欧洲数据保护委员会提议采用统一的欧盟数据泄露报告模板

欧洲数据保护委员会已批准用于报告个人数据泄露事件的通用表格1.0版。根据 Aisa International 的报道，该提案将公开征求意见至2026年8月5日，此后，欧洲数据保护委员会预计将决定各国监管机构何时开始在实践中使用该表格。

这一举措旨在取代欧盟成员国数据保护机构目前使用的不同报告格式。迄今为止，各组织在通报泄露事件时面临着不同的结构和要求，包括向捷克个人数据保护办公室通报时也是如此。一份共享表格将为数据控制者提供一个统一框架，用于呈现事件详情。

该模板内容十分详尽。它要求组织说明发生了什么、何时发生、哪些人受到影响、如何评估风险，以及采取了哪些应对措施。其明确目标是让流程更加一致、更加易于操作，尤其是对于可能没有专业法律团队的小型组织而言。与此同时，所要求的详细程度意味着企业需要保存可靠的事件记录，并能迅速获取技术和法律信息。

拟议表格涵盖的内容

该文件分为七个大类。第一类涉及提交状态：组织必须说明这是首次报告、对早前报告的更新，还是撤回此前的通报。

第二部分记录组织的身份和角色。其中包括相关经济部门（采用A至V的分类），以及所涉组织的类型。表格还要求数据控制者列出与事件有关的数据处理者和任何共同控制者。

时间线部分要求填写泄露事件发生以及被发现的日期和时间。如果通报是在法定72小时期限之后提交的，组织必须解释延迟原因。这使内部事件记录的质量尤为重要，因为报告时限取决于发现事件的时间以及组织对自身义务的评估。

随后，拟议表格要求组织对泄露事件的性质进行分类。组织必须说明机密性、完整性或可用性是否受到损害，并在已知的情况下指出责任方是内部还是外部恶意行为者。

另一部分聚焦于受影响的人员和信息。组织必须确定相关数据主体类别，例如员工、客户、儿童或弱势群体，并提供涉及的记录数量。如果数字尚不确定，表格允许组织根据估算值提交初步报告。待后续调查获得更确切的数据后，可通过补充通报对该报告进行修改。

证据、风险和跨境事件

风险评估部分要求解释组织如何判断事件可能对个人造成的影响。该部分还要求提供有关现有保护措施的信息，包括加密和多因素身份验证等措施。

最后一类涉及发生在欧洲经济区多个国家的事件，以及支持性文件。Aisa International 列举的示例包括风险评估、发给受影响个人的信息、钓鱼邮件和勒索软件说明。这些要求意味着，通报并不局限于对事件的简短描述；监管机构还可能要求提供材料，以证明组织如何调查并应对事件。

即使泄露发生在外部服务提供商处，责任仍可能由数据控制者承担。拟议表格要求记录数据处理者和共同控制者，正体现了这种职责分配。企业不能认为，将数据处理外包就免除了自身的报告义务。

该表格还承认，数据控制者可能无法在72小时内掌握受影响人员的准确数量。组织可以利用现有估算值提交不完整的通报，待调查得出更准确的数据后，再补充相关信息。这为组织提供了一条路径，使其无需等待所有事实查明，就能满足最初的期限要求。

尚无实施日期

咨询截止日期为2026年8月5日。在欧洲数据保护委员会确定后续步骤之前，本文未指出统一模板何时会对各国监管机构或组织具有强制性。因此，企业仍有时间审视其泄露事件应对程序，确认这些程序能否记录拟议表格所要求的信息。

Aisa International 表示，该公司不会代表客户完成泄露事件通报，不会手工记录泄露数据，也不会核对托管方的交易报告。该公司将自身定位为战略合规监督机构，并称技术调查和报告工作应由专业的信息安全及法律顾问负责。

该出版方将拟议表格视为数字风险监管朝着更加结构化方向转变的一部分。对组织而言，其实际影响是：泄露事件准备不能仅依赖危机期间临时开展的工作。如果统一报告方式继续推进，组织可能需要准备准确的时间线、明确数据处理者的责任、记录风险评估并保存证据。

Aisa International 的文章声明，其信息属于一般性信息，而非个性化建议，并警告法律可能发生变化。文章建议，在具体案件中依据该提案行事之前，应向具备资质的顾问和政府官方来源寻求最新指导。