breach-multi-jurisdiction

管理多司法辖区的数据泄露通知

概述

当数据泄露影响多个法律司法辖区的个人时，控制者必须应对相互重叠、有时甚至相互冲突的通知要求。欧盟 GDPR 规定了向监管机构通知的 72 小时期限；美国各州法律规定了不同的时限和内容要求；其他司法辖区（加拿大、澳大利亚、巴西、日本、韩国）也有各自的制度。本技能提供了跨司法辖区协调通知的框架。

司法辖区映射 — 通知要求

欧盟 — GDPR（所有成员国）

要素	要求
向 SA 通知的时限	知悉后 72 小时内（Art. 33(1)）
向 SA 通知的门槛	除非泄露“不太可能造成风险”
向 DS 通知的时限	存在“高风险”时，不得无故拖延（Art. 34(1)）
主导 SA 的确定	一站式机制：根据主要营业机构确定 Art. 56 所指的主导 SA
跨境机制	通知主导 SA；其他相关 SA 通过 Art. 60 获知
内容要求	向 SA 通知须符合 Art. 33(3)(a)-(d)；向数据主体通知须符合 Art. 34(2)

美国 — 各州数据泄露通知法

州	时限	向 AG 通知	门槛	主要差异
加利福尼亚州	在可能的最短时间内，不得无理拖延	是，影响 500 名及以上加州居民时	姓名 + 指定数据元素	影响 500,000 人及以上时可采用替代通知；健康数据须使用特定模板
纽约州	在可能的最短时间内，不得无理拖延	同时通知 AG、DFS、DOCS	私人信息（姓名 + 数据元素）	SHIELD Act：须在 30 天内向 AG 通知涉及纽约州居民的泄露
得克萨斯州	确定泄露后 60 天内	影响 250 名及以上得州居民时通知 AG	姓名 + 敏感个人信息	扩大了敏感数据的定义，涵盖生物识别符
佛罗里达州	确定泄露后 30 天内	影响 500 人及以上时，须在 30 天内通知 FDLE	姓名 + 指定数据元素	法定期限最短的州之一
马萨诸塞州	尽快	同时通知 AG 和 OCABR	姓名 + 指定数据元素	须说明提供的补救服务
伊利诺伊州	在可能的最短时间内，不得无理拖延	影响 500 名及以上伊州居民时通知 AG	姓名 + 指定数据元素	BIPA 增加了生物识别数据泄露通知要求
弗吉尼亚州	发现泄露后 60 天内	通知 AG 和受影响个人	姓名 + 指定数据元素	VCDPA 增加了消费者数据权利相关要求
科罗拉多州	确定泄露后 30 天内	影响 500 人及以上时，须在 30 天内通知 AG	姓名 + 指定数据元素	与佛罗里达州并列，属于期限最短的州之一
宾夕法尼亚州	不得无理拖延	通知时须通知 AG	姓名 + 指定数据元素	个人信息定义宽泛
华盛顿州	发现泄露后 30 天内	影响 500 人及以上时，须在 30 天内通知 AG	姓名 + 指定数据元素	涵盖生物识别数据和健康数据

其他国际司法辖区

司法辖区	法律	向 SA 通知的时限	向 DS 通知的时限	notable
英国	UK GDPR + DPA 2018	72 小时内（ICO）	不得无故拖延	与欧盟 GDPR 一致；ICO 是唯一的 SA
加拿大	PIPEDA + 省级法律	“尽快”通知 OPC	“尽快”	以重大损害的真实风险（RROSH）为门槛
澳大利亚	Privacy Act 1988（NDB 机制）	30 天内通知 OAIC	尽快	“符合条件的数据泄露”＝可能造成严重损害
巴西	LGPD	在“合理时间内”通知 ANPD	在“合理时间内”	ANPD 通过法规规定时限
日本	APPI	尽快通知 PPC（建议 3-5 天）	尽快	涉及 1,000 名及以上主体或敏感数据时为强制要求
韩国	PIPA	72 小时内通知 PIPC	不得拖延	与 GDPR 时限一致
新加坡	PDPA	3 个日历日内通知 PDPC	尽快	以重大损害或大规模影响为门槛

冲突解决框架

原则 1：优先满足最短期限

当通知时间要求发生冲突时，始终应以满足适用的最短期限为准备目标。这通常意味着：

• 欧盟／英国 GDPR 的 72 小时期限决定主要通知时间安排。
• 同时准备美国各州的通知，并在满足法定要求后尽快发送。
• 72 小时内完成 GDPR 通知，通常也符合美国大多数州“不得无理拖延”的标准。

