得清？
这个场景在苏州的制造业、电商、软件服务企业里并不少见。泄露通知不是发一条短信就完事，它背后是一整套“证明我尽到了义务”的证据链。
法律规定
先把规则捋清楚。《中华人民共和国个人信息保护法》第4条界定了个人信息，第6条要求处理个人信息有明确、合理的目的，并与处理目的直接相关，采取对个人权益影响最小的方式。第13条列了处理的合法性基础，第17条要求告知处理目的、方式、种类、保存期限等。第51条要求采取加密、去标识化等安全技术措施，第55条要求特定情形下做个人信息保护影响评估。
泄露发生后，第57条是核心：发生或者可能发生个人信息泄露、篡改、丢失的，应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知个人时，要说明泄露的信息种类、原因、可能造成的危害、个人可采取的补救措施、联系方式等。这条虽然不在你给的清单里，但它是“泄露通知”义务的直接来源，写文章绕不开，我按规则本身描述，不编条号。
《数据安全法》第29条要求发生数据安全事件立即处置并按规定告知用户和报告主管部门；第45条是相应法律责任。《网络安全法》第21条要求采取监测记录网络运行状态、网络安全事件的技术措施，并留存网络日志不少于六个月；第42条要求发生或可能发生信息泄露时立即采取补救措施并告知用户和报告主管部门。
《生成式人工智能服务管理暂行办法》第14条也提到，发现违法内容或安全事件要及时处置、报告。这些条文合起来指向一件事：泄露通知不是“说一声”，而是“有动作、有记录、有告知”。
法院实务怎么判
苏州法院在审理这类纠纷时，公开裁判文书反映出的常见思路，不是先看企业“有没有赔”，而是先看企业“能不能证明自己做了什么”。普遍倾向是围绕几个点审查：
第一，事件发现和处置的时间线。法院通常会结合日志、工单、内部邮件、会议记录判断企业是“及时”还是“拖延”。日志只留七天、关键操作没留痕，往往让企业很被动。
第二，通知的完整性和可验证性。通知了哪些人、通过什么渠道、内容是否包含泄露信息种类、原因、危害、补救措施和联系方式，法院通常会结合短信记录、邮件回执、App推送日志、公告截图来判断。只发一条“系统升级”的模糊提示，很难被认定为履行了通知义务。
第三，影响评估和补救措施。是否做了个人信息保护影响评估、是否改了权限、是否加密、是否通知了主管部门，法院通常会结合评估报告、整改记录、报告回执综合判断。
第四，损害与因果关系的举证。用户主张因泄露受损，法院通常会结合诈骗电话记录、资金流水、投诉时间与泄露时间的关联性判断，个案差异很大，不能一概而论。
边界与例外
不是所有泄露都要“逐一通知到每个人”。规则本身留了空间：如果通知个人成本过高、或者技术上难以逐一通知，可以采取公告等合理方式；如果采取措施能有效避免信息泄露造成危害，也可以不通知个人，但部门报告义务通常仍在。另外，涉及敏感个人信息（第28条）、不满十四周岁未成年人信息（第31条）的，处理规则更严，通知要求也更高。
还有一层边界：企业内部调查记录、与律师的沟通、安全评估草稿，可能涉及商业秘密或工作成果，对外提供时要区分“必须提交的”和“可以保留的”。这不是教人藏证据，而是提醒证据准备要有层次。
普通人能怎么做
如果你是企业一方：泄露发生后，第一时间固定时间线——谁发现的、几点发现的、做了什么处置，用邮件或工单留痕；保留原始日志，别等自动覆盖；通知内容写清楚，别怕“说多了不好看”，模糊反而更被动；把评估报告、整改记录、报告回执归档。
如果你是用户一方：接到可疑电话先截图录音，保留通话记录；向企业投诉时用书面或可留痕渠道；留意企业是否发了通知、通知里说了什么；涉及资金损失的，及时报警并保留回执。这些材料在后续维权中比“我觉得是他们泄露的”有用得多。
律师温馨提示
董坤律师在苏州执业，处理过涉及数据合规、个人信息泄露处置的企业咨询和争议案件，熟悉本地企业在日志留存、通知流程、影响评估上的常见短板，也协助过用户一方梳理泄露与损害的关联证据。这类事情最怕的不是出事，而是出事后手里没材料。早一点把证据链搭起来，比事后解释管用。