中国供应商泄露个人数据后怎么办？
立即停止进一步访问、保全证据，查清企业何时知悉泄露。评估对客户和员工的伤害，记录决定，并在需要时向英国信息专员办公室报告，不要等待供应商完成调查。Cambridge China Bridge 可通过驻中国员工协助收集供应商端的事实。
限制访问并保全证据
指定事件负责人，让数据保护负责人和技术支持人员参与。暂停受影响的供应商账户，撤销共享链接和已登录会话，更换泄露的登录凭证。暂停通过受影响渠道传送客户或员工文件。通过核实过的联系方式联系工厂，尤其是在其邮箱可能被入侵时。
要求供应商在清理前保留访问日志、原始消息和文件共享记录。要求移除暴露的副本，并书面确认移除了什么、从哪里移除、由谁执行。安全保管证据，不要继续转发泄露的数据集。复核权限时，可参考工厂访问业务系统指南。
查清时间线和报告责任人
分别记录数据何时开始暴露、供应商何时发现、何时通知你，以及你的企业何时知悉泄露。在统一的事件时间线旁保留原始时间戳和时区。区分已确认事实、估计和待查问题。询问哪些人访问、下载或转发过信息，包括分包商。
核实你的企业是否是相关数据的控制者，不要默认由供应商决定是否报告。如果供应商作为你的数据处理者，其知悉泄露后必须及时通知你，不得无故拖延。对于需要报告的泄露，你应及时向英国信息专员办公室报告，不得无故拖延，且最迟在知悉后72小时内报告。等待工厂调查不会让计时重新开始。
评估对个人的伤害
列出泄露字段和受影响群体，例如收货联系人、客户订单记录、员工身份证件、工资信息或健康信息。考虑能否识别个人、谁收到数据、数据是否可读，以及可能发生什么滥用。评估诈骗、针对性钓鱼、精神困扰或人身安全威胁发生的可能性及严重程度。供应商声称无人使用数据，并不能证明泄露已受控。
是否向英国信息专员办公室报告，取决于对个人权利和自由的风险。风险可能发生时应报告；风险不太可能发生时，应记录无需报告的理由。如果可能造成高风险，必须及时直接通知受影响个人，不得无故拖延。这是不同的决定：某次泄露可能需要向监管机构报告，却不需要通知个人。
先报告已知事实
按英国信息专员办公室的泄露应对流程处理：必要时使用其自我评估工具，需要报告时通过其在线渠道提交。准备事件概述、时间线、受影响数据类别、估计范围、风险评估、控制措施和联系人。明确标注未知情况，并为每项待查问题指定调查人员。
不要等工厂记录齐全才报告。英国信息专员办公室允许分阶段补充信息，但不得无故继续拖延。将提交回执和案件编号存入事件档案。如果报告逾期，须说明延误原因。联系受影响个人时，用清楚易懂的语言解释发生了什么、可能的后果、保护措施，以及在哪里获得帮助。
正在算自己的订单？把产品通过 WhatsApp 发给我们，工作日当天回复： WhatsApp 联系
保留决定记录并控制恢复访问
每次个人数据泄露都须留有记录，包括未报告的事件。记录事实、影响和补救措施。补充每次风险评估的证据、报告及通知决定的批准人、尚未解决的不确定事项，以及触发重新评估的情况。将供应商消息、报告和更新副本保存在限制访问的事件档案中。
恢复访问前，要求提供证据，证明泄露途径已封堵，并测试调整后的权限。将提供的数据缩减至工厂实际需要的范围。复核个人数据共享指南和保密安排。Cambridge China Bridge 的驻中国员工可协助获取工厂记录、核查整改措施；你的企业仍应指定泄露决策负责人。
常见问题
供应商每次泄露数据都要向监管机构报告吗？
不是。对个人权利和自由的风险可能发生时应报告。如果风险不太可能发生，仍须记录泄露事件和不报告的理由。
72小时的报告时限从什么时候开始？
从你的企业知悉泄露时开始，而不是从泄露发生时开始。应及时报告，不得无故拖延；不要等待供应商的最终调查结果。
供应商还没提供全部事实，可以先报告吗？
可以。报告已知事实，说明信息缺口，并及时补充，不得无故继续拖延。将回执与事件记录一同保存。
必须通知受影响的客户和员工吗？
如果泄露可能对其权利和自由造成高风险，必须及时直接通知，不得无故拖延。将这项评估与向监管机构报告的决定分别记录。