原则 2：采用内容超集方案

准备一份涵盖所有司法管辖区内容要求的核心通知文件，然后根据各司法管辖区的特定格式要求进行调整：

内容要素	GDPR 第 33(3) 条	California CC §1798.82	New York GBL §899-aa	Texas BCC §521.053
违规性质	必需	必需	必需	必需
受影响的数据类别	必需	必需（具体要素）	必需	必需
数据主体人数	必需（约数）	非必需，但建议提供	必需	必需
DPO／联系信息	必需	必须提供联系信息	必须提供联系信息	必须提供联系信息
可能造成的后果	必需	未明确要求	未明确要求	未明确要求
已采取的措施	必需	必须采取补救措施	必须采取补救措施	必需
信用监控服务	非必需（但很常见）	涉及 SSN／财务信息时必需	建议提供	涉及 SSN 时必需
SA 通知参考信息	必需	必须通知 AG	必须通知 AG	必须通知 AG

原则 3：并行执行路径

通过并行工作流管理通知：

路径 1：欧盟／英国 GDPR（72 小时优先）

• 在 72 小时内通知牵头 SA
• 如果调查仍在进行，根据第 33(4) 条分阶段通知
• 在确定存在高风险后的 7 天内，根据第 34 条通知数据主体

路径 2：美国各州通知（因州而异）

• 向受影响居民居住地所在各州的 AG 发出通知
• 根据各州具体要求分别向个人发出通知
• 无法实际通知个人时，采用替代通知方式

路径 3：其他国际司法管辖区

• 在 30 天内通知 OAIC（澳大利亚）
• 尽可能尽快通知 OPC（加拿大）
• 视情况通知其他司法管辖区

牵头监管机构的确定

对于主要营业机构位于德国柏林的 Stellar Payments Group：

• 牵头 SA：Berliner Beauftragte für Datenschutz und Informationsfreiheit
• 相关 SA：受影响数据主体居住地所在欧盟成员国的任何 SA
• 一站式机制：牵头 SA 根据第 60 条与相关 SA 协调
• 例外：如果违规仅与另一成员国的一家机构有关，或实质上仅影响该国的数据主体，则根据第 56(2) 条，当地 SA 可能是主管机构

通知协调清单

通知前（知悉后 24 小时内）

• 根据数据主体居住地分析，确定受影响的司法管辖区
• 梳理各司法管辖区适用的通知法律
• 确定最短通知期限，并将其设为首要目标
• 指定各司法管辖区的通知负责人（欧盟：DPO；美国：总法律顾问；亚太地区：区域隐私经理）
• 根据需要聘请各司法管辖区的外部法律顾问

欧盟／英国路径（72 小时期限）

• 确定牵头 SA 并准备通知表格
• 完成第 33(3) 条规定的内容要求
• 在 72 小时内向牵头 SA 提交通知
• 如果涉及跨境，告知牵头 SA 有多个成员国受到影响
• 准备以受影响成员国的语言撰写的第 34 条数据主体通知

美国处理流程（因州而异）

• 使用邮寄地址／账单地址，确定各州受影响的居民人数
• 对于受影响居民人数达到 500 人及以上的州，准备总检察长通知
• 根据各州的内容要求，起草个人通知函
• 在要求的州提供信用监控服务
• 聘请美国外部法律顾问，审查各州的特定合规要求
• 按照各州规定的时间要求提交总检察长通知
• 按照各州规定的时间要求发送个人通知

国际处理流程

• 在 30 天内准备澳大利亚信息专员办公室（OAIC）通知
• “尽可能尽快”准备加拿大隐私专员办公室（OPC）通知
• 根据受影响人数评估其他司法管辖区（巴西、日本、韩国、新加坡）
• 聘请当地法律顾问，了解特定司法管辖区的要求

与执法机关协调

在某些司法管辖区，执法机关可能会要求延迟通知数据主体，以免影响刑事调查：

• 欧盟：EDPB《2022/9 号指南》指出，执法机关可能会要求延迟通知；控制者应记录该请求并予以配合，同时仍须在 72 小时内通知 SA。
• 美国：许多州法律明确允许应执法机关要求延迟通知。必须记录延迟情况，并在执法机关许可后立即继续通知。
• 最佳实践：即使应执法机关要求延迟通知数据主体，也务必按时通知监督机构／总检察长。