当公司失去对个人数据的控制时，时钟便会迅速开始计时。根据英国和欧盟GDPR，GDPR数据泄露72小时规则为向监管机构报告事件设定了严格的截止期限。对于数据遭到暴露的个人而言，这些规则同样重要，因为它们决定了你会听到什么、何时听到，以及接下来应该怎么做。
本指南以通俗语言解释这一流程，涵盖公司层面和你自身层面。
72小时时钟何时开始
72小时窗口围绕一个核心理念构建：知情。根据GDPR第33条，数据控制者必须在知悉个人数据泄露后的72小时内向相关监管机构报告。在英国，该机构是信息专员办公室（ICO）。在欧盟，则是相关成员国的数据保护机构。
有两点常常引起困惑：
- 时钟从知情时开始，而非从攻击发生时开始。 泄露可能发生在数天或数周之前。截止期限从组织有合理程度的确定性认定个人数据遭到侵害时起算。
- 截止期限不会因调查而暂停。 组织应迅速行动。在尚未掌握全部细节的情况下，通常的做法是报告已知情况，并分阶段提供进一步信息。
根据对该规则的法律评论，无合理理由错过截止期限本身即构成对第33条的违反，这将使控制者面临执法行动。
一个实用提示：72小时包含周末和公共假日。泄露不会等待办公时间，因此经过检验的事件响应计划比良好的意愿更为重要。
公司必须告知ICO和受影响个人的内容
通知监管机构和通知个人是两项独立的义务，触发条件不同。
告知ICO。 除非泄露不太可能导致个人权利和自由面临风险，否则通常需要报告。通知应描述泄露的性质、受影响人员和记录的种类及大致数量、可能的后果，以及已采取或拟采取的应对措施。还应包括组织数据保护联系人的联系方式。
告知个人。 当泄露可能导致个人面临高风险时，组织还必须在不无故拖延的情况下告知受影响者。该信息应以清晰的语言撰写，解释发生了什么、可能的后果是什么，以及个人可以采取哪些步骤来保护自己。
联系个人的门槛高于联系监管机构的门槛。被盗的护照扫描件、健康记录或财务细节通常明显超过这一门槛。诸如Deadlock勒索软件泄露LT Group护照数据等案例表明，身份证件如何最终落入犯罪分子之手，这正是指向高风险的暴露类型。
组织还应保留每次泄露的内部记录，包括决定不报告的事件及其理由。
如果你的数据被暴露，你应该怎么做
泄露通知可能让人感觉抽象。以下是一份你可以当天完成的具体清单。
- 更改受影响的密码及任何重复使用的密码。 如果同一密码保护其他账户，也应一并更改。为每项服务使用唯一密码，最好存储在密码管理器中。
- 开启多因素认证。 尽可能优先使用身份验证器应用或硬件密钥，而非短信。
- 仔细阅读通知。 注意涉及哪些数据类型：联系方式、身份证件、健康或财务信息。这告诉你应优先关注哪些风险。
- 监控你的账户。 检查银行和信用卡对账单，如果涉及财务数据或身份证件，可考虑使用信用监控服务。
- 对意外联系保持警惕。 提及该泄露的电子邮件、短信或电话可能是真实的，也可能是利用该事件作为诱饵的诈骗。
- 提出主体访问请求。 根据英国和欧盟GDPR，你可以要求组织告知其持有关于你的哪些个人数据，以及在许多情况下这些数据如何被使用。这有助于你了解真实暴露情况并留下书面记录。
- 了解你的投诉渠道。 如果你认为公司处理该事件不当，你可以向英国的ICO或欧盟你所在国的数据保护机构提出投诉。
为何被盗数据助长后续诈骗
最初的泄露往往只是第一阶段。被盗数据具有转售和勒索价值，攻击者越来越多地利用它直接向个人施压。
对AnMed勒索软件攻击及患者勒索诈骗的报道显示了这一运作方式：报道指出攻击者可能利用被盗患者数据对数据所属个人进行个性化勒索尝试。个人细节使威胁显得可信，这就是这些信息如此有效的原因。
泄露也可能是公开的。在ShinyHunters泄露8.8TB被盗One Medical数据的案例中，数据在勒索压力后被公开，意味着任何人都可能获取。一旦信息流出，即使在原始事件被遗忘很久之后，它仍可被用于网络钓鱼、冒充身份和定向欺诈。
这就是及时通知至关重要的原因。人们越早知悉，就能越早锁定账户并识别骗局。小型组织也不能豁免，正如Jaipur勒索软件案例所示：勒索软件不因公司规模而区别对待，没有专职安全人员的团队仍然需要响应计划。
这对你意味着什么
法律赋予你一项合理预期：公司将在知悉泄露后72小时内告知监管机构，并在你面临高风险时直接通知你。它并不保证你的数据始终安全，也无法撤销泄露。你自己的应对才是限制损害的关键。
如果你经营企业，请将72小时视为规划约束：明确谁来决定泄露是否可报告、谁联系ICO，以及你如何快速联系受影响客户。
关键要点
- 72小时期限从组织知悉泄露时开始，而非从泄露发生时开始。
- 除非个人面临的风险不太可能，否则必须告知ICO或欧盟机构；当风险较高时，必须告知个人。
- 收到通知后立即更改密码、启用多因素认证并监控你的账户。
- 对任何提及泄露的信息保持谨慎，因为犯罪分子会重复利用被盗数据进行勒索和网络钓鱼。
- 利用你的数据请求权查看组织持有哪些数据。
了解GDPR数据泄露72小时规则有助于你判断公司是否在正当行事，但你最好的保护是自己迅速行动。今天就保护你的账户安全，对后续诈骗保持警惕，并阅读上述AnMed和ShinyHunters的报道，了解被泄露数据在实践中如何被滥用。
